Raccogliere i log EVE di Suricata

Supportato in:

Questo documento spiega come importare i log EVE di Suricata in Google Security Operations utilizzando Bindplane.

Suricata è un motore di rilevamento delle minacce di rete open source ad alte prestazioni che offre funzionalità di rilevamento delle intrusioni (IDS), prevenzione delle intrusioni (IPS) e monitoraggio della sicurezza di rete. L'output del log EVE (Extensible Event Format) fornisce log completi in formato JSON che coprono dati relativi ad avvisi, flussi, DNS, HTTP, TLS e transazioni di file. Il parser estrae i campi dai log formattati in JSON di Suricata EVE. Analizza il messaggio JSON e poi mappa questi valori al modello UDM (Unified Data Model). Imposta anche i valori predefiniti dei metadati per l'origine e il tipo di evento.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Windows Server 2016 o versioni successive oppure host Linux con systemd
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
  • Accesso con privilegi all'host Suricata (root o sudo)

Recuperare il file di autenticazione dell'importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri Prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sc query observiq-otel-collector

Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sudo systemctl status observiq-otel-collector

Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

  • Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: 'SURICATA_EVE'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Parametri di configurazione

  • Sostituisci i seguenti segnaposto:

    • Configurazione del ricevitore:

      • udplog: utilizza udplog per syslog UDP o tcplog per syslog TCP
      • 0.0.0.0: indirizzo IP su cui ascoltare (0.0.0.0 per ascoltare su tutte le interfacce)
      • 514: il numero di porta su cui ascoltare (porta syslog standard)

    • Configurazione dell'esportatore:

      • creds_file_path: percorso completo del file di autenticazione dell'acquisizione:
        • Linux: /etc/bindplane-agent/ingestion-auth.json
        • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
      • YOUR_CUSTOMER_ID: ID cliente dalla sezione Recupera ID cliente
      • endpoint: URL endpoint regionale:
        • Stati Uniti: malachiteingestion-pa.googleapis.com
        • Europa: europe-malachiteingestion-pa.googleapis.com
        • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
        • Per un elenco completo, vedi Endpoint regionali.
      • log_type: Tipo di log esattamente come appare in Chronicle (SURICATA_EVE)

Salvare il file di configurazione

  • Dopo la modifica, salva il file:
    • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
    • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica che il servizio sia in esecuzione:

        sudo systemctl status observiq-otel-collector

    2. Controlla i log per individuare eventuali errori:

        sudo journalctl -u observiq-otel-collector -f

  • Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console dei servizi:

      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.

      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

      4. Verifica che il servizio sia in esecuzione:

        sc query observiq-otel-collector

      5. Controlla i log per individuare eventuali errori:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configura l'inoltro di syslog EVE di Suricata

  1. Apri il file di configurazione Suricata (in genere /etc/suricata/suricata.yaml).

  2. Individua la sezione outputs e configura l'output EVE log per syslog:

    outputs:
  - eve-log:
      enabled: yes
      filetype: syslog
      identity: "suricata"
      facility: local5
      level: Info
      types:
        - alert:
            payload: yes
            payload-printable: yes
            packet: yes
            metadata: yes
        - http:
            extended: yes
        - dns:
            query: yes
            answer: yes
        - tls:
            extended: yes
        - files:
            force-magic: no
        - flow
        - netflow
        - anomaly:
            enabled: yes
        - stats:
            enabled: yes

  3. Se il daemon syslog non è configurato per l'inoltro a Bindplane, configura rsyslog o syslog-ng:

    • Per rsyslog (modifica /etc/rsyslog.conf o crea /etc/rsyslog.d/suricata.conf):

      local5.* @BINDPLANE_IP:514
      • Sostituisci BINDPLANE_IP con l'indirizzo IP dell'host dell'agente Bindplane.
      • Utilizza @ per UDP o @@ per TCP.

