Collecter les journaux uberAgent

Compatible avec :

Ce document explique comment ingérer des journaux uberAgent dans Google Security Operations à l'aide de l'agent Bindplane.

uberAgent est une plate-forme d'analyse de la sécurité des points de terminaison et de surveillance de l'expérience utilisateur pour Windows et macOS. Elle collecte des données de télémétrie, y compris des événements de processus, des événements d'ouverture de session, des connexions réseau et l'utilisation des applications sur les points de terminaison surveillés.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou un hôte Linux avec systemd
  • Connectivité réseau entre l'agent Bindplane et les points de terminaison uberAgent
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès privilégié à la console de gestion uberAgent ou aux points de terminaison sur lesquels uberAgent est installé

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à SIEM Settings > Collection Agents (Paramètres SIEM > Agents de collecte).

  3. Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système où Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM > Profil.

  3. Copiez et enregistrez l'ID client de la section Organization Details (Informations sur l'organisation).

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation sous Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    L'état du service doit être RUNNING (En cours d'exécution).

Installation sous Linux

  1. Ouvrez un terminal avec des droits root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    L'état du service doit être active (running) (Actif (en cours d'exécution)).

Ressources d'installation supplémentaires

Pour obtenir des options d'installation supplémentaires et des informations sur la résolution des problèmes, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer des journaux et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifier le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
    filelog:
        include:
            - 'C:\uberAgent\logs\*.log'
            - 'C:\uberAgent\logs\*.csv'
        start_at: beginning
        poll_interval: 5s

exporters:
    chronicle/uberagent:
        compression: gzip
        creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: UBERAGENT
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/uberagent_to_chronicle:
            receivers:
                - filelog
            exporters:
                - chronicle/uberagent

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • include: chemins d'accès aux fichiers journaux uberAgent :
      • Windows (local): C:\uberAgent\logs\*.log et C:\uberAgent\logs\*.csv
      • Windows (partage de fichiers) : \\SERVER\Share\uberagent-logs\*.log
      • Ajustez le chemin d'accès en fonction de la configuration de sortie de votre fichier uberAgent.
    • start_at : définissez la valeur sur beginning pour lire les journaux existants ou sur end pour ne lire que les nouvelles entrées.
    • poll_interval : fréquence de vérification des nouvelles données de journal (par défaut : 5s)

  • Configuration de l'exportateur :

    • uberagent : nom descriptif de l'exportateur
    • creds_file_path: chemin d'accès complet au fichier d'authentification d'ingestion :
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <customer_id> : ID client de l'étape précédente
    • endpoint: URL du point de terminaison régional :
      • États-Unis : malachiteingestion-pa.googleapis.com
      • Europe: europe-malachiteingestion-pa.googleapis.com
      • Asie : asia-southeast1-malachiteingestion-pa.googleapis.com
      • Consultez la liste complète des points de terminaison régionaux.
    • UBERAGENT : type de journal tel qu'il apparaît dans Chronicle
    • ingestion_labels : libellés facultatifs au format YAML (par exemple, env: production)

  • Configuration du pipeline :

    • uberagent_to_chronicle : nom descriptif du pipeline

Enregistrer le fichier de configuration

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer

Redémarrer l'agent Bindplane pour appliquer les modifications

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      sudo systemctl status observiq-otel-collector

    2. Recherchez les erreurs dans les journaux :

      sudo journalctl -u observiq-otel-collector -f

  • Pour redémarrer l'agent Bindplane sous Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit, puis sélectionnez Restart (Redémarrer).

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Recherchez les erreurs dans les journaux :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer la sortie de fichier uberAgent

uberAgent est compatible avec plusieurs backends de sortie. Pour exporter des données sous forme de fichiers à collecter par l'agent Bindplane :

  1. Ouvrez le fichier de configuration uberAgent (uberAgent.conf) sur le point de terminaison ou via une stratégie de groupe.

  2. Configurez un récepteur de sortie basé sur un fichier :

    [Receiver]
Name = FileOutput
Type = File
Path = C:\uberAgent\logs\

  3. Configurez les métriques et les types de sources à exporter :

    • Processus : événements de démarrage/d'arrêt de processus, utilisation des ressources.
    • Logon (Ouverture de session) : événements d'ouverture/de fermeture de session utilisateur.
    • Network (Réseau) : événements de connexion réseau.
    • Application : utilisation et erreurs des applications.

