Reorganizamos la estructura de navegación de nuestra documentación para que se alinee directamente con tus flujos de trabajo operativos. Consulta las notas de la versión y el video explicativo para obtener más información.

Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Recopila registros de EVE de Suricata

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de EVE de Suricata a Google Security Operations con Bindplane.

Suricata es un motor de detección de amenazas de red de alto rendimiento y código abierto que proporciona capacidades de detección de intrusiones (IDS), prevención de intrusiones (IPS) y supervisión de seguridad de la red. El registro de salida de EVE (formato de evento extensible) proporciona registros integrales con formato JSON que abarcan alertas, flujos, DNS, HTTP, TLS y datos de transacciones de archivos. El analizador extrae campos de los registros con formato JSON de EVE de Suricata. Analiza el mensaje JSON y, luego, asigna estos valores al Modelo de datos unificado (UDM). También establece valores de metadatos predeterminados para la fuente y el tipo de evento.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

Una instancia de Google SecOps
Windows Server 2016 o versiones posteriores, o host de Linux con systemd
Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
Acceso con privilegios al host de Suricata (raíz o sudo)

Obtén el archivo de autenticación de transferencia de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Agentes de recopilación.
Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtén el ID de cliente de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Perfil.
Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

Abre el símbolo del sistema o PowerShell como administrador.

Ejecuta el comando siguiente:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Espera a que se complete la instalación.
Ejecuta el siguiente comando para verificar la instalación:
```
sc query observiq-otel-collector
```

El servicio debería mostrarse como RUNNING.

Instalación en Linux

Abre una terminal con privilegios de raíz o sudo.

Ejecuta el comando siguiente:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Espera a que se complete la instalación.
Ejecuta el siguiente comando para verificar la instalación:
```
sudo systemctl status observiq-otel-collector
```

El servicio debería mostrarse como activo (en ejecución).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solucionar problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

Ubica el archivo de configuración

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

Reemplaza todo el contenido de config.yaml con la siguiente configuración:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: 'SURICATA_EVE'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:
- Configuración del receptor:
  - udplog: Usa udplog para el registro del sistema UDP o tcplog para el registro del sistema TCP.
  - 0.0.0.0: Dirección IP en la que se realizará la escucha (0.0.0.0 para escuchar en todas las interfaces)
  - 514: Número de puerto en el que se escuchará (puerto syslog estándar)
- Configuración del exportador:
  - creds_file_path: Ruta de acceso completa al archivo de autenticación de la transferencia:
    - Linux: /etc/bindplane-agent/ingestion-auth.json
    - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  - YOUR_CUSTOMER_ID: ID de cliente de la sección Obtén el ID de cliente
  - endpoint: URL del extremo regional:
    - EE.UU.: malachiteingestion-pa.googleapis.com
    - Europa: europe-malachiteingestion-pa.googleapis.com
    - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
    - Consulta Extremos regionales para obtener la lista completa.
  - log_type: Tipo de registro tal como aparece en Chronicle (SURICATA_EVE)

Guarda el archivo de configuración

Después de editarlo, guarda el archivo:
- Linux: Presiona Ctrl+O, luego Enter y, después, Ctrl+X.
- Windows: Haz clic en Archivo > Guardar

Reinicia el agente de Bindplane para aplicar los cambios

Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:
```
sudo systemctl restart observiq-otel-collector
```
1. Verifica que el servicio esté en ejecución:
```
  sudo systemctl status observiq-otel-collector
```
2. Revisa los registros en busca de errores:
```
  sudo journalctl -u observiq-otel-collector -f
```
Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:
- Símbolo del sistema o PowerShell como administrador:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Consola de Servicios:
  1. Presiona Win+R, escribe services.msc y presiona Intro.
  2. Busca observIQ OpenTelemetry Collector.
  3. Haz clic con el botón derecho y selecciona Reiniciar.
  4. Verifica que el servicio esté en ejecución:
```
sc query observiq-otel-collector
```
  5. Revisa los registros en busca de errores:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configura el reenvío de syslog de EVE de Suricata

Abre el archivo de configuración de Suricata (por lo general, /etc/suricata/suricata.yaml).

Ubica la sección outputs y configura la salida del registro de EVE para syslog:

outputs:
  - eve-log:
      enabled: yes
      filetype: syslog
      identity: "suricata"
      facility: local5
      level: Info
      types:
        - alert:
            payload: yes
            payload-printable: yes
            packet: yes
            metadata: yes
        - http:
            extended: yes
        - dns:
            query: yes
            answer: yes
        - tls:
            extended: yes
        - files:
            force-magic: no
        - flow
        - netflow
        - anomaly:
            enabled: yes
        - stats:
            enabled: yes