    • Per syslog-ng (modifica /etc/syslog-ng/syslog-ng.conf):

      destination d_bindplane { udp("BINDPLANE_IP" port(514)); };
filter f_suricata { facility(local5); };
log { source(s_src); filter(f_suricata); destination(d_bindplane); };

  4. Riavvia il daemon syslog:

    sudo systemctl restart rsyslog

  5. Riavvia Suricata:

     sudo systemctl restart suricata

  6. Verifica che i messaggi syslog vengano inviati controllando i log dell'agente Bindplane.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
timestamp metadata.event_timestamp Timestamp evento
event_type metadata.product_event_type Tipo di evento EVE (ad es. avviso, flusso, dns, http, tls)
src_ip principal.ip Indirizzo IP di origine
src_port principal.port Numero porta di origine
dest_ip target.ip Indirizzo IP di destinazione
dest_port target.port Numero di porta di destinazione
proto network.ip_protocol Protocollo di rete (ad es. TCP, UDP, ICMP)
flow_id network.session_id Identificatore univoco del flusso
alert.signature security_result.rule_name Nome della firma dell'avviso
alert.signature_id security_result.rule_id Identificatore della firma dell'avviso
alert.severity security_result.severity Livello di gravità dell'avviso
alert.category security_result.category_details Categoria di classificazione degli avvisi
alert.action security_result.action Azione intrapresa (ad es. consentita, bloccata)
alert.rev security_result.rule_version Numero di revisione della regola
http.hostname target.hostname Nome host della richiesta HTTP
http.url target.url URL della richiesta HTTP
http.http_method network.http.method Metodo di richiesta HTTP
http.status network.http.response_code Codice di stato risposta HTTP
http.http_user_agent network.http.user_agent Stringa dello user agent HTTP
http.http_refer network.http.referral_url URL referrer HTTP
http.length additional.fields Lunghezza dei contenuti HTTP
dns.type network.dns.type Query o risposta DNS
dns.rrname network.dns.questions.name Nome query DNS
dns.rrtype network.dns.questions.type Tipo di query DNS
dns.rdata network.dns.answers.data Dati di risposta DNS
tls.subject network.tls.client.subject Oggetto del certificato TLS
tls.issuerdn network.tls.client.issuer Autorità di certificazione TLS
tls.sni network.tls.client.server_name Indicazione del nome del server TLS
tls.version network.tls.version Versione TLS
tls.ja3.hash network.tls.client.ja3 Hash impronta client JA3
tls.ja3s.hash network.tls.server.ja3s Hash impronta server JA3S
app_proto network.application_protocol Protocollo a livello di applicazione rilevato
flow.bytes_toserver network.sent_bytes Byte inviati dal client al server
flow.bytes_toclient network.received_bytes Byte inviati dal server al client
flow.pkts_toserver additional.fields Pacchetti inviati dal client al server
flow.pkts_toclient additional.fields Pacchetti inviati dal server al client
in_iface additional.fields Interfaccia di rete di input
community_id network.community_id Hash del flusso dell'ID community di rete
flow.src_ip event.idm.read_only_udm.principal.ip/event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
alert.source.ip event.idm.read_only_udm.principal.ip/event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
flow.dest_ip event.idm.read_only_udm.target.ip/event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
alert.target.ip event.idm.read_only_udm.target.ip/event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
flow.pkts_toserver event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
flow.pkts_toclient event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
alert.source.port event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
alert.target.port event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
alert.rule event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
alert.metadata.attack_target event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
alert.metadata.confidence event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
alert.metadata.deployment event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
alert.metadata.tag event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
dhcp.client_ip event.idm.read_only_udm.network.dhcp.ciaddr Mappato dal log delle modifiche
dhcp.client_id event.idm.read_only_udm.network.dhcp.client_identifier Mappato dal log delle modifiche
dhcp.params event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
dhcp.hostname event.idm.read_only_udm.network.dhcp.client_hostname Mappato dal log delle modifiche
dhcp.vendor_class_identifier event.idm.read_only_udm.network.dhcp.options Mappato dal log delle modifiche
dhcp.type event.idm.read_only_udm.network.dhcp.opcode Mappato dal log delle modifiche
dhcp.dhcp_type event.idm.read_only_udm.network.dhcp.type Mappato dal log delle modifiche
dhcp.assigned_ip event.idm.read_only_udm.network.dhcp.yiaddr Mappato dal log delle modifiche
dhcp.client_mac event.idm.read_only_udm.network.dhcp.chaddr Mappato dal log delle modifiche
dns.qr event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
dns_qr event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