  4. Enregistrez la configuration et redémarrez le service uberAgent.

  5. Vérifiez que les fichiers journaux sont créés dans le répertoire de sortie configuré.

  6. Assurez-vous que l'agent Bindplane dispose d'autorisations de lecture sur le répertoire et les fichiers journaux.

Table de mappage UDM

Champ du journal Mappage UDM Logique
SessionRpLatencyMs2, SessionHRes, SessionVRes, SessionColorDepth, SessionClientPlatform, SessionClientVersion, SessionClientOsLanguage, SessionPublishedName, SessionPublishedAppsCtx, SessionAppStateCtx, SessionEncryptionCtx, SessionClientTypeCtx, SessionBrokerDnsVmw, SessionBrokerUrlVmw, SessionBrokerTunneledVmw, SessionBrokerTunnelUrlVmw, SessionBrokerRemoteIpVmw, SessionBrokerUserVmw, SessionBrokerDomainVmw, SessionClientTimezoneVmw, SessionClientIdVmw, SessionTypeVmw, SessionBrokerType, SessionFgAppId, SessionFgAppVersion, SessionFgProcessName, SessionFgProcessId, SessionFgBrowserType, SessionFgBrowserActiveTabHost, SessionFgWindowTitle, SessionClientHwIdCtx2, SessionRoundTripTimeMs, SessionFps, SessionTransportProtocols, SessionProcessCount, SessionIOMB, SessionCPUTimeMs, SessionConnectionState, SessionUser, SessionIOCount, SessionNetKBPS, SessionWorkingSetMB, SessionCPUUsagePercent, SessionIOPS, SessionClientName, SessionIOLatencyMs, PowerSupportsS3, IsBatteryPresent, PowerSupportsS1, PowerSupportsS2, PowerSupportsS5, CPUMaxMhz, BaseboardSerial, CtxMachineCatalogName, AdDomainDns, HwHypervisorVendor, OsBuild, HwBiosVersion, PowerSupportsS4, HwIsVirtualMachine, IsUpsPresent, PowerSupportsConnectedStandby, OsInstallDate, Sourcetype, uberagent_index_name, data_stream.namespace, data_stream.dataset, data_stream.type, data_stream.subset, CPUCoresLogical, AdOu, AdDomainNetBios, logstash_pipeline, AdSite, CtxFarmName, CPUSockets, OsSpName, OsName, OsType, OsUpdateBuildRevision, ComputerNameCanonical, ComputerNameDn, CtxDeliveryGroupName, tags, user_agent.original additional.fields Fusionné en tant que paires clé-valeur à partir des champs listés
metadata.event_type Défini sur STATUS_UPDATE si has_principal est défini sur "true" et has_target sur "false", NETWORK_CONNECTION si les deux sont définis sur "true", ou GENERIC_EVENT dans le cas contraire
SessionGUID metadata.product_log_id Valeur copiée directement
user_agent.original network.http.parsed_user_agent Converti en user-agent analysé
user_agent.original network.http.user_agent Valeur copiée directement
SessionTransportProtocols network.ip_protocol Défini sur UDP si la valeur correspond à (?i)udp, ou sur TCP si elle correspond à (?i)tcp
SessionID network.session_id Valeur copiée directement
SessionClientUserDomain principal.administrative_domain Valeur copiée directement
CPUCoresPhysical, RAMSizeGB, CPUName, HwManufacturer, OsArchitecture, BIOSSerial, HwModel principal.asset.hardware Fusionné dans l'objet matériel
SessionClientDomain, host principal.asset.hostname Valeur de SessionClientDomain si elle n'est pas vide, sinon "host"
prin_ip, SessionClientIp, system_ip principal.asset.ip Valeur de prin_ip si elle n'est pas vide, sinon SessionClientIp, sinon system_ip
SessionClientDomain, host principal.hostname Valeur de SessionClientDomain si elle n'est pas vide, sinon "host"
prin_ip, SessionClientIp, system_ip principal.ip Valeur de prin_ip si elle n'est pas vide, sinon SessionClientIp, sinon system_ip
SessionClientMac principal.mac Valeur de SessionClientMac, avec "-" remplacé par ":", en minuscules
SessionClientPlatform principal.platform Défini sur WINDOWS si la valeur correspond à (?i)windows
SessionClientVersion principal.platform_version Défini sur la valeur si elle correspond à (?i)windows
SessionUser, SessionClientUser principal.user.user_display_name Valeur de SessionUser si elle n'est pas vide, sinon SessionClientUser
SessionBrokerRemoteIpVmw target.ip Valeur copiée directement
SessionBrokerUserVmw target.user.user_display_name Valeur copiée directement
SessionClientIdVmw target.user.userid Valeur copiée directement
metadata.product_name Défini sur "UBERAGENT"
metadata.vendor_name Défini sur "UBERAGENT"

Journal des modifications

Consulter le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses auprès des membres de la communauté et des professionnels Google SecOps.