Recopila registros de Palo Alto Networks Traps

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo recopilar registros de Palo Alto Networks Traps en Google Security Operations con Bindplane. El analizador controla los registros en formatos CSV y de par clave-valor, y los transforma en UDM. Usa el análisis de grok y CSV para extraer campos, realiza una lógica condicional basada en mensajes de registro o valores de campo específicos para asignarlos a campos de UDM y controla varios tipos de eventos, como actualizaciones de estado, análisis de red y creaciones de procesos.

Antes de comenzar

• Asegúrate de tener una instancia de Google Security Operations.
• Asegúrate de usar Windows 2016 o una versión posterior, o un host de Linux con systemd.
• Si ejecutas la herramienta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos.
• Asegúrate de tener acceso con privilegios a Cortex XDR.

Obtén credenciales de Google SecOps para el agente de Bindplane

Para autenticar el agente de Bindplane en Google SecOps, elige uno de los siguientes métodos:

• Implementaciones nuevas: Usa la API de Chronicle (opción 1).
• Implementaciones heredadas: Sigue usando el archivo de autenticación de transferencia (opción 2) hasta que se descontinúe la API de Ingestion el 20 de julio de 2027.

Opción 1: Crea una cuenta de servicio para la API de Chronicle (recomendada)

1. Accede a la consola deGoogle Cloud y selecciona el proyecto de Google Cloud que está vinculado a tu instancia de Google SecOps.
2. Ve a IAM y administración > Cuentas de servicio.
3. Haga clic en Crear cuenta de servicio.
4. Proporciona los siguientes detalles de configuración:
   • Nombre de la cuenta de servicio: Ingresa un nombre para la cuenta (por ejemplo, bindplane-ingest).
   • Descripción de la cuenta de servicio: Ingresa una descripción (por ejemplo, Bindplane agent log ingestion).
5. Haz clic en Crear y continuar.
6. En la sección Otorga a esta cuenta de servicio acceso al proyecto, haz clic en Seleccionar un rol y, luego, en Editor de Chronicle.
7. Haz clic en Continuar y, luego, en Listo.
8. Haz clic en la cuenta de servicio que creaste y, luego, ve a la pestaña Claves.
9. Haz clic en Agregar clave > Crear clave nueva.
10. Selecciona JSON y haz clic en Crear. El archivo de claves se descargará en tu computadora.
11. Guarda el archivo de claves como ingestion-auth.json en el directorio del recopilador de Bindplane (/opt/observiq-otel-collector/ingestion-auth.json en Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json en Windows) o actualiza creds_file_path en config.yaml para que coincida con la ruta de acceso en la que lo guardas.
12. Ve a IAM y administración > Configuración y copia el Número de proyecto. Lo necesitarás para la configuración del exportador.

Nota: La clave JSON es una credencial. Restringe el acceso al archivo en el host de Bindplane y rota la clave según la política de tu organización.

Opción 2: Descarga el archivo de autenticación de transferencia (heredado)

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recopilación.
3. Descarga el archivo de autenticación de transferencia.
4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Nota: Este archivo autentica el agente en la API de Ingestion heredada (malachiteingestion-pa.googleapis.com), cuyo fin de vida útil Google programó para el 20 de julio de 2027. Planifica cambiar a la opción 1 antes de esa fecha.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instalación en Windows

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el comando siguiente:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalación en Linux

1. Abre una terminal con privilegios de raíz o sudo.

2. Ejecuta el comando siguiente:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalación adicionales

• Para conocer otras opciones de instalación, consulta esta guía de instalación.

Nota: La configuración del exportador de la API de Chronicle requiere la versión 1.106.0 o posterior del recopilador de Bindplane. Los comandos anteriores instalan la versión más reciente. Si actualizas una instalación existente, actualiza el recopilador antes de cambiar la configuración.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración:

   1. Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /opt/observiq-otel-collector/ en Linux o en el directorio de instalación en Windows.
   2. Abre el archivo con un editor de texto (por ejemplo, nano, vi o Notepad).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           protocol: https
           # Region of your instance, for example us, europe, asia-southeast1
           location: <LOCATION>
           # Project number of the Google Cloud project linked to the instance
           project: '<PROJECT_NUMBER>'
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: chronicle.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: PAN_EDR
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.

4. Reemplaza <LOCATION> por la región de tu instancia de Google SecOps (por ejemplo, us, europe o asia-southeast1). El exportador antepone chronicle.googleapis.com con este valor.

5. Reemplaza <PROJECT_NUMBER> por el número de proyecto de IAM y administración > Configuración.

6. Reemplaza <customer_id> por el ID de cliente real.

7. Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso en la que se guardó el archivo de claves de la cuenta de servicio (opción 1) en la sección Obtén credenciales de Google SecOps para el agente de Bindplane.

