Collecter les journaux Ivanti Connect Secure (Pulse Secure)

Compatible avec :

Ce document explique comment ingérer des journaux Ivanti Connect Secure (Pulse Secure) dans Google Security Operations à l'aide de l'agent Bindplane.

Ivanti Connect Secure (anciennement Pulse Secure) est une solution VPN SSL qui fournit un accès à distance sécurisé aux applications, ressources et réseaux d'entreprise. Il est compatible avec l'authentification multifacteur, la vérification de la conformité des points de terminaison et les règles d'accès précises pour les télétravailleurs et les partenaires.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
  • Accès privilégié à la console d'administration Ivanti Connect Secure (Pulse Secure)

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour configurer l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres > Gestion des données > Agents de collecte. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir le numéro client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres > Administration > Profil. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Profil.

  3. Copiez et enregistrez le numéro client de la section Détails de l'organisation.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation sous Linux

  1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit s'afficher comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour obtenir des options d'installation et de dépannage supplémentaires, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'PULSE_SECURE_VPN'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • udplog : utilisez udplog pour syslog UDP ou tcplog pour syslog TCP.
    • 0.0.0.0 : adresse IP sur laquelle écouter (0.0.0.0 pour écouter sur toutes les interfaces)
    • 514 : numéro de port sur lequel écouter (port syslog standard)

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
      • Linux : /opt/observiq-otel-collector/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID : ID client de la section "Obtenir l'ID client"
    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.
    • log_type : type de journal exactement tel qu'il apparaît dans Chronicle (PULSE_SECURE_VPN)

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'PULSE_SECURE_VPN'
    raw_log_field: body
    ingestion_labels:

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent BindPlane pour appliquer les modifications.

  • Pour redémarrer l'agent BindPlane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      sudo systemctl status observiq-otel-collector

    2. Vérifiez les journaux pour détecter d'éventuelles erreurs :

      sudo journalctl -u observiq-otel-collector -f

  • Pour redémarrer l'agent BindPlane sous Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Vérifiez les journaux pour détecter d'éventuelles erreurs :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert syslog sur Ivanti Connect Secure (Pulse Secure)

  1. Connectez-vous à la console d'administration Ivanti Connect Secure (anciennement Pulse Secure).
  2. Accédez à System > Log/Monitoring (Système > Journal/Surveillance).
  3. Cliquez sur l'onglet Paramètres.
  4. Dans la section de configuration du serveur syslog, fournissez les informations suivantes :
    • Nom/IP du serveur : saisissez l'adresse IP ou le nom de domaine complet de l'hôte de l'agent BindPlane.
    • Facility (Fonction) : sélectionnez LOCAL0 (ou la fonction de votre choix entre LOCAL0 et LOCAL7).
    • Type : sélectionnez UDP.
    • Filtre : sélectionnez Standard.
    • Interface source : sélectionnez Global (ou l'interface spécifique pouvant atteindre l'agent BindPlane).
  5. Cliquez sur Ajouter.
  6. Cliquez sur Enregistrer les modifications.

  7. Activez les rapports syslog pour chaque catégorie de journaux en procédant comme suit dans chaque onglet de journal local :

    1. Cliquez sur l'onglet Événements, cochez la case du serveur syslog, puis cliquez sur Enregistrer les modifications.
    2. Cliquez sur l'onglet User Access (Accès utilisateur), cochez la case du serveur syslog, puis cliquez sur Save Changes (Enregistrer les modifications).
    3. Cliquez sur l'onglet Admin Access (Accès administrateur), cochez la case du serveur syslog, puis cliquez sur Save Changes (Enregistrer les modifications).

