Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

LDAP-Protokolle des Red Hat Verzeichnisservers erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie LDAP-Logs von Red Hat Directory Server mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Red Hat Directory Server ist ein LDAP-Verzeichnisdienst der Enterprise-Klasse, der auf offenen Standards basiert und eine zentrale Verwaltung von Nutzeridentitäten, Authentifizierung und Zugriffssteuerung für Linux- und UNIX-Umgebungen bietet. Directory Server speichert Zugriffs-, Fehler-, Audit-, Audit-Fehler- und Sicherheitslogs im Verzeichnis /var/log/dirsrv/slapd-instance_name/. Dort werden Clientverbindungen, LDAP-Vorgänge, Konfigurationsänderungen, fehlgeschlagene Vorgänge und Sicherheitsereignisse wie Authentifizierungsversuche und Autorisierungsprobleme aufgezeichnet.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Ein Linux-Host mit systemd
Netzwerkverbindung zwischen dem Bindplane-Agent und dem Red Hat Verzeichnisserver-Host
Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
Root- oder sudo-Zugriff auf den Red Hat Verzeichnisserver-Host
Red Hat Verzeichnisserver 11 oder höher installiert und ausgeführt
Der rsyslog-Dienst ist auf dem Verzeichnisserver-Host installiert und wird ausgeführt.

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Hinweis :Diese JSON-Datei enthält Anmeldedaten für die Authentifizierung des Bindplane-Agents bei Google SecOps.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Profile auf.
Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Linux-Betriebssystem gemäß der folgenden Anleitung.

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Warte, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sudo systemctl status observiq-otel-collector
```
Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agent.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Konfigurationsdatei bearbeiten

Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/redhat_ds:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: REDHAT_DIRECTORY_SERVER
        raw_log_field: body

service:
    pipelines:
        logs/redhat_ds:
            receivers:
                - udplog
            exporters:
                - chronicle/redhat_ds

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

Empfängerkonfiguration:
- udplog: Der Empfängertyp basierend auf dem Protokoll:
  - udplog für UDP-Syslog
  - tcplog für TCP-Syslog
  - syslog für RFC 3164/5424-Syslog
- 0.0.0.0: IP-Adresse, auf der gelauscht werden soll:
  - 0.0.0.0, um auf allen Schnittstellen zuzuhören (empfohlen)
  - Bestimmte IP-Adresse für die Überwachung einer Schnittstelle
- 514: Portnummer, an der gelauscht werden soll (z. B. 514, 1514, 6514)
Exporter-Konfiguration:
- <customer_id>: Kunden-ID aus dem vorherigen Schritt
- malachiteingestion-pa.googleapis.com: Regionale Endpunkt-URL:
  - USA: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Eine vollständige Liste finden Sie unter Regionale Endpunkte.
- Passen Sie creds_file_path je nach Plattform an:
  - Linux: /etc/bindplane-agent/ingestion-auth.json

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:
- Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:
```
sudo systemctl restart observiq-otel-collector
```
1. Prüfen Sie, ob der Dienst ausgeführt wird:
```
sudo systemctl status observiq-otel-collector
```
2. Logs auf Fehler prüfen:
```
sudo journalctl -u observiq-otel-collector -f
```

Audit- und Audit-Fehler-Logging in Red Hat Directory Server aktivieren

Standardmäßig aktiviert Red Hat Verzeichnisserver Zugriffs-, Fehler- und Sicherheitslogging, deaktiviert aber Audit- und Audit-Fehler-Logging. Aktivieren Sie diese Protokolle, um alle Verzeichnisänderungen und fehlgeschlagenen Vorgänge zu erfassen.

Öffnen Sie auf dem Verzeichnisserver-Host ein Terminal mit Root- oder sudo-Berechtigungen.
Aktivieren Sie das Audit-Log mit dem folgenden Befehl:
```
dsconf -D "cn=Directory Manager" instance_name config replace nsslapd-auditlog-logging-enabled=on
```
Hinweis: Ersetzen Sie instance_name durch den tatsächlichen Namen Ihrer Verzeichnisserverinstanz.

