Raccogli i log di Akeyless Vault

Questo documento spiega come importare i log di Akeyless Vault in Google Security Operations utilizzando l'importazione diretta o Bindplane. Innanzitutto, il parser normalizza i messaggi di log, che possono essere in formato chiave-valore o JSON, in una struttura coerente. Estrae quindi i campi pertinenti e li mappa allo schema Unified Data Model (UDM), classificando il tipo di evento in base alla presenza di indirizzi IP e azioni eseguite.

Prima di iniziare

Assicurati di disporre dei seguenti prerequisiti:

• Istanza Google SecOps
• Accesso con privilegi ad Akeyless Vault

Recupera il file di autenticazione di importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'importazione.

Ottenere l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Configurare l'inoltro dei log per l'importazione diretta in Google SecOps in Akeyless Vault

1. Accedi all'interfaccia utente web di Akeyless Gateway.
2. Vai a Inoltro log.
3. Seleziona Attiva.
4. Fornisci i seguenti dettagli di configurazione:
   • Formato log: seleziona JSON.
   • Server di log di controllo: inserisci https://audit.akeyless.io/.
   • Servizio: seleziona Google Chronicle.
   • Chiave dell'account di servizio: fornisci il file JSON contenente le credenziali dell'account di servizio.
   • ID cliente: inserisci il tuo identificatore univoco di Google SecOps.
   • Regione: inserisci la regione in cui è stato eseguito il provisioning di Google SecOps.
   • Tipo di log: inserisci AKEYLESS_VAULT.
5. Fai clic su Salva modifiche.

(Facoltativo) Importa Syslog tramite Bindplane

Installazione di Bindplane per Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Bindplane su Linux

1. Apri un terminale con privilegi di root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse di installazione aggiuntive

Per altre opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare i syslog e inviarli a Google SecOps

1. Accedi al file di configurazione:
   • Individua il file config.yaml. In genere si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: 'AKEYLESS_VAULT'
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.

4. Sostituisci <customer_id> con l'ID cliente effettivo.

5. Aggiorna /path/to/ingestion-authentication-file.json con il percorso in cui è stato salvato il file di autenticazione nella sezione Ottenere il file di autenticazione per l'importazione di Google SecOps.

Riavvia l'agente Bindlane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui il seguente comando:

  sudo systemctl restart bindplane-agent
  

• Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurare l'inoltro di Syslog a Bindplane in Akeyless Vault

1. Accedi all'interfaccia utente web di Akeyless Gateway.
2. Vai a Inoltro log.
3. Seleziona Attiva.
4. Fornisci i seguenti dettagli di configurazione:
   • Formato log: seleziona JSON.
   • Server di log di controllo: inserisci https://audit.akeyless.io/.
   • Servizio: seleziona Syslog.
   • Rete Syslog: seleziona UDP. (puoi selezionare un'altra opzione, a seconda della configurazione dell'agente Bindplane).
   • Host syslog: inserisci l'indirizzo IP dell'agente Bindplane.
   • Formattatore syslog: seleziona Testo.
   • (Facoltativo) TLS: seleziona la casella di controllo TLS e carica il certificato TLS.
5. Fai clic su Salva modifiche.

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.