Raccogliere i log di Veridium ID

Supportato in:

Questo documento spiega come importare i log di Veridium ID in Google Security Operations utilizzando l'agente Bindplane.

Veridium ID è una piattaforma di autenticazione biometrica che genera messaggi syslog per eventi di autenticazione, gestione dell'account, registrazione dei dispositivi e azioni amministrative. Il parser estrae i campi dai messaggi syslog utilizzando pattern grok e l'analisi coppia chiave-valore e li mappa al modello Unified Data Model (UDM).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Windows Server 2016 o versioni successive oppure host Linux con systemd
  • Connettività di rete tra l'agente Bindplane e l'host ID Veridium
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
  • Accesso privilegiato all'ID Veridium

Recuperare il file di autenticazione dell'importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione.

  4. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.

  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri Prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sc query observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sudo systemctl status observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

  • Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/veridium_id:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: VERIDIUM_ID
        raw_log_field: body

service:
    pipelines:
        logs/veridium_id_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/veridium_id

Parametri di configurazione

Sostituisci i seguenti segnaposto:

  • Configurazione del ricevitore:

    • listen_address: Indirizzo IP e porta da ascoltare:
      • 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
      • La porta 514 è la porta syslog standard (richiede l'accesso root su Linux; utilizza 1514 per l'accesso non root)
      • Veridium ID utilizza TCP (@@ in rsyslog), quindi è necessario il ricevitore tcplog

  • Configurazione dell'esportatore:

    • creds_file_path: percorso completo del file di autenticazione dell'acquisizione:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID cliente copiato dalla console Google SecOps
    • endpoint: URL endpoint regionale:
      • Stati Uniti: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Per un elenco completo, vedi Endpoint regionali.

Salvare il file di configurazione

  • Dopo la modifica, salva il file:
    • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
    • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica che il servizio sia in esecuzione:

      sudo systemctl status observiq-otel-collector

    2. Controlla i log per individuare eventuali errori:

      sudo journalctl -u observiq-otel-collector -f

  • Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console dei servizi:

      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

      4. Verifica che il servizio sia in esecuzione:

        sc query observiq-otel-collector

      5. Controlla i log per individuare eventuali errori:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurare Syslog per Veridium ID

  1. Accedi all'host Veridium ID utilizzando SSH o la CLI.

  2. Modifica il file /etc/rsyslog.conf o /etc/rsyslog.d/events.conf:

    vi /etc/rsyslog.conf

  3. Aggiungi la seguente configurazione, sostituendo <bindplane-ip> e <bindplane-port> con i dettagli effettivi dell'agente Bindplane:

    module(load="imfile" PollingInterval="10")

input(type="imfile"
  File="/var/log/veridiumid/websecadmin/events.log"
  Tag="ver-adminevents"
  reopenOnTruncate="on")

input(type="imfile"
  File="/var/log/veridiumid/tomcat/events.log"
  Tag="ver-events"
  reopenOnTruncate="on")

if $programname == 'ver-events' then @@<bindplane-ip>:<bindplane-port>
if $programname == 'ver-adminevents' then @@<bindplane-ip>:<bindplane-port>

