Raccogli i log di Symantec Security Analytics

Supportato in:

Questo documento spiega come importare i log di Symantec Security Analytics in Google Security Operations utilizzando Bindplane.

Symantec Security Analytics (in precedenza Blue Coat) è una piattaforma di analisi forense della rete e di acquisizione dei pacchetti che fornisce un'ispezione approfondita dei pacchetti, una visibilità completa della rete e un'analisi delle minacce per le implementazioni on-premise.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Windows Server 2016 o versioni successive o host Linux con systemd
  • Connettività di rete tra l'agente Bindplane e l'appliance Symantec Security Analytics
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
  • Accesso privilegiato all'appliance Symantec Security Analytics con autorizzazioni di amministratore

Recuperare il file di autenticazione dell'importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.

  3. Scarica il file di autenticazione dell'acquisizione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.

  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri Prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sc query observiq-otel-collector

Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sudo systemctl status observiq-otel-collector

Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

  • Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/symantec_sa:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: SYMANTEC_SA
        raw_log_field: body

service:
    pipelines:
        logs/symantec_sa_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/symantec_sa

Parametri di configurazione

Sostituisci i seguenti segnaposto:

  • Configurazione del destinatario:

    • listen_address: Indirizzo IP e porta da ascoltare:
      • 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
      • La porta 514 è la porta syslog standard (richiede l'accesso root su Linux; utilizza 1514 per l'accesso non root)

  • Configurazione dell'esportatore:

    • creds_file_path: Percorso completo del file di autenticazione dell'acquisizione:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID cliente copiato dalla console Google SecOps
    • endpoint: URL dell'endpoint regionale:
      • Stati Uniti: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Per l'elenco completo, consulta Endpoint regionali.

Salva il file di configurazione

  • Dopo la modifica, salva il file:
    • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
    • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux:

  1. Esegui questo comando:

    sudo systemctl restart observiq-otel-collector

  2. Verifica che il servizio sia in esecuzione:

    sudo systemctl status observiq-otel-collector

  3. Controlla i log per individuare eventuali errori:

    sudo journalctl -u observiq-otel-collector -f

Per riavviare l'agente Bindplane in Windows:

  1. Scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console dei servizi:
      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

  2. Verifica che il servizio sia in esecuzione:

    sc query observiq-otel-collector

  3. Controlla i log per individuare eventuali errori:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurare l'inoltro di syslog di Symantec Security Analytics

  1. Accedi all'interfaccia web dell'appliance Symantec Security Analytics.
  2. Vai a Sistema > Avvisi > Syslog.
  3. Fai clic su Aggiungi per creare una nuova destinazione syslog.
  4. Fornisci i seguenti dettagli di configurazione:
    • Server Syslog: inserisci l'indirizzo IP dell'host dell'agente Bindplane.
    • Porta: inserisci 514.
    • Protocollo: seleziona UDP.
    • Struttura: seleziona Local0 o la struttura che preferisci.
  5. Seleziona le categorie di log da inoltrare (avvisi di sicurezza, eventi di sistema, eventi di rete).
  6. Fai clic su Salva per applicare la configurazione.
  7. Verifica che i log vengano inviati controllando i log dell'agente Bindplane.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
additional.fields Unito da m_label, c_label, start_time_label
action_name security_result.action_details Valore copiato direttamente
categoria target.resource.type Valore copiato direttamente
cs4 security_result.description Valore copiato direttamente
cs5 security_result.summary Valore copiato direttamente
dmac target.mac Valore copiato direttamente
dpt target.port Convertito in numero intero
dst target.ip Estratto utilizzando il pattern grok come dst_ip
dst target.asset.ip Estratto utilizzando il pattern grok come dst_ip
elapsed_time security_result.detection_fields Unito da elapsed_time_label
end Convertito da ms epoch a timestamp (non utilizzato nella mappatura UDM)
event_id security_result.rule_id Valore copiato direttamente
event_name metadata.product_event_type Valore copiato direttamente
evt metadata.product_event_type Valore copiato direttamente
host intermediary.hostname Valore copiato direttamente
host intermediary.asset.hostname Valore copiato direttamente
id target.resource.id Valore copiato direttamente
ip principal.ip Estratto utilizzando il pattern grok come ip_address1
ip principal.asset.ip Estratto utilizzando il pattern grok come ip_address1
ip_address principal.ip Estratto utilizzando il pattern grok come ip_address2
ip_address principal.asset.ip Estratto utilizzando il pattern grok come ip_address2
logmsg metadata.description Valore copiato direttamente
m additional.fields Unito da m_label
mac_address principal.mac Valore copiato direttamente
modello target.resource.name Valore copiato direttamente
msgs metadata.description Valore copiato direttamente
percorso target.file.full_path Valore copiato direttamente
query_id target.resource.attribute.labels Unito da query_id_label
remote_ip target.ip Estratto utilizzando il pattern grok come r_ipaddress
remote_ip target.asset.ip Estratto utilizzando il pattern grok come r_ipaddress
sequenceId metadata.product_log_id Valore copiato direttamente
gravità security_result.severity_details Valore copiato direttamente
gravità security_result.severity Impostato su LOW se in ["0","1","2","3"]; MEDIUM se in ["4","5","6"]; HIGH se in ["7","8"]; CRITICAL se in ["9","10"]; altrimenti UNKNOWN_SEVERITY
smac principal.mac Valore copiato direttamente
sn principal.mac Valore copiato direttamente
spt principal.port Convertito in numero intero
src principal.ip Estratto utilizzando il pattern grok come src_ip
src principal.asset.ip Estratto utilizzando il pattern grok come src_ip
start additional.fields Unito da start_time_label
ts metadata.collected_timestamp Convertito utilizzando i formati di corrispondenza della data
utente principal.user.userid Valore copiato direttamente
versione metadata.product_version Valore copiato direttamente
metadata.event_type Impostato su NETWORK_CONNECTION se has_principal e has_target sono true; STATUS_UPDATE se has_principal è true e has_target è false; USER_UNCATEGORIZED se has_principal_user è true; altrimenti GENERIC_EVENT
metadata.product_name Imposta su "Security Analytics Platform"
metadata.vendor_name Impostato su "Symantec Corporation"
host event.idm.read_only_udm.intermediary.hostname e event.idm.read_only_udm.intermediary.asset.hostname Mappato dal log delle modifiche
event_name event.idm.read_only_udm.metadata.product_event_type Mappato dal log delle modifiche
end event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
ts event.idm.read_only_udm.metadata.collected_timestamp Mappato dal log delle modifiche
host principal.hostname Mappato dal log delle modifiche
logmsg metadata description Mappato dal log delle modifiche
m" and "c additional.fields Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.