  8. Vérifiez que les messages syslog sont envoyés en consultant les journaux de l'agent BindPlane.

Table de mappage UDM

Champ du journal Mappage UDM Logique
action security_result.action_details Mappé directement à partir du champ d'action.
application principal.application Mappé directement à partir du champ de l'application.
bytes_read network.received_bytes Mappé directement à partir du champ bytes_read et converti en entier non signé.
bytes_written network.sent_bytes Mappé directement à partir du champ bytes_written et converti en entier non signé.
client_host principal.hostname, principal.asset.hostname Mappé directement à partir du champ client_host.
cmd principal.process.command_line Mappé directement à partir du champ cmd.
connection_status security_result.detection_fields.value.string_value Mappé directement à partir du champ connection_status.
data_time metadata.event_timestamp.seconds Analysé à partir du champ data_time à l'aide de différents formats de code temporel (MM-jj-aaaa HH:mm:ss Z, RFC 3339, ISO8601, MMM j HH:mm:ss, MMM j HH:mm:ss).
devname principal.hostname, principal.asset.hostname Mappé directement à partir du champ "devname".
dstip target.ip, target.asset.ip Mappé directement à partir du champ dstip.
dstport target.port Mappé directement à partir du champ dstport et converti en entier.
dstcountry target.location.country_or_region Mappé directement à partir du champ dstcountry s'il n'est pas défini sur "Reserved" ou vide.
duration network.session_duration.seconds Mappé directement à partir du champ de durée et converti en entier.
dvc intermediary.hostname ou intermediary.ip Si le champ dvc peut être converti en adresse IP, il est mappé sur intermediary.ip. Sinon, il est mappé sur intermediary.hostname.
dvc_hostname intermediary.hostname, principal.hostname, principal.asset.hostname ou intermediary.ip, principal.ip, principal.asset.ip Si le champ dvc_hostname peut être converti en adresse IP, il est mappé aux champs d'adresse IP correspondants. Sinon, il est mappé aux champs de nom d'hôte correspondants.
event_type metadata.product_event_type Mappé directement à partir du champ event_type.
failure_reason security_result.description Mappé directement à partir du champ failure_reason. Si le message contient "because host", le texte "host" est ajouté au début du motif de l'échec.
has_principal event.idm.read_only_udm.principal (présence) Définissez cette option sur "true" si des champs principaux sont renseignés, ou sur "false" dans le cas contraire. Dérivé par la logique de l'analyseur.
has_target event.idm.read_only_udm.target (présence) Définissez cette option sur "true" si des champs cibles sont renseignés, ou sur "false" dans le cas contraire. Dérivé par la logique de l'analyseur.
has_target_user event.idm.read_only_udm.target.user.userid (présence) Définissez cette option sur "true" si target.user.userid est renseigné, ou sur "false" dans le cas contraire. Dérivé par la logique de l'analyseur.
host_ip principal.ip, principal.asset.ip Mappé directement à partir du champ host_ip.
host_mac principal.mac Mappé directement à partir du champ host_mac, en remplaçant les traits d'union par des deux-points.
http_method network.http.method Mappé directement à partir du champ http_method.
http_response network.http.response_code Mappé directement à partir du champ http_response et converti en entier.
info_desc about.labels.value Mappé directement à partir du champ info_desc.
ip_new target.ip, target.asset.ip Mappé directement à partir du champ ip_new.
niveau security_result.severity, security_result.severity_details Le champ security_result.severity est dérivé du champ level ("error"/"warning" -> HIGH, "notice" -> MEDIUM, "information"/"info" -> LOW). La valeur brute du niveau est également mappée à security_result.severity_details.
logid metadata.product_log_id Mappé directement à partir du champ logid.
locip principal.ip, principal.asset.ip Mappé directement à partir du champ locip.
message metadata.description Utilisé pour extraire divers champs à l'aide des filtres grok et kv. Si le message contient "EventID", il est traité comme un journal des événements Windows.
message_info metadata.description Directement mappé à metadata.description s'il n'est pas utilisé dans des modèles grok plus spécifiques.
Message metadata.product_event_type, metadata.description Si le champ "msg" est présent, le type de produit est extrait et mappé à metadata.product_event_type, et le reste du message est mappé à metadata.description.
msg_hostname principal.hostname, principal.asset.hostname Mappé directement à partir du champ msg_hostname.
msg_ip principal.ip, principal.asset.ip Mappé directement à partir du champ msg_ip.
msg_user_agent network.http.user_agent, network.http.parsed_user_agent, metadata.product_version La chaîne user-agent est mappée à network.http.user_agent, le user-agent analysé est mappé à network.http.parsed_user_agent et la version du produit (le cas échéant) est mappée à metadata.product_version.
network_duration network.session_duration.seconds Mappé directement à partir du champ network_duration et converti en entier.
policyid security_result.rule_id Mappé directement à partir du champ policyid.
policyname security_result.rule_name Mappé directement à partir du champ policyname.
policytype security_result.rule_type Mappé directement à partir du champ policytype.
priority_code about.labels.value Mappé directement à partir du champ priority_code et également utilisé pour dériver about.labels.value pour la clé "Severity" (voir la logique).
prod_name metadata.product_name Mappé directement à partir du champ prod_name.
