Collecter les journaux Nix Systems Ubuntu Server (système Unix)

Ce document explique comment ingérer des journaux Ubuntu Server (système Unix) dans Google Security Operations à l'aide de Bindplane. L'analyseur ingère les journaux au format syslog et JSON, initialise un large éventail de champs UDM (Unified Data Model) sur des chaînes vides, effectue plusieurs substitutions de chaînes sur le champ message, puis tente d'analyser le message au format JSON. Si l'analyse JSON échoue, il utilise des modèles grok pour extraire les champs en fonction du contenu message et event_details.original, en mappant les champs extraits à l'UDM en fonction du type d'événement et de diverses vérifications conditionnelles, en gérant différents formats et structures de journaux provenant de divers processus et services du système Unix.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Instance Google SecOps
• Si vous exécutez le programme derrière un proxy, les ports du pare-feu sont ouverts.
• Accès privilégié à un serveur RHEL

Obtenir le fichier d'authentification d'ingestion Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres du SIEM > Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM> Profil.
3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane

Installation de Linux

1. Ouvrez un terminal avec les droits root ou sudo.

2. Exécutez la commande suivante :

   sudo sh -c `$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)` install_unix.sh
   

Ressources d'installation supplémentaires

Pour plus d'options d'installation, consultez le guide d'installation.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

1. Accédez au fichier de configuration :
   • Recherchez le fichier config.yaml. Il se trouve généralement dans le répertoire /etc/bindplane-agent/ sous Linux.
   • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano ou vi).

2. Modifiez le fichier config.yaml comme suit :

   receivers:
     filelog/unix:
       include:
         - /var/log/auth.log
         - /var/log/lastlog
         - /var/log/btmp
         - /var/log/wtmp
         - /var/log/faillog
         - /var/log/dpkg.log
         - /var/log/boot.log
         - /var/log/kern.log
         - /var/log/syslog
       start_at: end
       poll_interval: 5s
   
   exporters:
       chronicle/linux:
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'NIX_SYSTEM'
           override_log_type: false
           raw_log_field: body
   
   service:
     pipelines:
       logs/linux:
         receivers:
         - filelog/linux
     exporters: [chronicle/linux]
   

3. Remplacez <customer_id> par le numéro client réel.

4. Mettez à jour /path/to/ingestion-authentication-file.json en indiquant le chemin d'accès où le fichier d'authentification a été enregistré dans la section Obtenir le fichier d'authentification pour l'ingestion Google SecOps.

Démarrer l'agent Bindplane et appliquer les modifications

1. Démarrez l'agent Bindplane :

   sudo systemctl start bindplane-agent
   

2. Activez le service de collecte observIQ otel :

   systemctl enable --now bindplane-agent
   

3. Si nécessaire, redémarrez l'agent Bindplane :

   sudo systemctl restart bindplane-agent
   

Table de mappage UDM

event.idm.read_only_udm.metadata.event_type : défini sur GENERIC_EVENT au départ, puis remplacé en fonction de la logique de l'analyseur. event.idm.read_only_udm.metadata.product_name : codé en dur sur Unix System. event.idm.read_only_udm.extensions.auth.type : défini sur MACHINE pour certains types d'événements. event.idm.read_only_udm.target.asset.attribute.cloud.environment : défini sur GOOGLE_CLOUD_PLATFORM pour les journaux d'audit Google Cloud . event.idm.read_only_udm.target.resource.resource_type : défini sur VIRTUAL_MACHINE pour les journaux d'audit Google Cloud . event.idm.read_only_udm.extensions.auth.mechanism : définissez la valeur sur USERNAME_PASSWORD pour les événements de connexion. has_target_resource : définie sur true si resource.labels.instance_id ou _Internal_WorkspaceResourceId est présent.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.