收集 ExtraHop Reveal(x) 日志

解析器版本：12.0

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将 ExtraHop Reveal(x) 日志注入到 Google Security Operations。ExtraHop Reveal(x) 是一种网络检测和响应 (NDR) 平台，可提供对网络流量的实时可见性，使组织能够在云环境和本地环境中检测威胁、调查突发事件并响应安全事件。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例。
• Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机。
• 如果通过代理运行，请确保根据 Bindplane 代理要求打开防火墙端口。
• 对 ExtraHop Reveal(x) 管理设置的特权访问权限。

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载数据注入身份验证文件。
4. 将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

3. 运行以下命令，验证安装是否成功：

   sc query observiq-otel-collector
   

该服务应显示为 正在运行。

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

3. 运行以下命令，验证安装是否成功：

   sudo systemctl status observiq-otel-collector
   

该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

• Linux： sudo systemctl status observiq-otel-collector
• Windows： C:\Program Files\observIQ OpenTelemetry Collector\config.yaml

修改配置文件

• 将 config.yaml 的全部内容替换为以下配置：

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/extrahop:
      compression: gzip
      creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: EXTRAHOP
      raw_log_field: body
      ingestion_labels:
  
  service:
    pipelines:
      logs/extrahop_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/extrahop
  

配置参数

替换以下占位符：

• <CUSTOMER_ID>：您的 Google SecOps 客户 ID。
• 将 creds_file_path 更新为注入身份验证文件的保存路径：
  • Linux：/etc/bindplane-agent/ingestion-auth.json
  • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
• 将 endpoint 值更新为您所在区域的端点：
  • 美国：malachiteingestion-pa.googleapis.com
  • 欧洲：europe-malachiteingestion-pa.googleapis.com
  • 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

1. 运行以下命令：

   sudo systemctl restart observiq-otel-collector
   

2. 验证服务是否正在运行：

   sudo systemctl status observiq-otel-collector
   

3. 检查日志是否存在错误：

   sudo journalctl -u observiq-otel-collector -f
   

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

1. 请从下列选项中选择一项：

   • 以管理员身份运行命令提示符或 PowerShell：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • 服务控制台：
     1. 按 Win+R，输入 services.msc，然后按 Enter 键。
     2. 找到 observIQ OpenTelemetry 收集器。
     3. 右键点击并选择重新启动。

2. 验证服务是否正在运行：

   sc query observiq-otel-collector
   

3. 检查日志是否存在错误：

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

配置 ExtraHop Reveal(x) syslog 转发

配置系统通知 syslog

1. 登录 ExtraHop 管理设置 (https://<extrahop-hostname-or-IP-address>/admin)。
2. 在网络设置部分，点击通知。
3. 点击 Syslog。
4. 提供以下配置详细信息：
   • 目标：输入 Bindplane 代理主机的 IP 地址。
   • 协议：选择 TCP。
   • 端口：输入在 Bindplane 代理中配置的端口号（例如 514）。
5. 点击测试设置，然后点击保存。

配置审核日志 syslog 转发

1. 在 ExtraHop 管理设置中，前往状态和诊断部分。
2. 依次点击审核日志 > 配置 Syslog 设置。
3. 提供以下配置详细信息：
   • 目标：输入 Bindplane 代理主机的 IP 地址。
   • 协议：选择 TCP。
   • 端口：输入 514。
4. 点击测试设置，然后点击保存。

可选：配置符合 RFC 的 syslog 格式

1. 在 ExtraHop Administration 设置中，依次点击 Running Config > Edit Config。

2. 在 syslog_notification 部分下添加以下条目：

   "rfc_compliant_format": "rfc5424"
   

