Coletar registros do SecureAuth Identity Platform

Compatível com:

Este documento explica como ingerir registros da SecureAuth Identity Platform no Google Security Operations usando o agente Bindplane.

O SecureAuth Identity Platform é uma solução de gerenciamento de identidade e logon único que gera mensagens syslog para eventos de autenticação, atividade de sessão, decisões de controle de acesso e trilhas de auditoria. O analisador extrai campos de registros formatados em syslog e XML usando padrões grok e os mapeia para o modelo de dados unificado (UDM).

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Uma instância do Google SecOps
  • Windows Server 2016 ou mais recente ou host Linux com systemd
  • Conectividade de rede entre o agente do Bindplane e a plataforma de identidade SecureAuth
  • Se estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente Bindplane.
  • Acesso privilegiado ao SecureAuth

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Baixe o arquivo de autenticação de ingestão.

  4. Salve o arquivo de forma segura no sistema em que o Bindplane será instalado.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.

  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o prompt de comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sc query observiq-otel-collector

    O serviço vai aparecer como EM EXECUÇÃO.

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sudo systemctl status observiq-otel-collector

    O serviço vai aparecer como ativo (em execução).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Configurar o syslog e enviar para o Google SecOps

Localizar o arquivo de configuração

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Editar o arquivo de configuração

  • Substitua todo o conteúdo de config.yaml pela seguinte configuração:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/secureauth_sso:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: SECUREAUTH_SSO
        raw_log_field: body

service:
    pipelines:
        logs/secureauth_sso_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/secureauth_sso

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

  • Configuração do receptor:

    • listen_address: endereço IP e porta a serem detectados:
      • 0.0.0.0 para detectar em todas as interfaces (recomendado)
      • A porta 514 é a porta padrão do syslog. Ela exige acesso root no Linux. Use 1514 para acesso não root.

  • Configuração do exportador:

    • creds_file_path: caminho completo para o arquivo de autenticação de ingestão:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID do cliente copiado do console do Google SecOps
    • endpoint: URL do endpoint regional:
      • EUA: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Ásia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Consulte a lista completa em Endpoints regionais.

Salve o arquivo de configuração.

  • Depois de editar, salve o arquivo:
    • Linux: pressione Ctrl+O, Enter e Ctrl+X.
    • Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças

  • Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifique se o serviço está em execução:

      sudo systemctl status observiq-otel-collector

    2. Verifique se há erros nos registros:

      sudo journalctl -u observiq-otel-collector -f

  • Para reiniciar o agente do Bindplane no Windows, escolha uma das seguintes opções:

    • Prompt de comando ou PowerShell como administrador:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console de serviços:

      1. Pressione Win+R, digite services.msc e pressione Enter.
      2. Localize o Coletor do OpenTelemetry da observIQ.
      3. Clique com o botão direito do mouse e selecione Reiniciar.

      4. Verifique se o serviço está em execução:

        sc query observiq-otel-collector

      5. Verifique se há erros nos registros:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurar o SecureAuth Identity Platform

  1. Faça login no SecureAuth Identity console como administrador.
  2. Selecione Registros.
  3. Forneça os seguintes detalhes de configuração na seção Opções de registro em log:
    • ID da instância de registro: insira o ID da instância de registro, o nome do aplicativo ou o nome do domínio (por exemplo, SecureAuth1).
    • Registros de auditoria: marque a caixa de seleção Syslog.
    • Registros de erros: marque a caixa de seleção Syslog.
    • Servidor Syslog: insira o endereço IP do seu agente do Bindplane.
    • Porta do Syslog: insira o número da porta do agente do Bindplane (por exemplo, 514).
    • Especificação RFC do Syslog: selecione RFC 5424.
  4. Clique em Salvar.

