Raccogli i log di Sophos Central

Supportata in:

Google SecOps SIEM

Questo documento spiega come raccogliere i log di Sophos Central utilizzando Bindplane. Il parser trasforma i log JSON in un modello dei dati unificato (UDM). Estrae i campi dalle strutture JSON nidificate, li mappa ai campi UDM ed esegue la categorizzazione degli eventi in base al campo del tipo, arricchendo i dati con dettagli e azioni specifici per i diversi tipi di eventi Sophos Central.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps.
• Utilizzi Windows 2016 o versioni successive oppure un host Linux con systemd.
• Disponi di una macchina Windows o Linux aggiuntiva, in grado di eseguire continuamente Python.
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
• Accesso con privilegi alla console Sophos Central Admin.

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliato)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza di Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea account di servizio.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome account di servizio: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Gestione dei dati > Agenti di raccolta. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Amministrazione > Profilo. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:

   • Individua il file config.yaml. In genere, si trova nella directory /opt/observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: '<customer_id>'
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'SOPHOS_CENTRAL'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

3. Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.

4. Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.

5. Sostituisci <PROJECT_NUMBER> con il numero di progetto indicato in IAM e amministrazione > Impostazioni.

6. Sostituisci <customer_id> con l'ID cliente effettivo.

7. Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file della chiave del account di servizio (Opzione 1) nel Passaggio 1.

Esportatore API di importazione precedente

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'SOPHOS_CENTRAL'
      raw_log_field: body
      ingestion_labels:
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Riavvia l'agente Bindplane per applicare le modifiche

1. Per riavviare l'agente Bindplane in Linux, esegui questo comando:

   /opt/observiq-otel-collector/config.yaml
   

2. Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

   net stop BindPlaneAgent && net start BindPlaneAgent
   

Configura l'accesso all'API Sophos Central

1. Accedi a Sophos Central Admin.
2. Seleziona Global Settings (Impostazioni globali) > API Token Management (Gestione token API).
3. Fai clic su Add Token (Aggiungi token) per creare un nuovo token.
4. Inserisci un nome per il token e fai clic su Salva. Viene visualizzato il Riepilogo dei token API per il token fornito.
5. Nella sezione Riepilogo token API, fai clic su Copia per copiare l'URL di accesso all'API e le intestazioni.

Installa Python sulla macchina aggiuntiva

1. Apri il browser web e vai al sito web di Python.
2. Fai clic su Download Python per il tuo sistema operativo (Windows o Mac).

3. Installa Python:

   • Su Windows:
     1. Esegui il programma di installazione.
     2. Seleziona la casella Add Python to PATH (Aggiungi Python a PATH).
     3. Fai clic su Installa ora.
   • Su Mac:
     1. Python potrebbe essere già installato. In caso contrario, puoi installare l'ultima versione utilizzando il terminale.
     2. Apri Terminale e digita il seguente comando per verificare:

   python --version
   

Scarica lo script di integrazione di Sophos

1. Vai alla pagina GitHub del repository di integrazione SIEM di Sophos Central.
2. Fai clic sul pulsante verde Code > Download ZIP.
3. Estrai il file ZIP.

Imposta la configurazione dello script

1. Trova e apri il file config.ini con un editor di testo.
2. Modifica il file di configurazione:
   • Token API: inserisci la chiave API copiata in precedenza da Sophos Central.
   • Dettagli del server syslog: inserisci i dettagli del tuo server syslog.
   • Host: inserisci l'indirizzo IP di Bindplane.
   • Porta: inserisci il numero di porta di Bindplane.
   • Protocol (Protocollo): inserisci UDP (puoi anche utilizzare TCP o TLS a seconda della configurazione).
3. Salva il file.

Esegui lo script

1. Vai alla cartella dello script.
   • Su Windows:
     1. Premi il tasto Windows e digita cmd.
     2. Fai clic su Prompt dei comandi.
     3. Vai alla cartella: cmd cd C:\Users\YourName\Downloads\Sophos-Central-SIEM-Integration
   • In MacOS:
     1. Vai ad Applicazioni > Utility.
     2. Apri Terminale.
     3. Vai alla cartella: bash cd /Users/YourName/Downloads/Sophos-Central-SIEM-Integration

2. Esegui lo script:

   • Digita il seguente comando per avviare lo script:

   python siem.py
   

   Nota: lo script inizierà a recuperare i log da Sophos Central e a inoltrarli al server syslog in formato JSON.

Automatizza lo script per l'esecuzione continua

Su Windows (utilizzando Utilità di pianificazione)

1. Apri l'Utilità di pianificazione digitando "Utilità di pianificazione" nel menu Start.
2. Fai clic su Crea attività.
3. Nella scheda Generale:
   • Assegna un nome all'attività (ad es. Sophos Central Log Export).
4. Nella scheda Triggers (Trigger):
   • Fai clic su Nuovo e imposta l'esecuzione dell'attività su Ogni giorno o All'avvio.
5. Nella scheda Azioni:
   • Fai clic su Nuovo e seleziona Avvia un programma.
   • Cerca l'eseguibile python.exe (di solito si trova in C:\PythonXX\python.exe).
   • Nel campo Aggiungi argomenti, digita il percorso dello script (ad es. C:\Users\YourName\Downloads\Sophos-Central-SIEM-Integration\siem.py).
6. Fai clic su OK per salvare l'attività.

