Coletar registros de remoção

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros de remoção preventiva no Google Security Operations usando o agente Bindplane.

A Preempt Security é uma plataforma de detecção e resposta a ameaças de identidade que gera alertas de segurança para ameaças do Active Directory, incluindo comportamento de autenticação anômalo, escalonamento de privilégios e movimentação lateral. Ele exporta registros no formato CEF (Common Event Format) via syslog.

Observação: a Preempt Security foi adquirida pela CrowdStrike em setembro de 2020 e foi totalmente integrada ao CrowdStrike Falcon Identity Protection. O produto independente Preempt não está mais disponível. Se você migrou para o CrowdStrike Falcon Identity Protection, consulte o guia Coletar registros do CrowdStrike Falcon.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps
• Windows Server 2016 ou mais recente ou host Linux com systemd
• Conectividade de rede entre o agente do Bindplane e o servidor Preempt
• Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
• Acesso privilegiado ao console de gerenciamento do Preempt com permissões de administrador

Receber o arquivo de autenticação de ingestão do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Baixe o arquivo de autenticação de ingestão.

4. Salve o arquivo com segurança no sistema em que o Bindplane será instalado.

   Observação: esse arquivo JSON contém credenciais para autenticar o agente do Bindplane no Google SecOps.

Receber o ID de cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.

3. Copie e salve o ID do cliente na seção Detalhes da organização.

   Observação: o ID do cliente é necessário para configurar o exportador do agente Bindplane.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

1. Abra o prompt de comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Aguarde a conclusão da instalação.

4. Execute o seguinte comando para confirmar a instalação:

   sc query observiq-otel-collector
   

   O serviço vai aparecer como EM EXECUÇÃO.

Instalação do Linux

1. Abra um terminal com privilégios de root ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Aguarde a conclusão da instalação.

4. Execute o seguinte comando para confirmar a instalação:

   sudo systemctl status observiq-otel-collector
   

   O serviço vai aparecer como ativo (em execução).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

Localizar o arquivo de configuração

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Editar o arquivo de configuração

• Substitua todo o conteúdo de config.yaml pela seguinte configuração:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/preempt:
          compression: gzip
          creds_file_path: '<CREDS_FILE_PATH>'
          customer_id: '<CUSTOMER_ID>'
          endpoint: <REGION_ENDPOINT>
          log_type: PREEMPT
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/preempt_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/preempt
  

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

• Configuração do receptor:

  • tcplog: recebe syslog por TCP. Use udplog se a implantação do Preempt encaminhar por UDP.
  • 0.0.0.0:514: detecta todas as interfaces na porta 514. Mude a porta se necessário (por exemplo, 1514 para Linux não root).

• Configuração do exportador:

  • <CREDS_FILE_PATH>: caminho completo para o arquivo de autenticação de ingestão:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <CUSTOMER_ID>: ID do cliente da etapa Receber ID do cliente do Google SecOps.
  • <REGION_ENDPOINT>: URL do endpoint regional:
    • EUA: malachiteingestion-pa.googleapis.com
    • Europa: europe-malachiteingestion-pa.googleapis.com
    • Ásia: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Consulte a lista completa em Endpoints regionais.

Salvar o arquivo de configuração

• Depois de editar, salve o arquivo:
  • Linux: pressione Ctrl+O, Enter e Ctrl+X.
  • Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças.

• Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifique se o serviço está em execução:

     sudo systemctl status observiq-otel-collector
     

  2. Verifique se há erros nos registros:

     sudo journalctl -u observiq-otel-collector -f
     

• Para reiniciar o agente do Bindplane em Windows, escolha uma das seguintes opções:

  • Prompt de comando ou PowerShell como administrador:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console de serviços:

    1. Pressione Win+R, digite services.msc e pressione Enter.
    2. Localize o Coletor do OpenTelemetry da observIQ.
    3. Clique com o botão direito do mouse e selecione Reiniciar.

