Come installare e configurare Syslog Connector di VMware Carbon Black Cloud

1. Accedere al server Linux su cui è installato Syslog Connector mediante SSH.
   Nota: Per informazioni sulla connessione tramite SSH, consultare Protezione delle reti .
2. Verificare che il server sia aggiornato eseguendo sudo yum update.
3. È necessario aggiungere un repository per installare PIP, in quanto PIP potrebbe non essere presente nei repository del sistema operativo core. Digitare sudo yum install epel-release e premere INVIO.
   
   Nota: Se epel-release non viene trovato, aggiungere il repository eseguendo i seguenti comandi:

   • sudo dnf install https://dl.fedoraproject.org/pub/epel/epel-release-latest-[VERSION].noarch.rpm
   • sudo rpm -ql epel-release

   Assicurarsi che il [VERSION] corrisponde alla versione di Red Hat Enterprise Linux o CentOS in esecuzione:

   • Se si esegue Red Hat Enterprise Linux 8 o CentOS 8: sudo dnf install https://dl.fedoraproject.org/pub/epel/epel-release-latest-8.noarch.rpm
   • Se si esegue Red Hat Enterprise Linux 7 o CentOS 7: sudo dnf install https://dl.fedoraproject.org/pub/epel/epel-release-latest-7.noarch.rpm
4. Digitare Y e premere INVIO.
5. Installare PIP digitando sudo yum install python3 e premendo Invio.
   
6. Installare le utilità di compilazione Python3 digitando sudo yum install gcc python3-devel e premendo Invio.
   
7. Aggiornare tutti i pacchetti all'interno del sistema operativo host digitando sudo yum update e premendo Invio.
   

1. Accedere come account con accesso sudo sul server su cui viene installato il connettore.
2. Aprire Terminale.
3. Digitare pip3 install cbc-syslog e premere INVIO.
   
   Nota:

   • Questo esempio utilizza PIP3 su CentOS 8. Il comando può variare leggermente a seconda della versione di Python e, di conseguenza, della versione di PIP in uso.
   • In caso di installazione senza root, il percorso di installazione predefinito è:
     • /usr/lib/python{version}/site-packages/cbc_syslog
   • In caso di installazione con root, il percorso di installazione predefinito è:
     • /usr/local/lib/python{version}/site-packages/cbc_syslog

Un amministratore deve configurare sia VMware Carbon Black Cloud sia Syslog Connector. Per maggiori informazioni, cliccare sulla procedura appropriata.

VMware Carbon Black Cloud

VMware Carbon Black Cloud deve essere configurato per l'utilizzo di Syslog Connector. Un amministratore deve prima generare le chiavi API e SIEM, quindi generare notifiche per l'API. Per maggiori informazioni, cliccare sulla procedura appropriata.

Generazione di chiavi API e SIEM

1. In un web browser, accedere a [REGION].conferdeploy.net.
   Nota: [REGION] = regione del tenant

   • Americhe = https://defense-prod05.conferdeploy.net/
   • Europa = https://defense-eu.conferdeploy.net/
   • Asia Pacifico = https://defense-prodnrt.conferdeploy.net/
   • Australia e Nuova Zelanda: https://defense-prodsyd.conferdeploy.net
2. Accedere a VMware Carbon Black Cloud.
   
3. Nel riquadro di sinistra espandere Settings e quindi cliccare su API Access.
   
4. Selezionare Add API Key.
   
5. Nel menu Add API Key :
   1. Compilare il campo Name.
   2. Compilare il campo Description.
   3. Selezionare un valore per Access Level type.
   4. Compilare il campo Authorized IP address con indirizzi esterni che devono richiedere informazioni da VMware Carbon Black Cloud.
   5. Cliccare su Save.
   
6. Da credenziali API:
   1. Cliccare sull'icona degli Appunti a destra di API ID per copiare l'ID negli Appunti.
   2. Registrare l'ID API.
   3. Cliccare sull'icona degli Appunti a destra di API Secret Key per copiare la chiave negli Appunti.
   4. Registrare la chiave segreta API.
   5. Cliccare su X nell'angolo in alto a destra.
   