Aktivieren Sie das Audit-Fehlerprotokoll mit dem folgenden Befehl:

dsconf -D "cn=Directory Manager" instance_name config replace nsslapd-auditfaillog-logging-enabled=on

Prüfen Sie, ob alle Protokolltypen aktiviert sind:

dsconf -D "cn=Directory Manager" instance_name config get nsslapd-accesslog-logging-enabled nsslapd-errorlog-logging-enabled nsslapd-auditlog-logging-enabled nsslapd-auditfaillog-logging-enabled nsslapd-securitylog-logging-enabled

Prüfen Sie, ob die Logdateien im Logverzeichnis vorhanden sind:
```
ls -la /var/log/dirsrv/slapd-instance_name/
```
Hinweis: Sie sollten die folgenden Logdateien sehen: access, errors, audit, security. Das Audit-Fehlerprotokoll wird standardmäßig in dieselbe Datei wie das Audit-Log geschrieben, sofern nicht mit dem Attribut nsslapd-auditfaillog ein separater Pfad konfiguriert wurde.

Optional: Logging über die Webkonsole aktivieren

Melden Sie sich in der Webkonsole des Red Hat Directory Servers an.
Wählen Sie die Instanz aus.
Gehen Sie zu Server > Logging.
Wählen Sie den Protokolltyp aus, den Sie aktivieren möchten, z. B. Audit-Log.
Aktivieren Sie die Logging-Option für den ausgewählten Logtyp.
Klicken Sie auf Save Log Settings (Protokolleinstellungen speichern).

rsyslog so konfigurieren, dass Directory Server-Logs an den Bindplane-Agenten weitergeleitet werden

Red Hat Verzeichnisserver schreibt Protokolle in Dateien in /var/log/dirsrv/slapd-instance_name/ und nicht direkt in syslog. Verwenden Sie das rsyslog-Modul imfile, um diese Logdateien zu überwachen und die Einträge an den BindPlane-Agent weiterzuleiten.

Erstellen Sie eine neue rsyslog-Konfigurationsdatei für die Weiterleitung von Directory Server-Protokollen:
```
sudo nano /etc/rsyslog.d/rhds-forward.conf
```

Fügen Sie der Konfigurationsdatei den folgenden Inhalt hinzu:

# Load the imfile module to read log files
module(load="imfile" PollingInterval="10")

# Monitor the access log
input(type="imfile"
    File="/var/log/dirsrv/slapd-instance_name/access"
    Tag="dirsrv-access"
    Severity="info"
    Facility="local6")

# Monitor the error log
input(type="imfile"
    File="/var/log/dirsrv/slapd-instance_name/errors"
    Tag="dirsrv-errors"
    Severity="err"
    Facility="local6")

# Monitor the audit log
input(type="imfile"
    File="/var/log/dirsrv/slapd-instance_name/audit"
    Tag="dirsrv-audit"
    Severity="info"
    Facility="local6")

# Monitor the security log
input(type="imfile"
    File="/var/log/dirsrv/slapd-instance_name/security"
    Tag="dirsrv-security"
    Severity="info"
    Facility="local6")

# Forward all Directory Server logs to the Bindplane agent
local6.* @BINDPLANE_IP:514

Syntax der rsyslog-Konfiguration prüfen:
```
sudo rsyslogd -N1
```
Starten Sie den rsyslog-Dienst neu, damit die Änderungen wirksam werden:
```
sudo systemctl restart rsyslog
```
Prüfen Sie, ob Directory Server-Logs weitergeleitet werden, indem Sie die Bindplane-Agent-Logs prüfen:
```
sudo journalctl -u observiq-otel-collector -f
```
Hinweis :Generieren Sie einen LDAP-Vorgang (z. B. durch Ausführen einer ldapsearch-Abfrage), um Zugriffsprotokolleinträge zu erstellen und zu bestätigen, dass der Bindplane-Agent Ereignisse empfängt.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
`attrs_label`	`about.labels`	Zusammengeführt
`cn_label`	`about.labels`	Zusammengeführt
`conn_label`	`about.labels`	Zusammengeführt
`csn_label`	`about.labels`	Zusammengeführt
`err_label`	`about.labels`	Zusammengeführt
`etime_label`	`about.labels`	Zusammengeführt
`fd_label`	`about.labels`	Zusammengeführt
`filter_label`	`about.labels`	Zusammengeführt
`label`	`about.labels`	Zusammengeführt
`method_label`	`about.labels`	Zusammengeführt
`msgid_label`	`about.labels`	Zusammengeführt
`name_label`	`about.labels`	Zusammengeführt
`nentries_label`	`about.labels`	Zusammengeführt
`offset_label`	`about.labels`	Zusammengeführt
`op_label`	`about.labels`	Zusammengeführt
`optime_label`	`about.labels`	Zusammengeführt
`org_label`	`about.labels`	Zusammengeführt
`ou_label`	`about.labels`	Zusammengeführt
`scope_label`	`about.labels`	Zusammengeführt