    4. Verifique se o serviço está em execução:

       sc query observiq-otel-collector
       

    5. Verifique se há erros nos registros:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configurar o encaminhamento do Syslog de remoção preventiva

Observação: o Preempt Security é um produto descontinuado. Estas instruções se aplicam apenas a implantações legadas do Preempt. Se você migrou para o CrowdStrike Falcon Identity Protection, use o guia de integração do CrowdStrike.

1. Faça login no console de gerenciamento do Preempt.
2. Acesse Configurações > Integração do SIEM.
3. Ative o encaminhamento de syslog.
4. Informe os seguintes detalhes de configuração:
   • Protocolo: selecione TCP (precisa corresponder à configuração do receptor do agente Bindplane).
   • Formato: selecione CEF.
   • Endereço do servidor Syslog: insira o endereço IP do host do agente Bindplane (por exemplo, 192.168.1.100).
   • Porta: insira 514 (precisa corresponder à porta do receptor do agente do Bindplane).
5. Selecione os tipos de eventos a serem encaminhados:
   • Alertas
   • Violações da política
   • Eventos de autenticação anômalos
6. Clique em Salvar ou Aplicar.
7. Verifique se os registros estão sendo enviados conferindo os registros do agente do Bindplane.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento do UDM	Lógica
event_id, _target	metadata.event_type	Definido como "SCAN_NETWORK" se _target não estiver vazio e event_id == "SUSPICIOUS_DOMAIN_ACTIVITY"; "USER_UNCATEGORIZED" se _target não estiver vazio e event_id estiver em ["UNUSUAL_ENDPOINT_ACCESS", "UNUSUAL_ACTIVITY", "UNUSUAL_ENDPOINT_USE"]; "NETWORK_UNCATEGORIZED" se event_id == "APPLIANCE_CONNECTIVITY_FAILURE"; caso contrário, "GENERIC_EVENT"
event_id	metadata.product_event_type	Valor copiado diretamente
versão	metadata.product_version	Valor copiado diretamente
cs1	metadata.url_back_to_product	Valor de cs1 se cs1Label == "incidentLink"
	network.ip_protocol	Defina como "TCP" se event_id == "APPLIANCE_CONNECTIVITY_FAILURE"
dhost, host	principal.hostname	Valor de dhost se dhost não estiver vazio e não for IP. Caso contrário, valor de host se host não estiver vazio e não for IP.
dhost, host	principal.ip	Valor de dhost se dhost for IP, caso contrário, de host se host for IP
description, event_name, act, cs5, cs2, externalId, cn2	security_result.description	Se a descrição não estiver vazia, o valor será da descrição. Caso contrário, será concatenado de event_name, act, status de cs5 se cs5Label == "status" ou cs2 se cs2Label == "status", IncidentID de externalId, CompromisedEntities de cn2
cs1	security_result.rule_name	Valor de cs1 se cs1Label == "ruleName"
gravidade,	security_result.severity	Convertido de número inteiro: HIGH se > 7, MEDIUM se > 4, LOW se > 2, INFORMATIONAL se > 0, caso contrário, UNKNOWN_SEVERITY; ou definido como LOW se cat == "Policy Log" e severity == "INFO"
gravidade,	security_result.severity_details	Valor copiado diretamente
act, event_name	security_result.summary	Valor da ação, se não estiver vazio, ou de event_name
destinationServiceName	target.application	Valor de destinationServiceName se event_id == "APPLIANCE_CONNECTIVITY_FAILURE"
shost	target.hostname	Valor copiado diretamente
src, dst	target.ip	Valor de src ou dst se event_id == "APPLIANCE_CONNECTIVITY_FAILURE"
suser	target.user.userid	Valor copiado diretamente
fornecedor	metadata.vendor_name	Valor do fornecedor se não estiver vazio. Caso contrário, será definido como "PreemptSecurity".
produto	metadata.product_name	Valor do produto se não estiver vazio. Caso contrário, defina como "PBF".

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.