tls.ja3.string event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
tls_ja3_string event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
tls.ja3s.string event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
tls_ja3s_string event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
tls.ja4 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
tls_ja4 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
dns.version event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
dns_version event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
dns.type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
dns_type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
dns.opcode event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
dns_opcode event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
dns.tx_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
dns_tx_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
dns.flags event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
dns_flags event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
audata.soa.mname event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
soa_mname_%{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
audata.soa.rname event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
soa_rname_%{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
audata.soa.serial event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
soa_serial_%{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
audata.soa.refresh event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
soa_refresh_%{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
audata.soa.retry event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
soa_retry_%{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
audata.soa.expire event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
soa_expire_%{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
audata.soa.minimum event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
soa_minimum_%{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
dns.rd event.idm.read_only_udm.network.dns.recursion_desired Mappato dal log delle modifiche
dns.ra event.idm.read_only_udm.network.dns.recursion_available Mappato dal log delle modifiche
dns.answers event.idm.read_only_udm.network.dns.answers Mappato dal log delle modifiche
dns.authorities event.idm.read_only_udm.network.dns.answers Mappato dal log delle modifiche
event_type event.idm.read_only_udm.network.application_protocol Mappato dal log delle modifiche
dns.answers.ttl event.idm.read_only_udm.network.dns.answers.ttl Mappato dal log delle modifiche
dns.authorities.ttl event.idm.read_only_udm.network.dns.answers.ttl Mappato dal log delle modifiche
dns.authorities.rrtype event.idm.read_only_udm.network.dns.answers.type Mappato dal log delle modifiche
dns.answers.rrtype event.idm.read_only_udm.network.dns.answers.type Mappato dal log delle modifiche
dns.authorities.rrname event.idm.read_only_udm.network.dns.answers.name Mappato dal log delle modifiche
dns.answers.rrname event.idm.read_only_udm.network.dns.answers.name Mappato dal log delle modifiche
dns.answers.rdata event.idm.read_only_udm.network.dns.answers.data Mappato dal log delle modifiche
dns.rcode event.idm.read_only_udm.network.dns.response_code Mappato dal log delle modifiche
ssh.server.hassh.software_version", "ssh.server.hassh.proto_version", "ssh.server.hassh.string", "ssh.client.hassh.software_version", "ssh.client.hassh.proto_version", "ssh.client.hassh.string additional.fields Mappato dal log delle modifiche
alert.metadata.stamus_classification additional.fields Mappato dal log delle modifiche
alert.metadata.sightings_key additional.fields Mappato dal log delle modifiche
alert.metadata.sightings_asset additional.fields Mappato dal log delle modifiche
discovery additional.fields Mappato dal log delle modifiche
dns.id network.dns.id Mappato dal log delle modifiche
see_id network.session_id Mappato dal log delle modifiche
payload_printable additional.fields Mappato dal log delle modifiche
process.executable principal.process.file.full_path Mappato dal log delle modifiche
process.pid principal.process.pid Mappato dal log delle modifiche
process.command_line principal.process.command_line Mappato dal log delle modifiche
service.type additional.fields Mappato dal log delle modifiche
event.dataset about.labels Mappato dal log delle modifiche
event.module about.labels Mappato dal log delle modifiche
event.duration about.labels Mappato dal log delle modifiche
agent.id metadata.product_log_id Mappato dal log delle modifiche
agent.type metadata.product_event_type Mappato dal log delle modifiche
agent.version metadata.product_version Mappato dal log delle modifiche
agent.hostname principal.hostname Mappato dal log delle modifiche
agent.name principal.hostname Mappato dal log delle modifiche
agent.ephemeral_id additional.fields Mappato dal log delle modifiche
ecs.version principal.asset.attribute.labels Mappato dal log delle modifiche
process.args about.file.capabilities_tags Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.