收集主动对策 AC-Hunter 日志

解析器版本：3.0

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将主动对策 AC-Hunter 日志注入到 Google Security Operations。

AC-Hunter 是 Active Countermeasures 推出的一款网络威胁检测平台，可通过分析网络流量来识别与命令和控制服务器通信的受入侵系统，从而执行自动化威胁搜寻。AC-Hunter 在 Linux 服务器上的 Docker 容器中运行，可以通过 syslog 协议将威胁提醒转发到 SIEM 或集中式日志记录服务器。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例。
• Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机。
• 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开。
• 对 Active Countermeasures AC-Hunter 服务器的特权访问权限（通过 sudo 进行 SSH），用于修改配置文件。
• AC-Hunter 版本 5.3.0 或更高版本（早期版本包含会阻止发送 syslog 消息的 bug）。
• 从 AC-Hunter 服务器到 Bindplane 代理主机（在您选择的 syslog 端口 [UDP 或 TCP] 上）的网络路径。
• 在 AC-Hunter 主机上启用了 IP 转发，以允许 Docker 容器将 syslog 发送到外部服务器。

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载数据注入身份验证文件。将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安装资源

如需了解其他安装选项，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

• Linux：

      sudo systemctl status observiq-otel-collector
  

• Windows：

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

修改配置文件

• 将 config.yaml 的全部内容替换为以下配置：

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/ac_hunter:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<CUSTOMER_ID>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: AI_HUNTER
          raw_log_field: body
  
  service:
      pipelines:
          logs/ac_hunter_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/ac_hunter
  

配置参数

替换以下占位符：

• 接收器配置：

  • udplog：使用 udplog 表示 UDP syslog，使用 tcplog 表示 TCP syslog。与 AC-Hunter 中配置的协议相匹配。
  • 0.0.0.0:514：要监听的 IP 地址和端口。使用 0.0.0.0 可监听所有接口。

• 导出器配置：

  • <CUSTOMER_ID>：在上一步中复制的 Google SecOps 客户 ID。
  • /etc/bindplane-agent/ingestion-auth.json：提取身份验证文件的完整路径。
    • Linux：/etc/bindplane-agent/ingestion-auth.json
    • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • endpoint：区域端点网址：
    • 美国：malachiteingestion-pa.googleapis.com
    • 欧洲：europe-malachiteingestion-pa.googleapis.com
    • 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
    • 如需查看完整列表，请参阅区域级端点。

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

1. 运行以下命令：

   sudo systemctl restart observiq-otel-collector
   

2. 验证服务是否正在运行：

   sudo systemctl status observiq-otel-collector
   

3. 检查日志是否存在错误：

   sudo journalctl -u observiq-otel-collector -f
   

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

1. 请从下列选项中选择一项：

   • 以管理员身份运行命令提示符或 PowerShell：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • 服务控制台：
     1. 按 Win+R，输入 services.msc，然后按 Enter 键。
     2. 找到 observIQ OpenTelemetry 收集器。
     3. 右键点击并选择重新启动。

2. 验证服务是否正在运行：

   sc query observiq-otel-collector
   

3. 检查日志是否存在错误：

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

在 Active Countermeasures AC-Hunter 上配置 syslog 转发

1. 通过 SSH 以特权访问权限登录 AC-Hunter 服务器。

2. 备份现有配置文件：

   sudo cp /etc/AI-Hunter/config.yaml /etc/AI-Hunter/config.yaml.backup
   

3. 在文本编辑器中打开配置文件：

   sudo nano /etc/AI-Hunter/config.yaml
   

4. 找到提醒：部分和嵌套的 Syslog：部分。提供以下配置详细信息：

   Alert:
       Syslog:
           Threshold: 20
           Protocol: "udp"
           Address: "BINDPLANE_IP:514"
           Tag: " AC-Hunter "
   

   • 阈值：输入触发提醒的最低威胁得分（例如 20）。得分达到或高于此值的系统会生成 syslog 提醒。
   • 协议：选择 "udp" 或 "tcp" 以匹配 Bindplane 代理接收器配置。使用 ""（空字符串）写入主机 /dev/log 以进行 rsyslog 转发。
   • 地址：输入 Bindplane 代理 IP 地址和端口（例如 "10.1.2.3:514"）。
   • 标记：输入用于标识日志的可选标记（例如 " AC-Hunter "）。在结束引号前添加一个尾随空格，以免标记与消息文本混在一起。
   注意： 缩进在此 YAML 文件中至关重要。单次缩进的行使用 4 个空格，两次缩进的行使用 8 个空格。请勿使用标签页。在保存之前，请在 yamllint.com 上验证文件。

5. 保存配置文件并退出编辑器。

6. 重启 AC-Hunter 以应用更改：

   hunt up -d --force-recreate
   

7. 等待到下一个小时的 20 分钟左右。AC-Hunter 会从传感器导入新的每小时日志，并针对在此导入周期内超出配置阈值的系统发送 syslog 提醒。

8. 通过检查本地 syslog 日志文件，验证 syslog 消息是否已到达 Bindplane 代理主机：

   sudo tail -f /var/log/syslog
   

   注意： AC-Hunter syslog 消息使用 user.alert 设备，并遵循以下格式：<timestamp> <hostname> AI-Hunter[<pid>]: Host: <IP> Score: <score> PreviousScore: <prev_score> Database: <db_name>

UDM 映射表

日志字段	UDM 映射	逻辑
api_msg_label	additional.fields	已合并
prev_score	metadata.description	直接映射
score	metadata.description	直接映射
ts_date	metadata.event_timestamp	解析为 MMM dd HH:mm:ss
ts_iso8601	metadata.event_timestamp	解析为 ISO8601
has_principal	metadata.event_type	已映射：true → STATUS_UNCATEGORIZED
src_ip	principal.asset.ip	已合并
src_ip	principal.ip	已合并
blacklist_avg_bytes_label	principal.labels	已合并
blacklist_in_label	principal.labels	已合并
blacklist_out_label	principal.labels	已合并
database_label	principal.labels	已合并
dns_txt_query_label	principal.labels	已合并
invalid_cert_label	principal.labels	已合并
max_beacon_label	principal.labels	已合并
max_duration_label	principal.labels	已合并
prev_score_label	principal.labels	已合并
rare_client_label	principal.labels	已合并
score_label	principal.labels	已合并
unexpected_proto_label	principal.labels	已合并
source_module_label	principal.resource.attribute.labels	已合并
domain	target.asset.hostname	直接映射
domain	target.hostname	直接映射
不适用	metadata.event_type	常量：STATUS_UNCATEGORIZED
不适用	metadata.product_name	常量：AI hunter
不适用	metadata.vendor_name	常量：Active Countermeasures

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。