product_type metadata.product_event_type Mappé directement à partir du champ product_type.
product_version metadata.product_version Mappé directement à partir du champ product_version.
proto network.ip_protocol Mappé sur network.ip_protocol après avoir été converti en nom de protocole IP à l'aide d'une recherche.
pwd principal.process.file.full_path Mappé directement à partir du champ pwd.
domaine principal.group.attribute.labels.value Mappé directement à partir du champ "realm".
rcvdbyte network.received_bytes Mappé directement à partir du champ rcvdbyte et converti en entier non signé.
remip target.ip Mappé directement à partir du champ remip.
resource_name target.resource.name Mappé directement à partir du champ resource_name après suppression des espaces blancs et des traits d'union de début et de fin.
resource_status security_result.description Mappé directement à partir du champ resource_status.
resource_user_group principal.user.group_identifiers Mappé directement à partir du champ resource_user_group.
resource_user_name principal.user.userid Mappé directement à partir du champ resource_user_name.
rôles principal.user.group_identifiers Mappé directement à partir du champ "roles".
sentbyte network.sent_bytes Mappé directement à partir du champ sentbyte et converti en entier non signé.
session_id network.session_id Mappé directement à partir du champ session_id.
sessionid network.session_id Mappé directement à partir du champ sessionid.
srcip principal.ip, principal.asset.ip Mappé directement à partir du champ srcip.
srcport principal.port Mappé directement à partir du champ srcport et converti en entier.
srccountry principal.location.country_or_region Mappé directement à partir du champ srccountry s'il n'est pas "Reserved" ou vide.
subtype metadata.product_event_type Utilisé avec le type pour former metadata.product_event_type.
target_file target.file.full_path Mappé directement à partir du champ target_file.
target_host target.hostname, target.asset.hostname Mappé directement à partir du champ target_host.
target_ip target.ip, target.asset.ip Mappé directement à partir du champ target_ip.
target_port target.port Mappé directement à partir du champ target_port et converti en entier.
target_url target.url Mappé directement à partir du champ target_url.
heure metadata.event_timestamp.seconds Analysé à partir du champ d'heure au format "aaaa-MM-jj HH:mm:ss".
type metadata.product_event_type Utilisé conjointement avec le sous-type pour former metadata.product_event_type.
u_event_source_ip principal.ip, principal.asset.ip ou target.ip Si target_ip ou target_host sont présents, u_event_source_ip est mappé à principal.ip et principal.asset.ip. Sinon, si target_ip, target_host et target_url sont tous vides, u_event_source_ip est mappé sur target.ip.
u_observer_ip observer.ip Mappé directement à partir du champ u_observer_ip.
u_prin_ip principal.ip, principal.asset.ip Mappé directement à partir du champ u_prin_ip.
utilisateur target.user.userid Mappé directement à partir du champ utilisateur.
user_agent network.http.user_agent, network.http.parsed_user_agent La chaîne user-agent est mappée à network.http.user_agent, et le user-agent analysé est mappé à network.http.parsed_user_agent.
user_group_identifier target.user.group_identifiers ou principal.user.group_identifiers Mappé sur target.user.group_identifiers dans la plupart des cas. Mappé sur principal.user.group_identifiers dans les événements de changement d'adresse IP (USER_UNCATEGORIZED) et de restrictions de domaine.
user_ip principal.ip, principal.asset.ip Mappé directement à partir du champ user_ip. Si ce champ est vide et que "u_event_source_ip" ne l'est pas, il prend la valeur de "u_event_source_ip".
nom d'utilisateur principal.user.userid ou target.user.userid Mappé sur principal.user.userid dans la plupart des cas. Mappé sur target.user.userid dans certains scénarios spécifiques (par exemple, lorsque detect_user_logout_failed est défini sur "false" et detect_policy_change_failed est défini sur "false").
username_removed target.user.userid Mappé directement à partir du champ username_removed.
vd principal.administrative_domain Mappé directement à partir du champ vd.
client_ip event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
client_ip event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
req_host event.idm.read_only_udm.target.hostname Mappé à partir du journal des modifications
req_host event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
target_url event.idm.read_only_udm.target.url Mappé à partir du journal des modifications
http_method event.idm.read_only_udm.network.http.method Mappé à partir du journal des modifications
referrer_url event.idm.read_only_udm.network.http.referral_url Mappé à partir du journal des modifications
sr_action event.idm.read_only_udm.security_result.action Mappé à partir du journal des modifications
http_version event.idm.read_only_udm.network.application_protocol_version Mappé à partir du journal des modifications
server_name event.idm.read_only_udm.intermediary.hostname Mappé à partir du journal des modifications
server_name event.idm.read_only_udm.intermediary.asset.hostname Mappé à partir du journal des modifications
BLOCK security_result.action Mappé à partir du journal des modifications
Pulse Secure VPN metadatda.product_name Mappé à partir du journal des modifications
observer_hostname observer.hostname Mappé à partir du journal des modifications
priority_code", "Syslog_version", and "info_desc about.labels Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.