`slot_label`	`about.labels`	Zusammengeführt
`tag_label`	`about.labels`	Zusammengeführt
`targetop_label`	`about.labels`	Zusammengeführt
`version_label`	`about.labels`	Zusammengeführt
`wtime_label`	`about.labels`	Zusammengeführt
`desc`	`metadata.description`	Direkt zugeordnet
`creationDate`	`metadata.event_timestamp`	Als `UNIX_MS` geparst
`recordDate`	`metadata.event_timestamp`	Als `UNIX_MS` geparst
`time`	`metadata.event_timestamp`	Als `dd/MMM/yyyy:HH:mm:ss Z` geparst
`ts`	`metadata.event_timestamp`	Als `MMM d HH:mm:ss` geparst
`operation`	`metadata.product_event_type`	Direkt zugeordnet
`mrId`	`metadata.product_log_id`	Direkt zugeordnet
`properties._ecs_agent_version`	`metadata.product_version`	Direkt zugeordnet
`host`	`principal.asset.hostname`	Direkt zugeordnet
`oid`	`principal.asset.product_object_id`	Direkt zugeordnet
`host`	`principal.hostname`	Direkt zugeordnet
`client_ip`	`principal.ip`	Zusammengeführt
`namespace`	`principal.namespace`	Direkt zugeordnet
`user`	`principal.user.userid`	Direkt zugeordnet
`sec_result`	`security_result`	Zusammengeführt
`properties._hostname`	`target.asset.hostname`	Direkt zugeordnet
`properties.host`	`target.asset.hostname`	Direkt zugeordnet
`properties._hostname`	`target.hostname`	Direkt zugeordnet
`properties.host`	`target.hostname`	Direkt zugeordnet
`target_ip`	`target.ip`	Zusammengeführt
`properties.country`	`target.location.country_or_region`	Direkt zugeordnet
`properties._file_path`	`target.process.file.full_path`	Direkt zugeordnet
`properties._file_size`	`target.process.file.size`	Umbenannt/zugeordnet
`discipline_label`	`target.resource.attribute.labels`	Zusammengeführt
`document_type_label`	`target.resource.attribute.labels`	Zusammengeführt
`environment_label`	`target.resource.attribute.labels`	Zusammengeführt
`hostgroup_label`	`target.resource.attribute.labels`	Zusammengeführt
`platform_label`	`target.resource.attribute.labels`	Zusammengeführt
`product_label`	`target.resource.attribute.labels`	Zusammengeführt
`project_label`	`target.resource.attribute.labels`	Zusammengeführt
`base`	`target.user.group_identifiers`	Zusammengeführt
`dn`	`target.user.group_identifiers`	Zusammengeführt
–	`metadata.event_type`	Konstante: `NETWORK_CONNECTION`
–	`metadata.product_name`	Konstante: `REDHAT_DIRECTORY_SERVER`
–	`metadata.vendor_name`	Konstante: `REDHAT`
–	`target.platform`	Konstante: `LINUX`
`properties._file_inode`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`properties._file_offset`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`conn`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`op`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`err`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`tag`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`nentries`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`wtime`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`optime`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`etime`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`csn`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`cn`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`ou`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`filter`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`attrs`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`scope`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`o`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`targetop`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`msgid`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`method`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`version`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`fd`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`slot`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`name`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`properties.discipline" ,"properties.document_type" ,"properties.environment" ,"properties.hostgroup" ,"properties.platform" ,"properties.product`	`target.resource.attribute.labels`	Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten