Recopila registros de la instancia interrumpible

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de Preempt a Google Security Operations con el agente de Bindplane.

Preempt Security es una plataforma de detección y respuesta ante amenazas de identidad que genera alertas de seguridad para las amenazas de Active Directory, incluido el comportamiento anómalo de autenticación, la elevación de privilegios y el movimiento lateral. Exporta registros en formato CEF (Common Event Format) a través de syslog.

Nota: CrowdStrike adquirió Preempt Security en septiembre de 2020, y se integró por completo en CrowdStrike Falcon Identity Protection. El producto independiente Preempt ya no está disponible. Si migraste a CrowdStrike Falcon Identity Protection, consulta la guía Cómo recopilar registros de CrowdStrike Falcon.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Windows Server 2016 o versiones posteriores, o host de Linux con systemd
• Conectividad de red entre el agente de Bindplane y el servidor de Preempt
• Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
• Acceso privilegiado a la consola de administración de Preempt con permisos de administrador

Obtén el archivo de autenticación de transferencia de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recopilación.
3. Descarga el archivo de autenticación de transferencia.

4. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

   Nota: Este archivo JSON contiene credenciales para autenticar el agente de Bindplane en Google SecOps.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.

3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

   Nota: Se requiere el ID del cliente para configurar el exportador del agente de Bindplane.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el comando siguiente:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Espera a que se complete la instalación.

4. Ejecuta el siguiente comando para verificar la instalación:

   sc query observiq-otel-collector
   

   El servicio debe mostrarse como RUNNING.

Instalación en Linux

1. Abre una terminal con privilegios de raíz o sudo.

2. Ejecuta el comando siguiente:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Espera a que se complete la instalación.

4. Ejecuta el siguiente comando para verificar la instalación:

   sudo systemctl status observiq-otel-collector
   

   El servicio debería mostrarse como activo (en ejecución).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solucionar problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir el registro del sistema y enviarlo a Google SecOps

Ubica el archivo de configuración

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Edita el archivo de configuración

• Reemplaza todo el contenido de config.yaml por la siguiente configuración:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/preempt:
          compression: gzip
          creds_file_path: '<CREDS_FILE_PATH>'
          customer_id: '<CUSTOMER_ID>'
          endpoint: <REGION_ENDPOINT>
          log_type: PREEMPT
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/preempt_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/preempt
  

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

• Configuración del receptor:

  • tcplog: Recibe registros del sistema a través de TCP. Usa udplog si tu implementación de Preempt reenvía a través de UDP.
  • 0.0.0.0:514: Escucha en todas las interfaces del puerto 514. Cambia el puerto si es necesario (por ejemplo, 1514 para Linux sin acceso de administrador).

• Configuración del exportador:

  • <CREDS_FILE_PATH>: Ruta de acceso completa al archivo de autenticación de la transferencia:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <CUSTOMER_ID>: Es el ID de cliente del paso Obtén el ID de cliente de Google SecOps.
  • <REGION_ENDPOINT>: URL del endpoint regional:
    • EE.UU.: malachiteingestion-pa.googleapis.com
    • Europa: europe-malachiteingestion-pa.googleapis.com
    • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Consulta Extremos regionales para obtener la lista completa.

Cómo guardar el archivo de configuración

• Después de editarlo, guarda el archivo:
  • Linux: Presiona Ctrl+O, luego Enter y, después, Ctrl+X.
  • Windows: Haz clic en Archivo > Guardar.

Reinicia el agente de Bindplane para aplicar los cambios

• Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifica que el servicio esté en ejecución:

     sudo systemctl status observiq-otel-collector
     

  2. Revisa los registros en busca de errores:

     sudo journalctl -u observiq-otel-collector -f
     

• Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:

  • Símbolo del sistema o PowerShell como administrador:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Consola de Servicios:

    1. Presiona Win+R, escribe services.msc y presiona Intro.
    2. Busca observIQ OpenTelemetry Collector.
    3. Haz clic con el botón derecho y selecciona Reiniciar.