Exportador de la API de transferencia heredada

• Si usas el archivo de autenticación de transferencia de la opción 2, reemplaza el bloque exporters por el siguiente. Establece creds en la ruta de acceso al archivo de autenticación de transferencia y, si tu instancia está fuera de EE.UU., reemplaza malachiteingestion-pa.googleapis.com por tu extremo regional (por ejemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
      chronicle/chronicle_w_labels:
          compression: gzip
          # Adjust the path to the credentials file you downloaded in Step 1
          creds: '/path/to/ingestion-authentication-file.json'
          # Replace with your actual customer ID from Step 2
          customer_id: <customer_id>
          endpoint: malachiteingestion-pa.googleapis.com
          # Add optional ingestion labels for better organization
          ingestion_labels:
              log_type: PAN_EDR
              raw_log_field: body
  

Nota: Este exportador dejará de funcionar cuando se descontinúe la API de Ingestion el 20 de julio de 2027.

Reinicia el agente de Bindplane para aplicar los cambios.

• Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configura Palo Alto Networks Traps

1. Accede a la consola de Cortex XDR ESM.
2. Selecciona Configuración > ESM > Syslog.
3. Selecciona la casilla de verificación Habilitar syslog.
4. Proporciona los siguientes detalles de configuración:
   • Servidor Syslog: Ingresa la dirección IP del agente de Bindplane.
   • Puerto de Syslog: Ingresa el número de puerto configurado en Bindplane, por ejemplo, 514.
   • Protocolo de Syslog: Selecciona CEF.
   • Establece Keep-alive timeout en 0.
   • Protocolo de comunicación: Selecciona UDP.
5. En la sección Eventos de seguridad, selecciona las siguientes casillas de verificación:
   • Evento de prevención
   • Evento de notificación
   • Evento de detección posterior
6. Haz clic en Verificar la conectividad > Guardar.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
agentId	event.idm.read_only_udm.additional.fields.value.string_value	El valor de agentId del registro sin procesar se asigna al campo string_value dentro de una estructura anidada en additional.fields. El key de este campo se establece en Agent ID.
agentIp	event.idm.read_only_udm.target.ip	El valor de agentIp del registro sin procesar se asigna al campo target.ip.
cat	event.idm.read_only_udm.security_result.rule_name	El valor de cat del registro sin procesar se asigna al campo security_result.rule_name.
class	event.idm.read_only_udm.security_result.category_details	Se usa junto con subClass para completar security_result.category_details con el formato class: subClass.
cs1	event.idm.read_only_udm.principal.application, event.idm.read_only_udm.principal.user.email_addresses	Si cs1Label es email y cs1 es una dirección de correo electrónico válida, se asigna a principal.user.email_addresses. Si cs1Label es Initiated by, se asigna a principal.application.
cs2	event.idm.read_only_udm.principal.process.command_line, event.idm.read_only_udm.security_result.description	Si cs2Label es subtype, se asigna a security_result.description. Si cs2Label es Initiator CMD, se asigna a principal.process.command_line.
cs3	event.idm.read_only_udm.security_result.action_details	Si cs3Label es result, se asigna a security_result.action_details.
customerId	event.idm.read_only_udm.additional.fields.value.string_value	El valor de customerId del registro sin procesar se asigna al campo string_value dentro de una estructura anidada en additional.fields. El key de este campo se establece en Customer ID.
date_time	event.idm.read_only_udm.metadata.event_timestamp.seconds	Se analiza y se convierte en una marca de tiempo y, luego, se asigna a metadata.event_timestamp.seconds.
desc	event.idm.read_only_udm.metadata.description	El valor de desc del registro sin procesar se asigna al campo metadata.description.
deviceName	event.idm.read_only_udm.target.hostname	El valor de deviceName del registro sin procesar se asigna al campo target.hostname.
email_receiver	event.idm.read_only_udm.network.email.to	Se extrae del campo msg si contiene una dirección de correo electrónico y se asigna a network.email.to.
endpoint_desc	event.idm.read_only_udm.target.resource.attribute.labels.value	Se deriva de isEndpoint: Yes, host is an endpoint. si isEndpoint es 1, No, host is not an endpoint si isEndpoint es 0. key se configura en Is Endpoint.
eventType	event.idm.read_only_udm.metadata.product_event_type, event.idm.read_only_udm.metadata.event_type	El valor de eventType del registro sin procesar se asigna al campo metadata.product_event_type. También se usa para derivar metadata.event_type en función de su valor (p.ej., Management Audit Logs da como resultado EMAIL_TRANSACTION, XDR Analytics BIOC o Behavioral Threat da como resultado SCAN_NETWORK).
facility	event.idm.read_only_udm.additional.fields.value.string_value	El valor de facility del registro sin procesar se asigna al campo string_value dentro de una estructura anidada en additional.fields. El key de este campo se establece en Facility.
fileHash	event.idm.read_only_udm.principal.process.file.sha256	El valor de fileHash del registro sin procesar, convertido a minúsculas, se asigna al campo principal.process.file.sha256.
filePath	event.idm.read_only_udm.principal.process.file.full_path	El valor de filePath del registro sin procesar se asigna al campo principal.process.file.full_path.