Si el daemon de syslog no está configurado para reenviar a BindPlane, configura rsyslog o syslog-ng:
- Para rsyslog (edita /etc/rsyslog.conf o crea /etc/rsyslog.d/suricata.conf):
```
local5.* @BINDPLANE_IP:514
```
  - Reemplaza BINDPLANE_IP por la dirección IP del host del agente de Bindplane.
  - Usa @ para UDP o @@ para TCP.
- Para syslog-ng (edita /etc/syslog-ng/syslog-ng.conf):
```
destination d_bindplane { udp("BINDPLANE_IP" port(514)); };
filter f_suricata { facility(local5); };
log { source(s_src); filter(f_suricata); destination(d_bindplane); };
```
Reinicia el daemon de syslog:
```
sudo systemctl restart rsyslog
```
Reinicia Suricata:
```
 sudo systemctl restart suricata
```
Para verificar que se envíen los mensajes de syslog, revisa los registros del agente de Bindplane.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
timestamp	metadata.event_timestamp	Marca de tiempo del evento
event_type	metadata.product_event_type	Tipo de evento de EVE (p.ej., alert, flow, dns, http, tls)
src_ip	principal.ip	Dirección IP de origen
src_port	principal.port	Número de puerto de origen
dest_ip	target.ip	Dirección IP de destino
dest_port	target.port	Número de puerto de destino
protocolo	network.ip_protocol	Protocolo de red (p.ej., TCP, UDP, ICMP)
flow_id	network.session_id	Identificador único del flujo
alert.signature	security_result.rule_name	Nombre de la firma de alerta
alert.signature_id	security_result.rule_id	Identificador de firma de alerta
alert.severity	security_result.severity	Nivel de gravedad de la alerta
alert.category	security_result.category_details	Categoría de clasificación de la alerta
alert.action	security_result.action	Acción realizada (p.ej., permitida o bloqueada)
alert.rev	security_result.rule_version	Número de revisión de la regla
http.hostname	target.hostname	Nombre de host de la solicitud HTTP
http.url	target.url	URL de la solicitud HTTP
http.http_method	network.http.method	Método de solicitud HTTP
http.status	network.http.response_code	Código de estado de respuesta HTTP
http.http_user_agent	network.http.user_agent	Cadena de usuario-agente HTTP
http.http_refer	network.http.referral_url	URL de referencia HTTP
http.length	additional.fields	Longitud del contenido HTTP
dns.type	network.dns.type	Consulta o respuesta de DNS
dns.rrname	network.dns.questions.name	Nombre de la consulta de DNS
dns.rrtype	network.dns.questions.type	Tipo de consulta de DNS
dns.rdata	network.dns.answers.data	Datos de respuesta del DNS
tls.subject	network.tls.client.subject	Sujeto del certificado TLS
tls.issuerdn	network.tls.client.issuer	Entidad emisora del certificado TLS
tls.sni	network.tls.client.server_name	Indicación del nombre del servidor TLS
tls.version	network.tls.version	Versión de TLS
tls.ja3.hash	network.tls.client.ja3	Hash de la huella digital del cliente JA3
tls.ja3s.hash	network.tls.server.ja3s	Hash de la huella digital del servidor JA3S
app_proto	network.application_protocol	Se detectó el protocolo de la capa de aplicación
flow.bytes_toserver	network.sent_bytes	Bytes enviados del cliente al servidor
flow.bytes_toclient	network.received_bytes	Bytes enviados del servidor al cliente
flow.pkts_toserver	additional.fields	Paquetes enviados del cliente al servidor
flow.pkts_toclient	additional.fields	Paquetes enviados del servidor al cliente
in_iface	additional.fields	Interfaz de red de entrada
community_id	network.community_id	Hash del flujo del ID de la comunidad de la red
`flow.src_ip`	`event.idm.read_only_udm.principal.ip`/`event.idm.read_only_udm.principal.asset.ip`	Se asignó desde el registro de cambios
`alert.source.ip`	`event.idm.read_only_udm.principal.ip`/`event.idm.read_only_udm.principal.asset.ip`	Se asignó desde el registro de cambios
`flow.dest_ip`	`event.idm.read_only_udm.target.ip`/`event.idm.read_only_udm.target.asset.ip`	Se asignó desde el registro de cambios
`alert.target.ip`	`event.idm.read_only_udm.target.ip`/`event.idm.read_only_udm.target.asset.ip`	Se asignó desde el registro de cambios
`flow.pkts_toserver`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`flow.pkts_toclient`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`alert.source.port`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`alert.target.port`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`alert.rule`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`alert.metadata.attack_target`	`event.idm.read_only_udm.security_result.detection_fields`	Se asignó desde el registro de cambios
`alert.metadata.confidence`	`event.idm.read_only_udm.security_result.detection_fields`	Se asignó desde el registro de cambios
`alert.metadata.deployment`	`event.idm.read_only_udm.security_result.detection_fields`	Se asignó desde el registro de cambios
`alert.metadata.tag`	`event.idm.read_only_udm.security_result.detection_fields`	Se asignó desde el registro de cambios
`dhcp.client_ip`	`event.idm.read_only_udm.network.dhcp.ciaddr`	Se asignó desde el registro de cambios
`dhcp.client_id`	`event.idm.read_only_udm.network.dhcp.client_identifier`	Se asignó desde el registro de cambios
`dhcp.params`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`dhcp.hostname`	`event.idm.read_only_udm.network.dhcp.client_hostname`	Se asignó desde el registro de cambios
`dhcp.vendor_class_identifier`	`event.idm.read_only_udm.network.dhcp.options`	Se asignó desde el registro de cambios
`dhcp.type`	`event.idm.read_only_udm.network.dhcp.opcode`	Se asignó desde el registro de cambios
`dhcp.dhcp_type`	`event.idm.read_only_udm.network.dhcp.type`	Se asignó desde el registro de cambios
`dhcp.assigned_ip`	`event.idm.read_only_udm.network.dhcp.yiaddr`	Se asignó desde el registro de cambios