3. 点击保存，然后点击应用更改。

UDM 映射表

日志字段	UDM 映射	逻辑
act	security_result.action_details	原始日志值映射。
cat	metadata.product_event_type	原始日志值映射。
deviceExternalId	metadata.product_log_id	原始日志值映射。
dhost	target.hostname	原始日志值映射。
dpt	target.port	原始日志值映射。
dst	target.ip	原始日志值映射。
duser	target.user.userid	原始日志值映射。
msg	metadata.description	原始日志值映射。
proto	network.ip_protocol	原始日志值映射。
severity	security_result.severity	根据 CEF 严重程度值进行映射。
shost	principal.hostname	原始日志值映射。
spt	principal.port	原始日志值映射。
src	principal.ip	原始日志值映射。
suser	principal.user.userid	原始日志值映射。
不适用	metadata.log_type	设置为 EXTRAHOP。
不适用	metadata.product_name	设置为 Reveal(x)。
不适用	metadata.vendor_name	设置为 ExtraHop。
tar_ip	event.idm.read_only_udm.target.ip和event.idm.read_only_udm.target.asset.ip之间	从变更日志映射
tar_port	event.idm.read_only_udm.target.port	从变更日志映射
extrahop_detail	event.idm.read_only_udm.additional.fields	从变更日志映射
alert_value	event.idm.read_only_udm.security_result.detection_fields	从变更日志映射
jsonPayload.target.ip	event.idm.read_only_udm.target.ip和event.idm.read_only_udm.target.asset.ip之间	从变更日志映射
jsonPayload.principal.mac	event.idm.read_only_udm.principal.mac和event.idm.read_only_udm.principal.asset.mac之间	从变更日志映射
jsonPayload.target.mac	event.idm.read_only_udm.target.mac和event.idm.read_only_udm.target.asset.mac之间	从变更日志映射
jsonPayload.principal.hostname	event.idm.read_only_udm.principal.hostname和event.idm.read_only_udm.principal.asset.hostname之间	从变更日志映射
jsonPayload.target.hostname	event.idm.read_only_udm.target.hostname和event.idm.read_only_udm.target.asset.hostname之间	从变更日志映射
jsonPayload.vulnerability.cvss_vector	event.idm.read_only_udm.security_result.about.asset.vulnerabilities.cvss_vector	从变更日志映射
suspicious_domain	event.idm.read_only_udm.target.hostname和event.idm.read_only_udm.target.asset.hostname之间	从变更日志映射
reference	event.idm.read_only_udm.security_result.about.url	从变更日志映射
sid	event.idm.read_only_udm.security_result.rule_id	从变更日志映射
id	event.idm.read_only_udm.metadata.product_log_id	从变更日志映射
description	event.idm.read_only_udm.metadata.description	从变更日志映射
type	event.idm.read_only_udm.metadata.product_event_type	从变更日志映射
start_time	event.idm.read_only_udm.metadata.event_timestamp和event.idm.read_only_udm.security_result.first_discovered_time之间	从变更日志映射
update_time	event.idm.read_only_udm.security_result.last_updated_time	从变更日志映射
end_time	event.idm.read_only_udm.security_result.last_discovered_time	从变更日志映射
title	event.idm.read_only_udm.security_result.summary	从变更日志映射
risk_score	event.idm.read_only_udm.security_result.risk_score	从变更日志映射
categories	event.idm.read_only_udm.security_result.category_details	从变更日志映射
participant.endpoint	event.idm.read_only_udm.principal.asset.category	从变更日志映射
participant.object_id	event.idm.read_only_udm.principal.asset.product_object_id	从变更日志映射
participant.object_value	event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间	从变更日志映射
participant.hostname	event.idm.read_only_udm.principal.hostname和event.idm.read_only_udm.principal.asset.hostname之间	从变更日志映射
participant.username	event.idm.read_only_udm.principal.user.userid	从变更日志映射
participant.endpoint	event.idm.read_only_udm.target.asset.category	从变更日志映射
participant.object_id	event.idm.read_only_udm.target.asset.product_object_id	从变更日志映射
participant.object_value	event.idm.read_only_udm.target.ip和event.idm.read_only_udm.target.asset.ip之间	从变更日志映射
participant.hostname	event.idm.read_only_udm.target.hostname和event.idm.read_only_udm.target.asset.hostname之间	从变更日志映射