7. Selezionare Add API Key.
   
8. Nel menu Add API Key :
   1. Compilare il campo Name.
   2. Compilare il campo Description.
   3. Selezionare un valore per Access Level type.
   4. Compilare il campo Authorized IP address con indirizzi esterni che devono richiedere informazioni da VMware Carbon Black Cloud.
   5. Cliccare su Save.
   
9. Da credenziali API:
   1. Cliccare sull'icona degli Appunti a destra di API ID per copiare l'ID negli Appunti.
   2. Registrare l'ID API.
   3. Cliccare sull'icona degli Appunti a destra di API Secret Key per copiare la chiave negli Appunti.
   4. Registrare la chiave segreta API.
   5. Cliccare su X nell'angolo in alto a destra.
   

Generazione di notifiche per l'API

Le informazioni vengono inviate all'API configurata in precedenza tramite le notifiche impostate all'interno di VMware Carbon Black Cloud Console.

1. In un web browser, accedere a [REGION].conferdeploy.net.
   Nota: [REGION] = regione del tenant

   • Americhe = https://defense-prod05.conferdeploy.net/
   • Europa = https://defense-eu.conferdeploy.net/
   • Asia Pacifico = https://defense-prodnrt.conferdeploy.net/
   • Australia e Nuova Zelanda: https://defense-prodsyd.conferdeploy.net
2. Accedere a VMware Carbon Black Cloud.
   
3. Nel riquadro di sinistra espandere Settings e quindi cliccare su Notifications.
   
4. Cliccare su Add Notification.
   
5. Nel menu Add Notification :
   1. Compilare il campo Name.
   2. Scegliere un valore nel campo When do you want to be notified?
   3. Selezionare un valore appropriato per cui ricevere notifiche in Policy.
   4. Inserire un indirizzo nel campo Email a cui inviare le notifiche e, facoltativamente, selezionare Send only 1 email notification for each threat type per day.
   5. Compilare il campo API Keys con l'ID API generato in precedenza.
   6. Cliccare su Add.
   
   Nota: i clienti con Carbon Black Enterprise EDR possono inoltre specificare elenchi di controllo inviati tramite SIEM. Ciò consente un approccio più mirato alla raccolta di informazioni.

Syslog Connector

1. Connettersi al server che ospita Syslog Connector tramite SSH.
   Nota:

   • Per informazioni sulla connessione tramite SSH tramite CentOS 8, consultare Protezione delle reti.
   • Per informazioni sulla connessione tramite SSH con CentOS 7, consultare File di configurazione.
2. Generare una directory di backup per l'output syslog digitando sudo mkdir /tmp/output/ e premere INVIO.
   
3. Creare il file di configurazione digitando sudo touch /tmp/cbsyslog-config.txt e premere INVIO.
   
4. Creare il file di registro digitando sudo touch /tmp/cbsyslog-log.log e premere INVIO.
   
5. Aprire il file di configurazione creato in precedenza utilizzando nano con privilegi sudo digitando sudo nano /tmp/cbsyslog-config.txt e premere INVIO.
   
6. Copiare il testo seguente e incollarlo nell'editor di testo.

   [general]
   # Template for syslog output.
   # This is a jinja 2 template
   # NOTE: The source variable corresponds to the Carbon Black Cloud Server used to retrieve results
   template = {{source}} {{version}}|{{vendor}}|{{product}}|{{dev_version}}|{{signature}}|{{name}}|{{severity}}|{{extension}}
   
   #Location of the Backup Directory
   #This will be the location of back up files in the event that results fail to send to Syslog
   back_up_dir = /tmp/output/
   
   # This sets the default severity level for POLICY_ACTION notifications.  By default it is 4.
   # 0 - Emergency: System is unusable.
   # 1 - Alert: Action must be taken immediately.
   # 2 - Critical: Critical conditions.
   # 3 - Error: Error conditions.
   # 4 - Warning: Warning conditions.
   # 5 - Notice: Normal but significant condition.
   # 6 - Informational: Informational messages.
   # 7 - Debug: Debug-level messages.
   policy_action_severity = 4
   