  4. Salva il file ed esci.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
_caller.accountId principal.user.userid Mappato direttamente dal campo _caller.accountId.
_caller.accountEmailAddressInfo principal.user.email_addresses Mappato direttamente dal campo _caller.accountEmailAddressInfo.
_caller.accountExternalId principal.user.email_addresses Mappato direttamente dal campo _caller.accountExternalId.
_caller.accountStatus principal.user.attribute.labels[account_status].value Mappato direttamente dal campo _caller.accountStatus.
_caller.deviceId principal.asset.asset_id Con il prefisso "VERIDIUM_ID:" e mappato dal campo _caller.deviceId.
_caller.deviceDescription principal.asset.attribute.labels[device_description].value Mappato direttamente dal campo _caller.deviceDescription.
_caller.deviceManufacturer principal.asset.attribute.labels[device_manufacturer].value Mappato direttamente dal campo _caller.deviceManufacturer.
_caller.deviceName principal.asset.attribute.labels[device_name].value Mappato direttamente dal campo _caller.deviceName.
_caller.deviceOs principal.asset.platform_software.platform Mappato dal campo _caller.deviceOs. Se il valore è "iOS", viene mappato a "IOS". Se il valore è "Android", viene mappato su "ANDROID". Se il valore è "WIN" o "Windows", viene mappato a "WINDOWS".
_caller.deviceStatus principal.asset.attribute.labels[device_status].value Mappato direttamente dal campo _caller.deviceStatus.
_caller.deviceType principal.asset.attribute.labels[device_type].value Mappato direttamente dal campo _caller.deviceType.
actionDate additional.fields[action_date].value.string_value Mappato direttamente dal campo actionDate.
actionName metadata.product_event_type Mappato direttamente dal campo actionName.
accountEmail principal.user.email_addresses Mappato direttamente dal campo accountEmail.
accountExternalId principal.user.email_addresses Mappato direttamente dal campo accountExternalId.
accountId principal.user.userid Mappato direttamente dal campo accountId.
authenticatorDeviceContext.deviceMake intermediary.asset.hardware.manufacturer Mappato direttamente dal campo authenticatorDeviceContext.deviceMake.
authenticatorDeviceContext.ip intermediary.ip Mappato direttamente dal campo authenticatorDeviceContext.ip.
authenticatorDeviceContext.location.city intermediary.asset.location.city Mappato direttamente dal campo authenticatorDeviceContext.location.coordinates.latitude.
authenticatorDeviceContext.location.coordinates.latitude intermediary.asset.location.region_latitude Mappato direttamente dal campo authenticatorDeviceContext.location.coordinates.latitude.
authenticatorDeviceContext.location.coordinates.longitude intermediary.asset.location.region_longitude Mappato direttamente dal campo authenticatorDeviceContext.location.coordinates.longitude.
authenticatorDeviceContext.location.countryName intermediary.asset.location.country_or_region Mappato direttamente dal campo authenticatorDeviceContext.location.countryName.
authenticatorDeviceContext.location.ip intermediary.ip Mappato direttamente dal campo authenticatorDeviceContext.location.ip.
authenticationDeviceDescription intermediary.asset.attribute.labels[authentication_device_description].value Mappato direttamente dal campo authenticationDeviceDescription.
authenticationDeviceName intermediary.asset.asset_id Con il prefisso "VERIDIUM_ID:" e mappato dal campo authenticationDeviceName.
authenticationDeviceOs intermediary.asset.platform_software.platform Mappato dal campo authenticationDeviceOs. Se il valore è "iOS", viene mappato a "IOS". Se il valore è "Android", viene mappato su "ANDROID". Se il valore è "WIN" o "Windows", viene mappato a "WINDOWS".
authenticationDeviceOsVersion intermediary.asset.platform_software.platform_version Mappato direttamente dal campo authenticationDeviceOsVersion.
authenticationDevicePhone intermediary.asset.attribute.labels[authentication_device_phone].value Mappato direttamente dal campo authenticationDevicePhone.
authenticationDevicePhoneModel intermediary.asset.attribute.labels[authentication_device_phone_model].value Mappato direttamente dal campo authenticationDevicePhoneModel.
authenticationDeviceRegistrationTime intermediary.asset.attribute.labels[authentication_device_registeration_time].value Mappato direttamente dal campo authenticationDeviceRegistrationTime.