participant.username	event.idm.read_only_udm.target.user.userid	从变更日志映射
mitre_tactics.id	event.idm.read_only_udm.security_result.attack_details.tactics.id	从变更日志映射
mitre_tactics.name	event.idm.read_only_udm.security_result.attack_details.tactics.name	从变更日志映射
mitre_techniques.id	event.idm.read_only_udm.security_result.attack_details.techniques.id	从变更日志映射
mitre_techniques.name	event.idm.read_only_udm.security_result.attack_details.techniques.name	从变更日志映射
create_time	event.idm.read_only_udm.additional.fields	从变更日志映射
url	event.idm.read_only_udm.url_back_to_product	从变更日志映射
time	event.idm.read_only_udm.metadata.event_timestamp	从变更日志映射
security_result.severity	CRITICAL	从变更日志映射
security_result.severity	ERROR	从变更日志映射
security_result.severity	HIGH	从变更日志映射
security_result.severity	MEDIUM	从变更日志映射
security_result.severity	LOW	从变更日志映射
security_result.severity	INFORMATIONAL	从变更日志映射
jsonPayload.msg	metadata.description	从变更日志映射
jsonPayload.srcdata	principal.ip	从变更日志映射
jsonPayload.dstdata	target.ip	从变更日志映射
jsonPayload.dhost	target.hostname	从变更日志映射
jsonPayload.shost	principal.hostname	从变更日志映射
insertId	additional.fields	从变更日志映射
jsonPayload.cn2	security_result.risk_score	从变更日志映射
jsonPayload.name	security_result.summary	从变更日志映射
jsonPayload.rt	metadata.event_timestamp	从变更日志映射
jsonPayload.start", "jsonPayload.end" and "logName	additional.fields	从变更日志映射
resource.labels.method" and "resource.labels.service	target.resource.attribute.labels	从变更日志映射
jsonPayload.cat" and "jsonPayload.cs5	security_result.detection_fields	从变更日志映射
dst	target.asset.ip	从变更日志映射
url	principal.url	从变更日志映射
title", "id", "description_format", "victims.name", "victims.external", "offenders.name", "offenders.externaal", "victim_primary.name", victim_primary.external", "offender_primary.name", and "offender_primary.external	additional.fields	从变更日志映射
dst.type	target.resource_type	从变更日志映射
dst.hostname	target.hostname	从变更日志映射
dst.ipaddr	target.ip	从变更日志映射
dst.role	target_resource.attribute.roles	从变更日志映射
dst.device.macaddr	target.mac	从变更日志映射
src.type	principal.resource_type	从变更日志映射
src.hostname	principal.hostname	从变更日志映射
src.ipaddr	principal.ip	从变更日志映射
src.role	principal_resource.attribute.roles	从变更日志映射
src.device.macaddr	principal.mac	从变更日志映射
api.ip", "api.status", "api.id", "api.start_time", "api.mod_time", "api.categories", "api.update_time", and "api.ticket_id	security_result.detection_fields	从变更日志映射
victims.ipaddr	principal.ip	从变更日志映射
offenders.ipaddr	target.ip	从变更日志映射
victim_primary.ipaddr	principal.ip	从变更日志映射
offender_primary.ipaddr	target.ip	从变更日志映射
api.participants.role", "api.participants.object_id", "api.participants.object_type", and "api.participants.external	section_details.fields	从变更日志映射
risk_score" and "api.risk_score	security_result.risk_score	从变更日志映射
src.endpoint" and "src.device.oid	principal.resource.attribute.labels	从变更日志映射
dst.endpoint" and "dst.device.oid	target.resource.attribute.labels	从变更日志映射
dst.device.ipaddr	target.ip	从变更日志映射
src.device.ipaddr	principal.ip	从变更日志映射
categories_array" and "categories_id	additional.fields	从变更日志映射
src	principal.asset.ip	从变更日志映射
device_version	metadata.product_version	从变更日志映射
signature	security_result.summary	从变更日志映射
events.vulnerability.description	metadata.description	从变更日志映射
detectionID	security_result.rule_labels	从变更日志映射
event_type	STATUS_UPDATE	从变更日志映射
prin_url	principal.url	从变更日志映射

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。