friendlyName	event.idm.read_only_udm.metadata.description	El valor de friendlyName del registro sin procesar se asigna al campo metadata.description.
interm_ip	event.idm.read_only_udm.intermediary.ip	El valor de interm_ip del registro sin procesar se asigna al campo intermediary.ip.
isEndpoint	event.idm.read_only_udm.target.resource.attribute.labels.value	Se usa para derivar target.resource.attribute.labels.value.
isVdi	event.idm.read_only_udm.target.resource.resource_type	Si isVdi es 1, target.resource.resource_type se establece en VIRTUAL_MACHINE.
msg	event.idm.read_only_udm.security_result.summary	El valor de msg del registro sin procesar se asigna al campo security_result.summary. También se usa para extraer email_receiver.
msgTextEn	event.idm.read_only_udm.security_result.description	El valor de msgTextEn del registro sin procesar se asigna al campo security_result.description.
osType	event.idm.read_only_udm.target.platform, event.idm.read_only_udm.target.resource.attribute.labels.value	Si osType es 1, target.platform se establece en WINDOWS. Si osType es 2, target.platform se establece en MAC. Si osType es 4, target.platform se establece en LINUX. Si osType es 3, su valor se asigna a target.resource.attribute.labels.value con el key OS.
osVersion	event.idm.read_only_udm.target.platform_version	El valor de osVersion del registro sin procesar se asigna al campo target.platform_version.
product_version	event.idm.read_only_udm.metadata.product_version	El valor de product_version del registro sin procesar se asigna al campo metadata.product_version.
proto	event.idm.read_only_udm.network.ip_protocol	Si proto es udp, network.ip_protocol se establece en UDP.
recordType	event.idm.read_only_udm.additional.fields.value.string_value	El valor de recordType del registro sin procesar se asigna al campo string_value dentro de una estructura anidada en additional.fields. El key de este campo se establece en Record Type.
regionId	event.idm.read_only_udm.principal.location.country_or_region	Si regionId es 10, principal.location.country_or_region se establece en Americas (N. Virginia). Si regionId es 70, principal.location.country_or_region se establece en EMEA (Frankfurt).
request	event.idm.read_only_udm.target.url	El valor de request del registro sin procesar se asigna al campo target.url.
sec_category_details	event.idm.read_only_udm.security_result.category_details	El valor de sec_category_details del registro sin procesar se asigna al campo security_result.category_details.
sec_desc	event.idm.read_only_udm.security_result.description	El valor de sec_desc del registro sin procesar se asigna al campo security_result.description.
serverHost	event.idm.read_only_udm.principal.hostname	El valor de serverHost del registro sin procesar se asigna al campo principal.hostname.
severity	event.idm.read_only_udm.security_result.severity	Se asigna a security_result.severity con la siguiente lógica: 2 -> CRITICAL, 3 -> ERROR, 4 -> MEDIUM, 5 -> LOW, 6 -> INFORMATIONAL.
severity_val	event.idm.read_only_udm.security_result.severity, event.idm.read_only_udm.security_result.severity_details	Si severity_val es 0, security_result.severity_details se establece en UNKNOWN_SEVERITY. De lo contrario, se asigna a security_result.severity con la siguiente lógica: 6 -> LOW, 8 -> MEDIUM, 9 -> HIGH.
shost	event.idm.read_only_udm.principal.hostname	El valor de shost del registro sin procesar se asigna al campo principal.hostname.
src_ip	event.idm.read_only_udm.principal.ip	El valor de src_ip del registro sin procesar se asigna al campo principal.ip.
subClass	event.idm.read_only_udm.security_result.category_details	Se usa junto con class para propagar security_result.category_details.
suser	event.idm.read_only_udm.principal.user.user_display_name	El valor de suser del registro sin procesar, sin corchetes, barras inversas ni comillas simples, se asigna al campo principal.user.user_display_name.
targetprocesscmd	event.idm.read_only_udm.target.process.command_line	El valor de targetprocesscmd del registro sin procesar se asigna al campo target.process.command_line.
targetprocessname	event.idm.read_only_udm.target.application	El valor de targetprocessname del registro sin procesar se asigna al campo target.application.
targetprocesssha256	event.idm.read_only_udm.target.process.file.sha256	El valor de targetprocesssha256 del registro sin procesar, convertido a minúsculas, se asigna al campo target.process.file.sha256.
tenantname	event.idm.read_only_udm.target.resource.attribute.labels.value	El valor de tenantname del registro sin procesar se asigna al campo value dentro de una estructura anidada en target.resource.attribute.labels. El key de este campo se establece en Tenant name.
	event.idm.read_only_udm.metadata.event_type	Se configura de forma predeterminada en STATUS_UPDATE. Se cambia a EMAIL_TRANSACTION si eventType es Management Audit Logs. Se cambió a SCAN_NETWORK si eventType es XDR Analytics BIOC o Behavioral Threat, o si desc es Behavioral Threat. Se cambia a SCAN_PROCESS si desc es Suspicious Process Creation. Establece el valor en Palo Alto Networks. Se establece en Cortex XDR. Establece el valor en PAN_EDR. Se establece en NETWORK_SUSPICIOUS si eventType es XDR Analytics BIOC o Behavioral Threat, o si desc es Behavioral Threat.

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.