Su Mac (utilizzando i cron job)

1. Apri Terminale.
2. Digita crontab -e e premi Invio.

3. Aggiungi una nuova riga alla fine del file:

   * * * * * /usr/bin/python /Users/YourName/Downloads/Sophos-Central-SIEM-Integration/siem.py
   

   Nota: lo script verrà eseguito ogni minuto. Regola l'ora in base alle tue esigenze.

4. Salva ed esci dall'editor.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
created_at_label	additional.fields	Unita
datastream_label	additional.fields	Unita
security_result.description	metadata.description	Rinominato/mappato
end	metadata.event_timestamp	Analizzato come RFC 3339
when	metadata.event_timestamp	Analizzato come RFC 3339
has_principal	metadata.event_type	Mapped: true → FILE_OPEN, true → NETWORK_CONNECTION, true → SCAN_UNCATEGORIZED
type	metadata.event_type	Valori mappati (14 in totale, ad es. Event::Endpoint::DataLossPreventionAutomaticallyAllowed → "F…
type	metadata.product_event_type	Mappatura diretta
type	network.direction	Mappato: Event::Endpoint::WebControlViolation → OUTBOUND, `Event::Endpoint::WindowsFirewa…
type	network.ip_protocol	Mappatura: Event::Endpoint::WebControlViolation → TCP
dhost	principal.asset.hostname	Mappatura diretta
location	principal.asset.hostname	Mappatura diretta
data.source_info.ip	principal.asset.ip	Unita
source_info.ip	principal.asset.ip	Unita
dhost	principal.hostname	Mappatura diretta
location	principal.hostname	Mappatura diretta
data.source_info.ip	principal.ip	Unita
source_info.ip	principal.ip	Unita
type	principal.user.attribute.labels	Mappatura: Event::Endpoint::DataLossPreventionAutomaticallyAllowed → username_label
username_label	principal.user.attribute.labels	Unita
Username	principal.user.user_display_name	Mappatura diretta
source	principal.user.user_display_name	Mappatura diretta
source	principal.user.userid	Mappatura diretta
suser	principal.user.userid	Mappatura diretta
user_id	principal.user.userid	Mappatura diretta
endpoint_type_label	security_result.about.labels	Unita
sec_action	security_result.action	Unita
type	security_result.action	Mappatura: Event::Endpoint::DataLossPreventionAutomaticallyAllowed → sec_action, `Event::En…
group	security_result.category_details	Unita
name	security_result.description	Mappatura diretta
type	security_result.description	Mappatura: Event::Endpoint::(UpdateRebootRequired/ServiceNotRunning/NonCompliant/OutOfDate) →…
duid_label	security_result.detection_fields	Unita
id_label	security_result.detection_fields	Unita
rule	security_result.rule_name	Mappatura diretta
rules	security_result.rule_name	Mappatura diretta
severity	security_result.severity	Mapped: low → LOW, medium → MEDIUM, high → HIGH
security_result.description	security_result.summary	Rinominato/mappato
app	target.application	Mappatura diretta
application	target.application	Mappatura diretta
dhost	target.asset.hostname	Mappatura diretta
endpoint_id	target.asset_id	Mappatura diretta
f_path	target.file.full_path	Mappatura diretta
f_size	target.file.size	Rinominato/mappato
dhost	target.hostname	Mappatura diretta
application	target.process.file.full_path	Mappatura diretta
core_remedy_items.items.0.descriptor	target.process.file.full_path	Mappatura diretta
data.core_remedy_items.items.0.descriptor	target.process.file.full_path	Mappatura diretta
file_path_1	target.process.file.full_path	Mappatura diretta
customer_id	target.resource.id	Mappatura diretta
p_device	target.resource.name	Mappatura diretta
scan_name	target.resource.name	Mappatura diretta
type	target.resource.name	Mapped: Event::Endpoint::SavDisabled → Real time protection, `Event::Endpoint::Registere…
type	target.resource.type	Valori mappati (5 in totale, ad es. Event::Endpoint::SavDisabled → SETTING, `Event::Endpoint::R…
url	target.url	Mappatura diretta
principal.user.userid	target.user.userid	Mappatura diretta
suser	target.user.userid	Mappatura diretta
N/D	metadata.event_type	Costante: GENERIC_EVENT
N/D	metadata.product_name	Costante: Sophos Central
N/D	metadata.vendor_name	Costante: Sophos
N/D	network.direction	Costante: OUTBOUND
N/D	network.ip_protocol	Costante: TCP
N/D	security_result.description	Costante: security_result.summary
N/D	security_result.severity	Costante: LOW
N/D	target.resource.name	Costante: Real time protection
N/D	target.resource.type	Costante: SETTING

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.