Collecter les journaux uberAgent

Compatible avec :

Ce document explique comment ingérer des journaux uberAgent dans Google Security Operations à l'aide de l'agent Bindplane.

uberAgent est une plate-forme d'analyse de la sécurité des points de terminaison et de surveillance de l'expérience utilisateur pour Windows et macOS. Il collecte des données de télémétrie, y compris des événements de processus, des événements de connexion, des connexions réseau et l'utilisation des applications sur les points de terminaison surveillés.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent Bindplane et les points de terminaison uberAgent
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès privilégié à la console de gestion uberAgent ou aux points de terminaison sur lesquels uberAgent est installé

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.

  3. Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Profil.

  3. Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation de Linux

  1. Ouvrez un terminal avec des privilèges root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit être indiqué comme actif (en cours d'exécution).

Autres ressources d'installation

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
    filelog:
        include:
            - 'C:\uberAgent\logs\*.log'
            - 'C:\uberAgent\logs\*.csv'
        start_at: beginning
        poll_interval: 5s

exporters:
    chronicle/uberagent:
        compression: gzip
        creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: UBERAGENT
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/uberagent_to_chronicle:
            receivers:
                - filelog
            exporters:
                - chronicle/uberagent

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • include : chemins d'accès aux fichiers journaux uberAgent :
      • Windows (local) : C:\uberAgent\logs\*.log et C:\uberAgent\logs\*.csv
      • Windows (partage de fichiers) : \\SERVER\Share\uberagent-logs\*.log
      • Ajustez le chemin d'accès en fonction de la configuration de sortie des fichiers uberAgent.
    • start_at : définissez la valeur sur beginning pour lire les journaux existants ou sur end pour lire uniquement les nouvelles entrées.
    • poll_interval : fréquence de vérification des nouvelles données de journaux (par défaut : 5s)

  • Configuration de l'exportateur :

    • uberagent : nom descriptif de l'exportateur.
    • creds_file_path : chemin d'accès complet au fichier d'authentification de l'ingestion :
      • Linux : /etc/bindplane-agent/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <customer_id> : ID client de l'étape précédente
    • endpoint : URL du point de terminaison régional :
      • États-Unis : malachiteingestion-pa.googleapis.com
      • Europe : europe-malachiteingestion-pa.googleapis.com
      • Asie : asia-southeast1-malachiteingestion-pa.googleapis.com
      • Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • UBERAGENT : type de journal tel qu'il apparaît dans Chronicle
    • ingestion_labels : étiquettes facultatives au format YAML (par exemple, env: production)

  • Configuration du pipeline :

    • uberagent_to_chronicle : nom descriptif du pipeline.

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      sudo systemctl status observiq-otel-collector

    2. Recherchez les erreurs dans les journaux :

      sudo journalctl -u observiq-otel-collector -f

  • Pour redémarrer l'agent Bindplane dans Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Localisez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit, puis sélectionnez Redémarrer.

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Recherchez les erreurs dans les journaux :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer la sortie de fichier uberAgent

uberAgent est compatible avec plusieurs backends de sortie. Pour exporter des données sous forme de fichiers à collecter par l'agent Bindplane :

  1. Ouvrez le fichier de configuration uberAgent (uberAgent.conf) sur le point de terminaison ou via une stratégie de groupe.

  2. Configurez un récepteur de sortie basé sur un fichier :

    [Receiver]
Name = FileOutput
Type = File
Path = C:\uberAgent\logs\

  3. Configurez les métriques et les types de sources à exporter :

    • Processus : événements de démarrage/arrêt des processus, utilisation des ressources.
    • Connexion : événements de connexion/déconnexion des utilisateurs.
    • Réseau : événements de connexion réseau.
    • Application : utilisation et erreurs des applications.