   # Output format of the data sent. Currently support json or cef formats
   # Warning: if using json output_format, we recommend NOT using UDP output_type
   output_format=cef
   
   # Configure the specific output.
   # Valid options are: 'udp', 'tcp', 'tcp+tls', 'http'
   #  udp     - Have the events sent over a UDP socket
   #  tcp     - Have the events sent over a TCP socket
   #  tcp+tls - Have the events sent over a TLS+TCP socket
   #  http    - Have the events sent over a HTTP connection
   output_type=tcp
   # tcpout=IP:port - ie 1.2.3.5:514
   tcp_out=
   # udpout=IP:port - ie 1.2.3.5:514
   #udp_out=
   # httpout=http/https endpoint - ie https://server.company.com/endpoint
   # http_headers= {'key1': 'value1', 'key2': 'value2'} - ie {'content-type': 'application/json'}
   # https_ssl_verify = True or False
   #http_out=
   #http_headers= {'content-type': 'application/json'}
   #https_ssl_verify=True
   # Override ca file for self signed certificates when using https
   # This is typically a .pem file
   #requests_ca_cert=/usr/share/cb/integrations/cbc-syslog/cert.pem
   
   [tls]
   # Specify a file containing PEM-encoded CA certificates for verifying the peer server when using TLS+TCP syslog
   #ca_cert = /etc/cb/integrations/cbc-syslog/ca.pem
   # Optionally specify a file containing PEM-encoded client certificate for verifying this client when using TLS+TCP syslog
   # If cert is specified, key is a required parameter
   #cert = /etc/cb/integrations/cbc-syslog/cert.pem
   # Optionally specify a file containing PEM-encoded private key for verifying this client when using TLS+TCP syslog
   # If key is specified, cert is a required parameter
   #key = /etc/cb/integrations/cbc-syslog/cert.key
   # Optionally specify the password to decrypt the given private key when using TLS+TCP syslog
   #key_password = p@ssw0rd1
   # Uncomment tls_verify and set to "false" in order to disable verification of the peer server certificate
   #tls_verify = true
   
   [CarbonBlackCloudServer1]
   # Carbon Black Cloud API Connector ID
   api_connector_id = EXAMP13
   # Carbon Black Cloud API Key
   api_key = EXAMP13EXAMP13EXAMP13
   # Carbon Black Cloud SIEM Connector ID
   siem_connector_id = EXAMP131234
   # Carbon Black Cloud SIEM Key
   siem_api_key = EXAMP13EXAMP13EXAMP13
   # Carbon Black Cloud Server URL
   # NOTE: this is not the url to the web ui, but to the API URL
   # For more than one Carbon Black Cloud Server, add another server using the following template including the stanza
   #[CarbonBlackCloudServer2]
   #api_connector_id = KJARWBZ111
   #api_key = CQF35EIH2WDF69PTWKGC4111
   #server_url = https://defense-prod05.conferdeploy.net
   

7. Per inviare l'output tramite TCP, popolare l'host e la porta con output_type Impostare su TCP.
   
   Nota: l'immagine di esempio mostra le impostazioni oscurate.
8. Aggiornare api_connector_id e api_key in base all'ID API del tipo di API e alla chiave segreta API del tipo di API.
   
   Nota: Per informazioni sulla posizione in cui vengono create le chiavi API e SIEM, fare riferimento alla precedente sezione Generare chiavi API e SIEM .
9. Aggiornare siem_connector_id e siem_api_key in base all'ID API del tipo SIEM e alla chiave segreta API del tipo SIEM.
   
   Nota: Per informazioni sulla posizione in cui vengono create le chiavi API e SIEM, fare riferimento alla precedente sezione Generare chiavi API e SIEM .
10. Salvare il file tenendo premuto CTRL, quindi premere X. Confermare per salvare il file premendo Y.
    
11. Confermare il nome file premendo INVIO.
    

Gli amministratori devono testare e quindi convalidare l'output dal connettore syslog. Per maggiori informazioni, cliccare sulla procedura appropriata.