    4. Verifica que el servicio esté en ejecución:

       sc query observiq-otel-collector
       

    5. Revisa los registros en busca de errores:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configura el reenvío de Syslog de instancias interrumpibles

Nota: Preempt Security es un producto que dejó de estar disponible. Estas instrucciones solo se aplican a las implementaciones heredadas de Preempt. Si migraste a CrowdStrike Falcon Identity Protection, usa la guía de integración de CrowdStrike.

1. Accede a la consola de administración de Preempt.
2. Navega a Configuración > Integración de SIEM.
3. Habilita el reenvío de syslog.
4. Proporciona los siguientes detalles de configuración:
   • Protocol: Selecciona TCP (debe coincidir con la configuración del receptor del agente de Bindplane).
   • Formato: Selecciona CEF.
   • Dirección del servidor Syslog: Ingresa la dirección IP del host del agente de BindPlane (por ejemplo, 192.168.1.100).
   • Puerto: Ingresa 514 (debe coincidir con el puerto del receptor del agente de BindPlane).
5. Selecciona los tipos de eventos que deseas reenviar:
   • Alertas
   • Incumplimientos de política
   • Eventos de autenticación anómalos
6. Haz clic en Guardar o Aplicar.
7. Para verificar que se envíen los registros, consulta los registros del agente de Bindplane.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
event_id, _target	metadata.event_type	Se establece en "SCAN_NETWORK" si _target no está vacío y event_id == "SUSPICIOUS_DOMAIN_ACTIVITY"; "USER_UNCATEGORIZED" si _target no está vacío y event_id está en ["UNUSUAL_ENDPOINT_ACCESS", "UNUSUAL_ACTIVITY", "UNUSUAL_ENDPOINT_USE"]; "NETWORK_UNCATEGORIZED" si event_id == "APPLIANCE_CONNECTIVITY_FAILURE"; de lo contrario, "GENERIC_EVENT".
event_id	metadata.product_event_type	El valor se copió directamente.
versión	metadata.product_version	El valor se copió directamente.
cs1	metadata.url_back_to_product	Valor de cs1 si cs1Label == "incidentLink"
	network.ip_protocol	Se establece en "TCP" si event_id == "APPLIANCE_CONNECTIVITY_FAILURE"
dhost, host	principal.hostname	Valor de dhost si dhost no está vacío y no es una IP; de lo contrario, valor de host si host no está vacío y no es una IP
dhost, host	principal.ip	Valor de dhost si dhost es una IP; de lo contrario, valor de host si host es una IP
description, event_name, act, cs5, cs2, externalId, cn2	security_result.description	Si la descripción no está vacía, se usa el valor de la descripción; de lo contrario, se concatena event_name, act y status de cs5 si cs5Label == "status" o cs2 si cs2Label == "status", IncidentID de externalId y CompromisedEntities de cn2.
cs1	security_result.rule_name	Valor de cs1 si cs1Label == "ruleName"
gravedad,	security_result.severity	Se convierte de un número entero: HIGH si es > 7, MEDIUM si es > 4, LOW si es > 2, INFORMATIONAL si es > 0; de lo contrario, UNKNOWN_SEVERITY; o se establece en LOW si cat == "Policy Log" y severity == "INFO".
gravedad,	security_result.severity_details	El valor se copió directamente.
act, event_name	security_result.summary	Valor del acto si no está vacío; de lo contrario, proviene de event_name
destinationServiceName	target.application	Valor de destinationServiceName si event_id == "APPLIANCE_CONNECTIVITY_FAILURE"
shost	target.hostname	El valor se copió directamente.
src, dst	target.ip	Valor de src o dst si event_id == "APPLIANCE_CONNECTIVITY_FAILURE"
suser	target.user.userid	El valor se copió directamente.
vendor	metadata.vendor_name	Valor del proveedor si no está vacío; de lo contrario, se establece en "PreemptSecurity".
producto	metadata.product_name	Valor del producto si no está vacío; de lo contrario, se establece en "PBF".

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.