`dhcp.client_mac`	`event.idm.read_only_udm.network.dhcp.chaddr`	Se asignó desde el registro de cambios
`dns.qr`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`dns_qr`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`tls.ja3.string`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`tls_ja3_string`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`tls.ja3s.string`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`tls_ja3s_string`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`tls.ja4`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`tls_ja4`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`dns.version`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`dns_version`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`dns.type`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`dns_type`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`dns.opcode`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`dns_opcode`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`dns.tx_id`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`dns_tx_id`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`dns.flags`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`dns_flags`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`audata.soa.mname`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`soa_mname_%{index}`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`audata.soa.rname`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`soa_rname_%{index}`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`audata.soa.serial`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`soa_serial_%{index}`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`audata.soa.refresh`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`soa_refresh_%{index}`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`audata.soa.retry`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`soa_retry_%{index}`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`audata.soa.expire`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`soa_expire_%{index}`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`audata.soa.minimum`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`soa_minimum_%{index}`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`dns.rd`	`event.idm.read_only_udm.network.dns.recursion_desired`	Se asignó desde el registro de cambios
`dns.ra`	`event.idm.read_only_udm.network.dns.recursion_available`	Se asignó desde el registro de cambios
`dns.answers`	`event.idm.read_only_udm.network.dns.answers`	Se asignó desde el registro de cambios
`dns.authorities`	`event.idm.read_only_udm.network.dns.answers`	Se asignó desde el registro de cambios
`event_type`	`event.idm.read_only_udm.network.application_protocol`	Se asignó desde el registro de cambios
`dns.answers.ttl`	`event.idm.read_only_udm.network.dns.answers.ttl`	Se asignó desde el registro de cambios
`dns.authorities.ttl`	`event.idm.read_only_udm.network.dns.answers.ttl`	Se asignó desde el registro de cambios
`dns.authorities.rrtype`	`event.idm.read_only_udm.network.dns.answers.type`	Se asignó desde el registro de cambios
`dns.answers.rrtype`	`event.idm.read_only_udm.network.dns.answers.type`	Se asignó desde el registro de cambios
`dns.authorities.rrname`	`event.idm.read_only_udm.network.dns.answers.name`	Se asignó desde el registro de cambios
`dns.answers.rrname`	`event.idm.read_only_udm.network.dns.answers.name`	Se asignó desde el registro de cambios
`dns.answers.rdata`	`event.idm.read_only_udm.network.dns.answers.data`	Se asignó desde el registro de cambios
`dns.rcode`	`event.idm.read_only_udm.network.dns.response_code`	Se asignó desde el registro de cambios
`ssh.server.hassh.software_version", "ssh.server.hassh.proto_version", "ssh.server.hassh.string", "ssh.client.hassh.software_version", "ssh.client.hassh.proto_version", "ssh.client.hassh.string`	`additional.fields`	Se asignó desde el registro de cambios
`alert.metadata.stamus_classification`	`additional.fields`	Se asignó desde el registro de cambios
`alert.metadata.sightings_key`	`additional.fields`	Se asignó desde el registro de cambios
`alert.metadata.sightings_asset`	`additional.fields`	Se asignó desde el registro de cambios
`discovery`	`additional.fields`	Se asignó desde el registro de cambios
`dns.id`	`network.dns.id`	Se asignó desde el registro de cambios
`see_id`	`network.session_id`	Se asignó desde el registro de cambios
`payload_printable`	`additional.fields`	Se asignó desde el registro de cambios
`process.executable`	`principal.process.file.full_path`	Se asignó desde el registro de cambios
`process.pid`	`principal.process.pid`	Se asignó desde el registro de cambios
`process.command_line`	`principal.process.command_line`	Se asignó desde el registro de cambios
`service.type`	`additional.fields`	Se asignó desde el registro de cambios
`event.dataset`	`about.labels`	Se asignó desde el registro de cambios
`event.module`	`about.labels`	Se asignó desde el registro de cambios
`event.duration`	`about.labels`	Se asignó desde el registro de cambios
`agent.id`	`metadata.product_log_id`	Se asignó desde el registro de cambios
`agent.type`	`metadata.product_event_type`	Se asignó desde el registro de cambios
`agent.version`	`metadata.product_version`	Se asignó desde el registro de cambios
`agent.hostname`	`principal.hostname`	Se asignó desde el registro de cambios
`agent.name`	`principal.hostname`	Se asignó desde el registro de cambios
`agent.ephemeral_id`	`additional.fields`	Se asignó desde el registro de cambios
`ecs.version`	`principal.asset.attribute.labels`	Se asignó desde el registro de cambios
`process.args`	`about.file.capabilities_tags`	Se asignó desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.