Test

1. Dal server Linux aprire Terminale.
2. Digitare sudo python[VER] [INSTALLDIRECTORY]/cbc_syslog.py -l [LOGFILELOCATION] -c [CONFIGFILELOCATION] e premere INVIO.
   Nota:

   • [VER] = Versione di Python
   • [INSTALLDIRECTORY] = directory in cui è installato il connettore syslog
   • [LOGFILELOCATION] = Percorso del file di log
   • [CONFIGFILELOCATION] = Posizione del file di configurazione

Esempio:

sudo python3 /usr/local/lib/python3.6/site-packages/cbc_syslog/cbc_syslog.py -l /tmp/cbsyslog-log.log -c /tmp/cbsyslog-config.txt

Questo comando effettua un'esecuzione una tantum di Syslog Connector basato sul file di configurazione definito e sugli output del file di registro definito.

Una volta eseguito un test, controllare l'output in base al file di registro generato nelle opzioni di test. Esaminare il file di registro per confermare l'esito positivo o negativo della connessione.

Convalida

1. Dal server Linux aprire Terminale.
2. Digitare cat [LOGFILELOCATION] e premere INVIO.
   Nota: [LOGFILELOCATION] = Percorso del file di log

Esempio:

cat /tmp/cbsyslog-log.log

Una corretta esecuzione restituisce una risposta simile a:

Carbon Black Cloud Syslog 2.0
Carbon Black Cloud Syslog 2.0
Found 1 Carbon Black Cloud Servers in config file
Handling notifications for https://defense-prod05.conferdeploy.net
Sending Notifications
Done Sending Notifications
Sending Audit Logs
Done Sending Audit Logs

L'istanza SIEM o Syslog ricevente genera un output di tutti gli eventi che si sono verificati dopo la creazione della notifica all'interno di VMware Carbon Black Cloud Console.

Verificare all'interno del server SIEM o Syslog configurato che le informazioni siano state acquisite correttamente. L'operazione varia a seconda dell'applicazione.

L'automazione dell'esecuzione di Syslog Connector per il pull regolare delle informazioni può essere eseguita con cron.

1. Generare uno script da utilizzare per l'automazione digitando sudo nano /tmp/cbsyslogrun.sh e premere INVIO.
   
   Nota: L'esempio genera uno script di shell di /tmp/cbsyslogrun.sh.
2. Copiare lo script di convalida utilizzato all'interno della sezione Convalida, quindi incollarlo nell'editor di testo.
   
3. Premere CTRL+X per uscire.
4. Quando viene visualizzato il messaggio di salvataggio, premere Y per continuare e salvare le modifiche.
   
5. Aggiornare lo script per consentirne l'esecuzione come script digitando sudo chmod a+x /tmp/cbsyslogrun.sh e premere INVIO.
   
6. Aprire il file crontab per aggiungere lo script come attività automatizzata digitando sudo crontab -e e premere INVIO.
7. Crontab sfrutta una sintassi basata su VI per la modifica del testo. Premere il tasto INS per aggiungere caratteri.
8. Digitare */[MINUTES] * * * * /tmp/cbsyslogrun.sh e quindi premere ESC per annullare la fase di inserimento del testo.
   
   Nota:

   • [MINUTES] = Numero di minuti di attesa prima di eseguire nuovamente il comando
   • Nell'immagine, l'esempio viene eseguito ogni 15 minuti.
9. Premere il tasto dei due punti (:) per inserire un comando.
10. Digitare wq e quindi premere Invio per scrivere e uscire dall'editor crontab.
11. Confermare la modifica digitando sudo crontab -l e premere INVIO.
12. Verificare che l'attività pianificata (passaggio 7) sia visualizzata nell'elenco. Se l'attività viene visualizzata, l'automazione è configurata. Se l'attività non viene visualizzata, andare al passaggio 13.
    
13. Digitare sudo systemctl start crond.service e premere INVIO.
14. Digitare sudo systemctl enable crond.service e premere INVIO.
15. Digitare sudo crontab -l e premere INVIO.
    
16. Verificare che l'attività pianificata sia visualizzata nell'elenco.