  4. Enregistrez la configuration et redémarrez le service uberAgent.

  5. Vérifiez que les fichiers journaux sont créés dans le répertoire de sortie configuré.

  6. Assurez-vous que l'agent Bindplane dispose d'autorisations de lecture sur le répertoire et les fichiers journaux.

Table de mappage UDM

Champ de journal Mappage UDM Logique
SessionRpLatencyMs2, SessionHRes, SessionVRes, SessionColorDepth, SessionClientPlatform, SessionClientVersion, SessionClientOsLanguage, SessionPublishedName, SessionPublishedAppsCtx, SessionAppStateCtx, SessionEncryptionCtx, SessionClientTypeCtx, SessionBrokerDnsVmw, SessionBrokerUrlVmw, SessionBrokerTunneledVmw, SessionBrokerTunnelUrlVmw, SessionBrokerRemoteIpVmw, SessionBrokerUserVmw, SessionBrokerDomainVmw, SessionClientTimezoneVmw, SessionClientIdVmw, SessionTypeVmw, SessionBrokerType, SessionFgAppId, SessionFgAppVersion, SessionFgProcessName, SessionFgProcessId, SessionFgBrowserType, SessionFgBrowserActiveTabHost, SessionFgWindowTitle, SessionClientHwIdCtx2, SessionRoundTripTimeMs, SessionFps, SessionTransportProtocols, SessionProcessCount, SessionIOMB, SessionCPUTimeMs, SessionConnectionState, SessionUser, SessionIOCount, SessionNetKBPS, SessionWorkingSetMB, SessionCPUUsagePercent, SessionIOPS, SessionClientName, SessionIOLatencyMs, PowerSupportsS3, IsBatteryPresent, PowerSupportsS1, PowerSupportsS2, PowerSupportsS5, CPUMaxMhz, BaseboardSerial, CtxMachineCatalogName, AdDomainDns, HwHypervisorVendor, OsBuild, HwBiosVersion, PowerSupportsS4, HwIsVirtualMachine, IsUpsPresent, PowerSupportsConnectedStandby, OsInstallDate, Sourcetype, uberagent_index_name, data_stream.namespace, data_stream.dataset, data_stream.type, data_stream.subset, CPUCoresLogical, AdOu, AdDomainNetBios, logstash_pipeline, AdSite, CtxFarmName, CPUSockets, OsSpName, OsName, OsType, OsUpdateBuildRevision, ComputerNameCanonical, ComputerNameDn, CtxDeliveryGroupName, tags, user_agent.original additional.fields Fusionnées sous forme de paires clé/valeur à partir des champs listés
metadata.event_type Défini sur STATUS_UPDATE si has_principal est défini sur "true" et has_target sur "false", sur NETWORK_CONNECTION si les deux sont définis sur "true", et sur GENERIC_EVENT dans le cas contraire.
SessionGUID metadata.product_log_id Valeur copiée directement
user_agent.original network.http.parsed_user_agent User-agent converti en user-agent analysé
user_agent.original network.http.user_agent Valeur copiée directement
SessionTransportProtocols network.ip_protocol Définissez le protocole sur UDP si la valeur correspond à (?i)udp, ou sur TCP si elle correspond à (?i)tcp.
SessionID network.session_id Valeur copiée directement
SessionClientUserDomain principal.administrative_domain Valeur copiée directement
CPUCoresPhysical, RAMSizeGB, CPUName, HwManufacturer, OsArchitecture, BIOSSerial, HwModel principal.asset.hardware Fusionné dans l'objet matériel
SessionClientDomain, hôte principal.asset.hostname Valeur de SessionClientDomain si elle n'est pas vide, sinon hôte
prin_ip, SessionClientIp, system_ip principal.asset.ip Valeur de prin_ip si elle n'est pas vide, sinon SessionClientIp, sinon system_ip
SessionClientDomain, hôte principal.hostname Valeur de SessionClientDomain si elle n'est pas vide, sinon hôte
prin_ip, SessionClientIp, system_ip principal.ip Valeur de prin_ip si elle n'est pas vide, sinon SessionClientIp, sinon system_ip
SessionClientMac principal.mac Valeur de SessionClientMac, avec "-" remplacé par ":", en minuscules
SessionClientPlatform principal.platform Définissez sur WINDOWS si la chaîne correspond à (?i)windows
SessionClientVersion principal.platform_version Définir sur la valeur si la correspondance (?i)windows est trouvée
SessionUser, SessionClientUser principal.user.user_display_name Valeur de SessionUser si elle n'est pas vide, sinon SessionClientUser
SessionBrokerRemoteIpVmw target.ip Valeur copiée directement
SessionBrokerUserVmw target.user.user_display_name Valeur copiée directement
SessionClientIdVmw target.user.userid Valeur copiée directement
metadata.product_name Défini sur "UBERAGENT"
metadata.vendor_name Défini sur "UBERAGENT"

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.