authenticationDeviceType intermediary.asset.attribute.labels[authentication_device_type].value Mappato direttamente dal campo authenticationDeviceType.
authenticationResult extensions.auth.auth_details Mappato direttamente dal campo authenticationResult.
context.deviceMake principal.asset.hardware.manufacturer Mappato direttamente dal campo context.deviceMake.
context.ip principal.ip Mappato direttamente dal campo context.ip.
context.location.countryName principal.location.country_or_region Mappato direttamente dal campo context.location.countryName.
context.location.ip principal.ip Mappato direttamente dal campo context.location.ip.
context.osVersion principal.asset.platform_software.platform_version Mappato direttamente dal campo context.osVersion.
context.userAgentRaw network.http.user_agent Mappato direttamente dal campo context.userAgentRaw.
exploiterDeviceContext.deviceMake src.asset.hardware.manufacturer Mappato direttamente dal campo exploiterDeviceContext.deviceMake.
exploiterDeviceContext.ip src.ip Mappato direttamente dal campo exploiterDeviceContext.ip.
exploiterDeviceContext.location.city src.asset.location.city Mappato direttamente dal campo exploiterDeviceContext.location.city.
exploiterDeviceContext.location.coordinates.latitude src.asset.location.region_latitude Mappato direttamente dal campo exploiterDeviceContext.location.coordinates.latitude.
exploiterDeviceContext.location.coordinates.longitude src.asset.location.region_longitude Mappato direttamente dal campo exploiterDeviceContext.location.coordinates.longitude.
exploiterDeviceContext.location.countryName src.asset.location.country_or_region Mappato direttamente dal campo exploiterDeviceContext.location.countryName.
exploiterDeviceContext.location.ip src.ip Mappato direttamente dal campo exploiterDeviceContext.location.ip.
exploiterDeviceContext.osName src.asset.platform_software.platform Mappato dal campo exploiterDeviceContext.osName. Se il valore è "WIN" o "Windows", viene mappato a "WINDOWS". Se il valore è "iOS", viene mappato a "IOS". Se il valore è "Android", viene mappato su "ANDROID".
exploiterDeviceContext.osVersion src.asset.platform_software.platform_version Mappato direttamente dal campo exploiterDeviceContext.osVersion.
exploiterDeviceName src.asset.attribute.labels[exploiter_device_name].value Mappato direttamente dal campo exploiterDeviceName.
hostname principal.hostname Mappato direttamente dal campo hostname.
ipAddress principal.ip Mappato direttamente dal campo ipAddress.
location principal.location.city Mappato direttamente dal campo location.
location.city about.location.city Mappato direttamente dal campo location.city.
location.coordinates.latitude about.location.region_latitude Mappato direttamente dal campo location.coordinates.latitude.
location.coordinates.longitude about.location.region_longitude Mappato direttamente dal campo location.coordinates.longitude.
location.countryName about.location.country_or_region Mappato direttamente dal campo location.countryName.
location.ip about.ip Mappato direttamente dal campo location.ip.
metadata.collected_timestamp metadata.collected_timestamp Mappato direttamente dal campo collected_time.
metadata.event_timestamp metadata.event_timestamp Mappato direttamente dal campo event_time.
metadata.event_type metadata.event_type Imposta il valore su "USER_UNCATEGORIZED".
metadata.product_event_type metadata.product_event_type Mappato direttamente dal campo actionName.
metadata.product_name metadata.product_name Imposta su "VERIDIUM_ID".
namespace principal.namespace Mappato direttamente dal campo namespace.
pid principal.process.pid Mappato direttamente dal campo pid.
request.context.userAgentRaw network.http.user_agent Mappato direttamente dal campo request.context.userAgentRaw.
request.sessionId network.session_id Mappato direttamente dal campo request.sessionId.
requestMethod network.http.method Mappato direttamente dal campo requestMethod.
requestURI network.http.referral_url Mappato direttamente dal campo requestURI.
security_result.severity security_result.severity Mappato dal campo severity. Se il valore è "INFO", viene mappato su "INFORMATIONAL".
principal.application Mappato direttamente dal campo application.
principal.asset.hostname Mappato direttamente dal campo hostname.

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.