Tabela de mapeamento do UDM

Campo de registro Mapeamento de UDM Lógica
action_msg read_only_udm.target.process.command_line Valor do campo action_msg
Dispositivo read_only_udm.principal.domain.name Valor do campo Appliance
Dispositivo read_only_udm.target.administrative_domain Valor do campo Appliance
BrowserSession read_only_udm.network.session_id Valor do campo BrowserSession
gato read_only_udm.metadata.product_event_type Valor do campo cat
Categoria read_only_udm.metadata.product_event_type Valor do campo Category
cn1 security_result.severity Mapeado com base no valor de cn1 quando cn1Label é "Priority": 1 - HIGH, 2 - MEDIUM, 3 ou 4 - LOW
Empresa read_only_udm.additional.fields.value.string_value Valor do campo Company
cs1 read_only_udm.network.session_id Valor do campo cs1 quando cs1Label é "BrowserSession"
cs3 read_only_udm.additional.fields.value.string_value Valor do campo cs3 quando cs3Label é "CompanyName"
dst read_only_udm.target.ip Valor do campo dst
domínio read_only_udm.principal.domain.name Valor do campo domain
dvc read_only_udm.intermediary.ip Valor do campo dvc
EventID read_only_udm.metadata.product_log_id Valor do campo EventID
HostName read_only_udm.principal.hostname Valor do campo HostName quando o grok não corresponde ao endereço IP
HostName read_only_udm.principal.ip Valor do campo HostName quando o grok corresponde ao endereço IP
ip read_only_udm.principal.ip Valor do campo ip
Mensagem read_only_udm.metadata.description Valor do campo Message
Mensagem security_result.description Valor do campo Message
nat_ip read_only_udm.principal.nat_ip Valor do campo nat_ip
Prioridade security_result.severity Mapeado com base no valor de Priority: 1 - ALTO, 2 - MÉDIO, 3 ou 4 - BAIXO
SAMLConsumerURL read_only_udm.target.url Valor do campo SAMLConsumerURL
sec_msg security_result.description Valor do campo sec_msg
SecureAuthIdPAppliance read_only_udm.target.administrative_domain Valor do campo SecureAuthIdPAppliance
SecureAuthIdPApplianceMachineName read_only_udm.target.hostname Valor do campo SecureAuthIdPApplianceMachineName
SecureAuthIdPDestinationSiteUrl read_only_udm.target.url Valor do campo SecureAuthIdPDestinationSiteUrl
SecureAuthIdPProductType read_only_udm.additional.fields.value.string_value Valor do campo SecureAuthIdPProductType
sessão read_only_udm.network.session_id Valor do campo session
spid read_only_udm.target.process.pid Valor do campo spid
src read_only_udm.principal.ip Valor do campo src
suser read_only_udm.target.user.userid Valor do campo suser
UserAgent read_only_udm.network.http.user_agent Valor do campo UserAgent
UserHostAddress read_only_udm.principal.nat_ip Valor do campo UserHostAddress
UserHostAddress read_only_udm.target.ip Valor do campo UserHostAddress
UserID read_only_udm.principal.user.userid Valor do campo UserID
Versão read_only_udm.metadata.product_version Valor do campo Version
read_only_udm.additional.fields.key Valor fixado no código: "CompanyName"
read_only_udm.additional.fields.key Valor codificado: "Company"
read_only_udm.additional.fields.key Valor fixo no código: "SecureAuthIdPProductType"
read_only_udm.extensions.auth.type Valor codificado: "SSO"
read_only_udm.metadata.event_type 'USER_LOGIN' se SecureAuthIdPAuthGuiMode == 0 e auth_result == Success, 'USER_CHANGE_PERMISSIONS' se SecureAuthIdPAuthGuiMode == 0 e auth_result ==WS-Trust success., 'USER_LOGOUT' se SecureAuthIdPAuthGuiMode == 0 e auth_result == Session Aborted, 'NETWORK_CONNECTION' se UserHostAddress != and `HostName` !=, 'STATUS_UPDATE' se ip != or `HostName` !=, 'USER_UNCATEGORIZED' se UserHostAddress != and `HostName` == e UserID != ``, caso contrário, 'GENERIC_EVENT'
read_only_udm.metadata.log_type Valor codificado: "SECUREAUTH_SSO"
read_only_udm.metadata.product_name Valor codificado: "SECUREAUTH_SSO"
read_only_udm.metadata.vendor_name Valor codificado: "SECUREAUTH_SSO"
read_only_udm.target.user.email_addresses Valor do campo user_email quando not_email é falso
security_result.severity "HIGH" se cn1Label == Priority e cn1 == 1, "MEDIUM" se cn1Label == Priority e cn1 == 2, "LOW" se cn1Label == Priority e cn1 em [3, 4], "HIGH" se Priority == 1, "MEDIUM" se Priority == 2, "LOW" se Priority em [3, 4]
_timestamp event.idm.read_only_udm.metadata.collected_timestamp Mapeado do registro de mudanças
i_ip event.idm.read_only_udm.intermediary.ip Mapeado do registro de mudanças
i_port event.idm.read_only_udm.intermediary.port Mapeado do registro de mudanças
parsed.LogChannel event.idm.read_only_udm.metadata.product_event_type Mapeado do registro de mudanças
parsed.FormatVersion event.idm.read_only_udm.metadata.product_version Mapeado do registro de mudanças
parsed.EventID event.idm.read_only_udm.metadata.product_log_id Mapeado do registro de mudanças
parsed.CompanyID event.idm.read_only_udm.principal.resource.product_object_id Mapeado do registro de mudanças
parsed.Realm event.idm.read_only_udm.principal.resource.name Mapeado do registro de mudanças
parsed.UserHostAddress event.idm.read_only_udm.principal.ip Mapeado do registro de mudanças
parsed.UserHostAddress event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
host.name event.idm.read_only_udm.principal.hostname Mapeado do registro de mudanças
host.name event.idm.read_only_udm.principal.asset.hostname Mapeado do registro de mudanças
parsed.RequestID event.idm.read_only_udm.metadata.id Mapeado do registro de mudanças
meta.cloud.availability_zone event.idm.read_only_udm.principal.location.name Mapeado do registro de mudanças
meta.cloud.region event.idm.read_only_udm.principal.location.country_or_region Mapeado do registro de mudanças
host.id event.idm.read_only_udm.principal.resource.id Mapeado do registro de mudanças
LogstashPod event.idm.read_only_udm.observer.hostname Mapeado do registro de mudanças
fields.ApplianceID event.idm.read_only_udm.principal.asset.asset_id Mapeado do registro de mudanças
LogChannel event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
FormatVersion event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
EventID event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Version event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
parsed.UserAgent event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
parsed.ApplianceID event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
beat.name event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
beat.hostname event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
beat.version event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
fields.CompanyID event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
derived.CompanyIndex event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
_version event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
derived.EventType event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
prospector.type event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
input.type event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
parsed_Message event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
meta.cloud.machine_type event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
ApplianceType event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
parsed.Version event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
host.architecture event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
host.os.platform event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
host.os.version event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
host.os.build event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
host.os.family event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
host.os.name event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
meta.cloud.provider event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
derived.LogChannelIndex event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
document_id event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
meta.cloud.instance_id event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
tags event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
Realm event.idm.read_only_udm.target.resource.name Mapeado do registro de mudanças
CompanyID event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
PEN event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
ApplianceID event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
ApplianceMachineName event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
RequestID event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
UseJava event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.