Raccogli i log di Stealthbits StealthDEFEND

Supportato in:

Questo documento spiega come importare i log di Stealthbits StealthDEFEND in Google Security Operations utilizzando l'agente Bindplane.

Stealthbits (ora Netwrix) StealthDEFEND è una piattaforma di rilevamento delle minacce in tempo reale che identifica e risponde agli attacchi che prendono di mira Active Directory e i file system. Genera avvisi in formato LEEF che riguardano anomalie di autenticazione, escalation dei privilegi e modifiche agli oggetti AD. Il parser estrae i campi dalle voci di log di StealthDEFEND e li mappa al modello UDM (Unified Data Model), acquisendo gli identificatori di principal e target, i risultati di sicurezza e i dettagli della scansione delle vulnerabilità.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Windows Server 2016 o versioni successive o host Linux con systemd
  • Connettività di rete tra l'agente Bindplane e il server StealthDEFEND
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
  • Accesso privilegiato alla console StealthDEFEND con autorizzazioni di amministratore

Recuperare il file di autenticazione dell'importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione.

  4. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.

  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri Prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sc query observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sudo systemctl status observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

  • Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/stealthbits_defend:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: STEALTHBITS_DEFEND
        raw_log_field: body

service:
    pipelines:
        logs/stealthbits_defend:
            receivers:
                - tcplog
            exporters:
                - chronicle/stealthbits_defend

Parametri di configurazione

Sostituisci i seguenti segnaposto:

  • Configurazione del destinatario:

    • tcplog: Il tipo di ricevitore in base al protocollo:
      • udplog per UDP Syslog
      • tcplog per TCP Syslog
      • syslog per RFC 3164/5424 syslog
    • 0.0.0.0: Indirizzo IP su cui ascoltare:
      • 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
      • Indirizzo IP specifico da ascoltare su un'interfaccia
    • 514: numero di porta su cui ascoltare (ad esempio, 514, 1514, 6514)

  • Configurazione dell'esportatore:

    • <customer_id>: l'ID cliente del passaggio precedente
    • malachiteingestion-pa.googleapis.com: URL dell'endpoint regionale:
      • Stati Uniti: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Per l'elenco completo, consulta Endpoint regionali.
    • Modifica creds_file_path a seconda della piattaforma:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

Salva il file di configurazione

  • Dopo la modifica, salva il file:
    • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
    • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica che il servizio sia in esecuzione:

      sudo systemctl status observiq-otel-collector

    2. Controlla i log per individuare eventuali errori:

      sudo journalctl -u observiq-otel-collector -f

  • Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console dei servizi:

      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

      4. Verifica che il servizio sia in esecuzione:

        sc query observiq-otel-collector

      5. Controlla i log per individuare eventuali errori:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurare l'inoltro di Syslog di StealthDEFEND

StealthDEFEND supporta l'integrazione SIEM tramite syslog in formato LEEF. Configura l'esportazione syslog per inoltrare avvisi ed eventi all'agente Bindplane.

  1. Accedi alla console di gestione StealthDEFEND.
  2. Vai a Configurazione > SIEM.
  3. Fai clic su Aggiungi per creare una nuova integrazione SIEM.
  4. Fornisci i seguenti dettagli di configurazione:
    • Tipo: seleziona Syslog.
    • Formato: seleziona LEEF.
    • Host: inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
    • Porta: inserisci 514 (deve corrispondere alla porta del ricevitore Bindplane).
    • Protocollo: seleziona TCP (deve corrispondere al tipo di ricevitore Bindplane).
  5. Seleziona le categorie di eventi da inoltrare (ad esempio, avvisi di minacce, modifiche di AD, eventi di autenticazione).

  6. Fai clic su Salva.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
attack_host about.hostname Nome host associato a entità aggiuntive
extensions.auth.type Tipo di autenticazione utilizzato
Terminato extensions.vulns.vulnerabilities.scan_end_time Ora di fine dell'analisi delle vulnerabilità
Avviata extensions.vulns.vulnerabilities.scan_start_time Ora di inizio dell'analisi delle vulnerabilità
intermediary_hostname intermediary.hostname Nome host del dispositivo intermediario
SettingName metadata.description Descrizione dell'evento
event_type metadata.event_type Tipo di evento
product_event metadata.product_event_type Tipo di evento specifico del prodotto
device_version metadata.product_version Versione del prodotto
dominio principal.administrative_domain Dominio amministrativo del preside
source_domain principal.domain.name Nome di dominio del principale
src, shost, AttackingHost, breached_from_host principal.hostname Nome host dell'entità
src, shost, AttackingHostIp principal.ip Indirizzo IP del principale
DistinguishedName principal.user.group_identifiers Identificatori di gruppo per l'utente principale
AffectedObject principal.user.user_display_name Nome visualizzato dell'utente principale
suser, usrName principal.user.userid ID utente del principal
protocol_label security_result.about.labels Etichette per la sezione relativa al risultato di sicurezza
sec_result_action security_result.action Azione intrapresa dal sistema di sicurezza
categoria security_result.category_details Categoria dettagliata del risultato di sicurezza
AlertText, operazione security_result.description Descrizione del risultato di sicurezza
policy_name security_result.rule_name Nome della regola che ha attivato il risultato
Gravità security_result.severity Gravità del risultato di sicurezza
Motivo, att_name security_result.summary Riepilogo del risultato di sicurezza
OrigServer, AttackedHost target.hostname Nome host della destinazione
dst, AttackedHostIp target.ip Indirizzo IP della destinazione
duser, UserName target.user.userid ID utente della destinazione
UserSID target.user.windows_sid SID di Windows dell'utente di destinazione
device_product metadata.product_name Nome del prodotto
device_vendor metadata.vendor_name Nome del fornitore

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.