Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux d'autorisation de préemption

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer les journaux Preempt Auth dans Google Security Operations à l'aide de l'agent Bindplane.

Preempt Auth est une solution de surveillance des événements d'authentification qui génère des journaux d'authentification détaillés pour les environnements Active Directory. Il enregistre les événements de connexion réussis et échoués, les recherches LDAP, l'accès aux services et les types d'authentification sur les différents points de terminaison.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Une instance Google SecOps
Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
Connectivité réseau entre l'agent Bindplane et le serveur Preempt
Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
Accès privilégié à Preempt Auth (CrowdStrike Identity Protection) avec des autorisations d'administrateur

Obtenir le fichier d'authentification d'ingestion Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM> Agents de collecte.
Téléchargez le fichier d'authentification d'ingestion.
Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Remarque : Ce fichier JSON contient les identifiants permettant d'authentifier l'agent Bindplane auprès de Google SecOps.

Obtenir l'ID client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres du SIEM > Profil.
Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Remarque : L'ID client est requis pour configurer l'exportateur de l'agent Bindplane.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

Exécutez la commande suivante :

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendez la fin de l'installation.
Vérifiez l'installation en exécutant la commande suivante :
```
sc query observiq-otel-collector
```
Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation de Linux

Ouvrez un terminal avec des privilèges root ou sudo.

Exécutez la commande suivante :

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Attendez la fin de l'installation.
Vérifiez l'installation en exécutant la commande suivante :
```
sudo systemctl status observiq-otel-collector
```
Le service doit être indiqué comme actif (en cours d'exécution).

Autres ressources d'installation

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

Linux :

sudo nano /opt/observiq-otel-collector/config.yaml

Windows :

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/preempt_auth:
        compression: gzip
        creds_file_path: '<CREDS_FILE_PATH>'
        customer_id: '<CUSTOMER_ID>'
        endpoint: <REGION_ENDPOINT>
        log_type: PREEMPT_AUTH
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/preempt_auth_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/preempt_auth

Paramètres de configuration

Remplacez les espaces réservés suivants :

Configuration du récepteur :
- tcplog : reçoit syslog via TCP. Utilisez udplog si votre déploiement Preempt transfère les données via UDP.
- 0.0.0.0:514 : écoute sur toutes les interfaces sur le port 514. Modifiez le port si nécessaire (par exemple, 1514 pour Linux non root).
Configuration de l'exportateur :
- <CREDS_FILE_PATH> : chemin d'accès complet au fichier d'authentification de l'ingestion :
  - Linux : /etc/bindplane-agent/ingestion-auth.json
  - Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <CUSTOMER_ID> : ID client de l'étape Obtenir l'ID client Google SecOps.
- <REGION_ENDPOINT> : URL du point de terminaison régional :
  - États-Unis : malachiteingestion-pa.googleapis.com
  - Europe : europe-malachiteingestion-pa.googleapis.com
  - Asie : asia-southeast1-malachiteingestion-pa.googleapis.com
  - Pour obtenir la liste complète, consultez Points de terminaison régionaux.

Enregistrez le fichier de configuration.

Après avoir modifié le fichier, enregistrez-le :
- Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
- Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :
```
sudo systemctl restart observiq-otel-collector
```
1. Vérifiez que le service est en cours d'exécution :
```
sudo systemctl status observiq-otel-collector
```
2. Recherchez les erreurs dans les journaux :
```
sudo journalctl -u observiq-otel-collector -f
```
Pour redémarrer l'agent Bindplane dans Windows, choisissez l'une des options suivantes :
- Invite de commande ou PowerShell en tant qu'administrateur :
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console Services :
  1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
  2. Localisez observIQ OpenTelemetry Collector.
  3. Effectuez un clic droit, puis sélectionnez Redémarrer.
  4. Vérifiez que le service est en cours d'exécution :
```
sc query observiq-otel-collector
```
  5. Recherchez les erreurs dans les journaux :
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configurer le transfert syslog de Preempt Auth

