Raccogliere i log di preempt

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di Preempt in Google Security Operations utilizzando l'agente Bindplane.

Preempt Security è una piattaforma di rilevamento e risposta alle minacce all'identità che genera avvisi di sicurezza per le minacce di Active Directory, tra cui comportamento di autenticazione anomalo, escalation dei privilegi e movimento laterale. Esporta i log in formato CEF (Common Event Format) tramite syslog.

Nota :Preempt Security è stata acquisita da CrowdStrike a settembre 2020 ed è stata completamente integrata in CrowdStrike Falcon Identity Protection. Il prodotto Preempt autonomo non è più disponibile. Se hai eseguito la migrazione a CrowdStrike Falcon Identity Protection, consulta la guida Raccogliere i log di CrowdStrike Falcon.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Windows Server 2016 o versioni successive o host Linux con systemd
• Connettività di rete tra l'agente Bindplane e il server Preempt
• Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
• Accesso privilegiato alla console di gestione Preempt con autorizzazioni di amministratore

Recuperare il file di autenticazione dell'importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.

4. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

   Nota :questo file JSON contiene le credenziali per l'autenticazione dell'agente Bindplane in Google SecOps.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.

3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

   Nota: l'ID cliente è necessario per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri Prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sudo systemctl status observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

• Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/preempt:
          compression: gzip
          creds_file_path: '<CREDS_FILE_PATH>'
          customer_id: '<CUSTOMER_ID>'
          endpoint: <REGION_ENDPOINT>
          log_type: PREEMPT
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/preempt_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/preempt
  

Parametri di configurazione

Sostituisci i seguenti segnaposto:

• Configurazione del destinatario:

  • tcplog: Riceve syslog tramite TCP. Utilizza udplog se il deployment di Preempt inoltra tramite UDP.
  • 0.0.0.0:514: ascolta tutte le interfacce sulla porta 514. Se necessario, modifica la porta (ad esempio, 1514 per Linux non root).

• Configurazione dell'esportatore:

  • <CREDS_FILE_PATH>: Percorso completo del file di autenticazione dell'acquisizione:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <CUSTOMER_ID>: ID cliente del passaggio Recupera l'ID cliente Google SecOps.
  • <REGION_ENDPOINT>: URL dell'endpoint regionale:
    • Stati Uniti: malachiteingestion-pa.googleapis.com
    • Europa: europe-malachiteingestion-pa.googleapis.com
    • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Per l'elenco completo, consulta Endpoint regionali.

Salva il file di configurazione

• Dopo la modifica, salva il file:
  • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
  • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifica che il servizio sia in esecuzione:

     sudo systemctl status observiq-otel-collector
     

  2. Controlla i log per individuare eventuali errori:

     sudo journalctl -u observiq-otel-collector -f
     

• Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

  • Prompt dei comandi o PowerShell come amministratore:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console dei servizi:

    1. Premi Win+R, digita services.msc e premi Invio.
    2. Individua observIQ OpenTelemetry Collector.
    3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

    4. Verifica che il servizio sia in esecuzione:

       sc query observiq-otel-collector
       

    5. Controlla i log per individuare eventuali errori:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configura l'inoltro di syslog preemptive

Nota: Preempt Security è un prodotto ritirato. Queste istruzioni si applicano solo alle implementazioni legacy di Preempt. Se hai eseguito la migrazione a CrowdStrike Falcon Identity Protection, utilizza la guida all'integrazione di CrowdStrike.

1. Accedi alla console di gestione di Preempt.
2. Vai a Impostazioni > Integrazione SIEM.
3. Abilita l'inoltro di syslog.
4. Fornisci i seguenti dettagli di configurazione:
   • Protocollo: seleziona TCP (deve corrispondere alla configurazione del ricevitore dell'agente Bindplane).
   • Formato: seleziona CEF.
   • Indirizzo del server Syslog: inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
   • Porta: inserisci 514 (deve corrispondere alla porta del ricevitore dell'agente Bindplane).
5. Seleziona i tipi di eventi da inoltrare:
   • Avvisi
   • Violazioni dei criteri
   • Eventi di autenticazione anomali
6. Fai clic su Salva o Applica.
7. Verifica che i log vengano inviati controllando i log dell'agente Bindplane.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
event_id, _target	metadata.event_type	Impostato su "SCAN_NETWORK" se _target non è vuoto e event_id == "SUSPICIOUS_DOMAIN_ACTIVITY"; "USER_UNCATEGORIZED" se _target non è vuoto e event_id in ["UNUSUAL_ENDPOINT_ACCESS", "UNUSUAL_ACTIVITY", "UNUSUAL_ENDPOINT_USE"]; "NETWORK_UNCATEGORIZED" se event_id == "APPLIANCE_CONNECTIVITY_FAILURE"; altrimenti "GENERIC_EVENT"
event_id	metadata.product_event_type	Valore copiato direttamente
versione	metadata.product_version	Valore copiato direttamente
cs1	metadata.url_back_to_product	Valore di cs1 se cs1Label == "incidentLink"
	network.ip_protocol	Imposta su "TCP" se event_id == "APPLIANCE_CONNECTIVITY_FAILURE"
dhost, host	principal.hostname	Valore di dhost se dhost non è vuoto e non è un IP, altrimenti da host se host non è vuoto e non è un IP
dhost, host	principal.ip	Valore di dhost se dhost è IP, altrimenti di host se host è IP
description, event_name, act, cs5, cs2, externalId, cn2	security_result.description	Se la descrizione non è vuota, il valore viene estratto dalla descrizione; altrimenti, viene concatenato da event_name, act, status da cs5 se cs5Label == "status" o cs2 se cs2Label == "status", IncidentID da externalId, CompromisedEntities da cn2
cs1	security_result.rule_name	Valore di cs1 se cs1Label == "ruleName"
gravità	security_result.severity	Convertito da numero intero: HIGH se > 7, MEDIUM se > 4, LOW se > 2, INFORMATIONAL se > 0, altrimenti UNKNOWN_SEVERITY; oppure impostato su LOW se cat == "Policy Log" e severity == "INFO"
gravità	security_result.severity_details	Valore copiato direttamente
act, event_name	security_result.summary	Valore di act se non è vuoto, altrimenti di event_name
destinationServiceName	target.application	Valore di destinationServiceName se event_id == "APPLIANCE_CONNECTIVITY_FAILURE"
shost	target.hostname	Valore copiato direttamente
src, dst	target.ip	Valore di src o dst se event_id == "APPLIANCE_CONNECTIVITY_FAILURE"
suser	target.user.userid	Valore copiato direttamente
vendor	metadata.vendor_name	Valore del fornitore se non è vuoto, altrimenti impostato su "PreemptSecurity"
prodotto	metadata.product_name	Valore del prodotto se non è vuoto, altrimenti impostato su "PBF"

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.