Collecter les journaux Xcitium Endpoint Security

Ce document explique comment ingérer les journaux Xcitium Endpoint Security (anciennement Comodo) dans Google Security Operations à l'aide de l'agent Bindplane.

Xcitium Endpoint Security est une plate-forme de protection des points de terminaison qui combine des technologies antivirus, de pare-feu, de prévention des intrusions et de confinement pour protéger les points de terminaison contre les menaces connues et inconnues. Elle utilise une approche de refus par défaut avec confinement automatique pour isoler les fichiers et processus non reconnus, les empêchant ainsi de causer des dommages pendant leur analyse.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Une instance Google SecOps
• Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
• Connectivité réseau entre l'agent Bindplane et les points de terminaison gérés par Xcitium
• Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
• Accès privilégié à la console Xcitium Endpoint Manager (anciennement Comodo ITSM / ITarian)
• Rôle d'administrateur dans Xcitium Endpoint Manager pour modifier les profils de configuration et les paramètres du portail

Obtenir le fichier d'authentification d'ingestion Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à SIEM Settings > Collection Agents (Paramètres SIEM > Agents de collecte).
3. Téléchargez le fichier d'authentification d'ingestion.
4. Enregistrez le fichier de manière sécurisée sur le système où l'agent Bindplane sera installé.

Obtenir l'ID client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à SIEM Settings > Profile (Paramètres SIEM > Profil).
3. Copiez et enregistrez l'ID client de la section Organization Details (Informations sur l'organisation).

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation sous Windows

1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

2. Exécutez la commande suivante :

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendez la fin de l'installation.

4. Vérifiez l'installation en exécutant la commande suivante :

   sc query observiq-otel-collector
   

   L'état du service doit être RUNNING (En cours d'exécution).

Installation sous Linux

1. Ouvrez un terminal avec des droits root ou sudo.

2. Exécutez la commande suivante :

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendez la fin de l'installation.

4. Vérifiez l'installation en exécutant la commande suivante :

   sudo systemctl status observiq-otel-collector
   

   L'état du service doit être active (running) (Actif (en cours d'exécution)).

Ressources d'installation supplémentaires

Pour obtenir des options d'installation supplémentaires et résoudre les problèmes, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

Localiser le fichier de configuration

• Linux :

  sudo nano /etc/bindplane-agent/config.yaml
  

• Windows :

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifier le fichier de configuration

• Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/comodo_av:
          compression: gzip
          creds_file_path: '/path/to/ingestion-authentication-file.json'
          customer_id: 'your-customer-id'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: COMODO_AV
          raw_log_field: body
          ingestion_labels:
  
  service:
      pipelines:
          logs/comodo_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/comodo_av
  

Paramètres de configuration

Remplacez les espaces réservés suivants :

• Configuration du récepteur :

  • listen_address : adresse IP et port à écouter. Utilisez 0.0.0.0 pour écouter sur toutes les interfaces. Le port Syslog par défaut est 514.

• Configuration de l'exportateur :

  • creds_file_path : chemin d'accès complet au fichier d'authentification d'ingestion.
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id : ID client de la console Google SecOps.
  • endpoint: URL du point de terminaison régional :
    • États-Unis : malachiteingestion-pa.googleapis.com
    • Europe: europe-malachiteingestion-pa.googleapis.com
    • Asie : asia-southeast1-malachiteingestion-pa.googleapis.com
    • Pour obtenir la liste complète, consultez Points de terminaison régionaux.

Enregistrer le fichier de configuration

• Après avoir modifié le fichier, enregistrez-le :

  • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
  • Windows : cliquez sur File > Save.

Redémarrer l'agent Bindplane pour appliquer les modifications

• Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

  sudo systemctl restart observiq-otel-collector
  

  1. Vérifiez que le service est en cours d'exécution :

     sudo systemctl status observiq-otel-collector
     

  2. Recherchez les erreurs dans les journaux :

     sudo journalctl -u observiq-otel-collector -f
     

• Pour redémarrer l'agent Bindplane sous Windows, choisissez l'une des options suivantes :

  • Invite de commandes ou PowerShell en tant qu'administrateur :

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console Services :

    1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
    2. Recherchez observIQ OpenTelemetry Collector.
    3. Faites un clic droit et sélectionnez Restart (Redémarrer).

    4. Vérifiez que le service est en cours d'exécution :

       sc query observiq-otel-collector
       

    5. Recherchez les erreurs dans les journaux :

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configurer le transfert Syslog Xcitium Endpoint Security

Xcitium Endpoint Manager fournit deux niveaux de transfert Syslog. Configurez les deux pour garantir une couverture complète des journaux.

Configurer le transfert Syslog au niveau du point de terminaison (Xcitium Client - Security logs)

1. Connectez-vous à la console Xcitium Endpoint Manager.
2. Accédez à Configuration Templates > Profiles (Modèles de configuration > Profils).
3. Cliquez sur le profil Windows que vous souhaitez modifier ou créez-en un.
4. Cliquez sur Add Profile Section > Logging Settings (Ajouter une section de profil > Paramètres de journalisation).
5. Dans la section Xcitium Client - Security, activez Write to Syslog Server (Écrire sur le serveur Syslog).
6. Fournissez les informations de configuration suivantes :
   • Host (Hôte) : saisissez l'adresse IP ou le nom d'hôte de l'hôte de l'agent Bindplane.
   • Port : saisissez le numéro de port configuré dans l'agent Bindplane (par exemple, 514).
7. Vous pouvez également activer Write to Log File (CEF Format) (Écrire dans un fichier journal (format CEF)) pour conserver une copie locale des journaux au format CEF (Common Event Format).
8. Dans la section Communication Client, activez Write to Syslog Server (Écrire sur le serveur Syslog).
9. Fournissez les informations de configuration suivantes :
   • Host (Hôte) : saisissez l'adresse IP ou le nom d'hôte de l'hôte de l'agent Bindplane.
   • Port : saisissez le numéro de port configuré dans l'agent Bindplane (par exemple, 514).
10. Sélectionnez les types d'événements pour lesquels les journaux sont collectés :
    • Journaux de surveillance
    • Journaux de script
    • Journaux de correctifs d'OS
    • Journaux de mise à jour d'applications tierces
    • Journaux d'installation d'applications
    • Journaux de désinstallation
    • Journaux de communication de l'agent EDR (Event Detection and Response)
    • Journaux de communication Xcitium Client - Security (XCS)
    • Journaux de communication de contrôle à distance
    • Journaux opérationnels
11. Cliquez sur Save (Enregistrer).

Configurer le transfert Syslog au niveau du portail (journaux d'audit)

1. Connectez-vous à la console Xcitium Endpoint Manager.
2. Accédez à Settings > Portal Set-Up > Logging Settings (Paramètres > Configuration du portail > Paramètres de journalisation).
3. Cliquez sur Edit (Modifier).
4. Activez Write to syslog server (Écrire sur le serveur Syslog).
5. Fournissez les informations de configuration suivantes :
   • Host (Hôte) : saisissez l'adresse IP ou le nom d'hôte de l'hôte de l'agent Bindplane.
   • Port : saisissez le numéro de port configuré dans l'agent Bindplane (par exemple, 514).

6. Cliquez sur Save (Enregistrer).

Pour en savoir plus, consultez la documentation sur les paramètres de journalisation de Xcitium Endpoint Manager et Configurer les paramètres des journaux d'audit.

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses auprès des membres de la communauté et des professionnels Google SecOps.