Connectez-vous à la console de gestion Preempt.
Accédez à Paramètres > Intégration du SIEM.
Activez le transfert syslog pour les événements d'authentification.
Fournissez les informations de configuration suivantes :
- Protocole : sélectionnez TCP (doit correspondre à la configuration du récepteur de l'agent Bindplane).
- Adresse du serveur Syslog : saisissez l'adresse IP de l'hôte de l'agent Bindplane (par exemple, 192.168.1.100).
- Port : saisissez 514 (doit correspondre au port du récepteur de l'agent Bindplane).
Sélectionnez les types d'événements d'authentification à transférer :
- Événements d'authentification réussie
- Événements d'échec de l'authentification
- Recherches LDAP
- Événements d'accès aux services
Cliquez sur Enregistrer ou sur Appliquer.
Vérifiez que les journaux sont envoyés en consultant les journaux de l'agent Bindplane.

Table de mappage UDM

Champ de journal	Mappage UDM	Logique
authenticationType	extensions.auth.type	Défini sur "SSO" si authenticationType correspond à SSO_LOGIN ou LDAP_AUTHENTICATION ; "MACHINE" si DOMAIN_LOGIN ; "AUTHTYPE_UNSPECIFIED" si NTLM_AUTHENTICATION
	extensions.auth.mechanism	Défini sur "MECHANISM_UNSPECIFIED"
inter_ip	intermediary.hostname	Définissez si inter_ip n'est pas une adresse IP valide.
inter_ip	intermediary.ip	Définissez si inter_ip est une adresse IP valide.
eventLabel	metadata.description	Valeur copiée directement
eventType	metadata.event_type	Définie sur "USER_LOGIN" si eventType est SUCCESSFUL_AUTHENTICATION ou FAILED_AUTHENTICATION ; "SERVICE_UNSPECIFIED" si SERVICE_ACCESS ou LDAP_SEARCH et principal_host_set est défini sur "true"
eventType	metadata.product_event_type	Valeur copiée directement
endpointDisplayName, ipAddress	principal.hostname	Définissez si endpointDisplayName != ipAddress et endpointDisplayName != ""
ipAddress, inter_ip	principal.ip	Valeur de ipAddress si ipAddress != inter_ip, sinon de inter_ip
networkType	principal.resource.name	Valeur copiée directement
	principal.resource.type	Définissez le paramètre sur "Type de réseau".
userDisplayName	principal.user.email_addresses	Définir si userDisplayName correspond à l'expression régulière de l'adresse e-mail
userDisplayName	principal.user.user_display_name	Valeur copiée directement
userEntity.secondaryDisplayName, userDisplayName	principal.user.userid	Valeur de userEntity.secondaryDisplayName si elle n'est pas vide, sinon valeur de userDisplayName si userEntity.secondaryDisplayName est vide
eventType	security_result.action	Définissez la valeur sur "ALLOW" (AUTORISER) si l'authentification est réussie (SUCCESSFUL_AUTHENTICATION) ou sur "BLOCK" (BLOQUER) si elle a échoué (FAILED_AUTHENTICATION).
eventSeverity	security_result.severity_details	Valeur copiée directement
authenticationType	security_result.summary	Valeur copiée directement
targetEntity.primaryDisplayName, targetServiceIdentifier, eventType, targetEntity.type	target.application	Valeur extraite de targetEntity.primaryDisplayName si targetEntity.type == "CLOUD_SERVICE", ou de targetServiceIdentifier si targetServiceIdentifier != "" et n'a pas été définie précédemment, ou "LDAP" si eventType == "LDAP_SEARCH" et n'a pas été définie précédemment
targetEntity.primaryDisplayName, targetEntity.type	target.hostname	Définissez cet attribut si targetEntity.type == "ENDPOINT".
targetServiceType	target.resource.name	Définir si targetServiceType != "" et != "UNKNOWN"
targetServiceType	target.resource.type	Définissez sur "Type de service" si targetServiceType != "" et != "UNKNOWN"
targetEntity.primaryDisplayName, targetEntity.type	target.user.user_display_name	Définir si targetEntity.type == "USER"
targetEntity.secondaryDisplayName, targetEntity.type	target.user.userid	Définir si targetEntity.type == "USER"
	metadata.product_name	Défini sur "PREEMPT_AUTH"
	metadata.vendor_name	Définie sur "Préemption"

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.