Como instalar e configurar o conector Syslog do VMware Carbon Black Cloud

1. Faça log-in no servidor Linux no qual o conector Syslog está sendo instalado usando SSH.
   Nota: Para obter informações sobre como se conectar por meio do SSH, consulte Protegendo redes .
2. Valide se o servidor está atualizado executando sudo yum update.
3. Um repositório deve ser adicionado para instalar o PIP, pois o PIP pode não estar nos repositórios principais do sistema operacional. Digite sudo yum install epel-release e pressione Enter.
   
   Nota: Se a solicitação do epel-release não for encontrado, adicione o repositório executando os seguintes comandos:

   • sudo dnf install https://dl.fedoraproject.org/pub/epel/epel-release-latest-[VERSION].noarch.rpm
   • sudo rpm -ql epel-release

   Certifique-se de que o [VERSION] corresponde à versão do Red Hat Enterprise Linux ou CentOS que você está executando:

   • Se estiver executando o Red Hat Enterprise Linux 8 ou CentOS 8: sudo dnf install https://dl.fedoraproject.org/pub/epel/epel-release-latest-8.noarch.rpm
   • Se estiver executando o Red Hat Enterprise Linux 7 ou o CentOS 7: sudo dnf install https://dl.fedoraproject.org/pub/epel/epel-release-latest-7.noarch.rpm
4. Digite Y e pressione Enter.
5. Instale o PIP digitando sudo yum install python3 e, em seguida, pressionando Enter.
   
6. Instale os utilitários de compilação do Python3 digitando sudo yum install gcc python3-devel e, em seguida, pressionando Enter.
   
7. Atualize todos os pacotes dentro do sistema operacional do host digitando sudo yum update e, em seguida, pressionando Enter.
   

1. Faça log-in como uma conta com acesso sudo no servidor em que o conector está sendo instalado.
2. Abra o Terminal.
3. Digite pip3 install cbc-syslog e pressione Enter.
   
   Nota:

   • Este exemplo utiliza PIP3 no CentOS 8. O comando pode variar um pouco dependendo da versão do Python e, como resultado, da versão do PIP que está sendo usada.
   • Se você estiver instalando sem raiz, o local de instalação padrão será:
     • /usr/lib/python{version}/site-packages/cbc_syslog
   • Se você estiver instalando com raiz, o local de instalação padrão será:
     • /usr/local/lib/python{version}/site-packages/cbc_syslog

Um administrador deve configurar o VMware Carbon Black Cloud e o próprio conector Syslog. Clique no processo adequado para obter mais informações.

VMware Carbon Black Cloud

O VMware Carbon Black Cloud deve ser configurado para usar o conector Syslog. Primeiramente, um administrador deve Gerar chaves de API e SIEM e, em seguida, Gerar notificações de API. Clique no processo adequado para obter mais informações.

Gerar chaves de API e SIEM

1. Em um navegador da Web, acesse [REGION].conferdeploy.net.
   Nota: [REGION] = região do grupo de usuários

   • Américas = https://defense-prod05.conferdeploy.net/
   • Europe = https://defense-eu.conferdeploy.net/
   • Ásia-Pacífico = https://defense-prodnrt.conferdeploy.net/
   • Austrália e Nova Zelândia: https://defense-prodsyd.conferdeploy.net
2. Faça login no VMware Carbon Black Cloud.
   
3. No painel de menu à esquerda, expanda Settings e, em seguida, clique em API Access.
   
4. Selecione Add API Key.
   
5. No menu Add API Key :
   1. Informe um nome no campo Name.
   2. Preencha o campo Description.
   3. Selecione um tipo de nível de acesso em Access Level Type.
   4. Em Authorized IP adresses, preencha os endereços IP autorizados externos que devem solicitar informações do VMware Carbon Black Cloud.
   5. Clique em Save.
   
6. Nas credenciais da API:
   1. Clique no ícone da área de transferência à direita de API ID para copiar o ID na área de transferência.
   2. Registre o ID da API.
   3. Clique no ícone da área de transferência à direita de API Secret Key para copiar a chave na área de transferência.
   4. Registre a chave secreta da API.
   5. Clique em X no canto superior direito.
   
7. Selecione Add API Key.
   
8. No menu Add API Key :
   1. Informe um nome no campo Name.
   2. Preencha o campo Description.
   3. Selecione um tipo de nível de acesso em Access Level Type.
   4. Em Authorized IP adresses, preencha os endereços IP autorizados externos que devem solicitar informações do VMware Carbon Black Cloud.
   5. Clique em Save.
   
9. Nas credenciais da API:
   1. Clique no ícone da área de transferência à direita de API ID para copiar o ID na área de transferência.
   2. Registre o ID da API.
   3. Clique no ícone da área de transferência à direita de API Secret Key para copiar a chave na área de transferência.
   4. Registre a chave secreta da API.
   5. Clique em X no canto superior direito.
   

Gerar notificações de API

As informações são enviadas para a API configurada anteriormente por meio de notificações definidas no console do VMware Carbon Black Cloud.

1. Em um navegador da Web, acesse [REGION].conferdeploy.net.
   Nota: [REGION] = região do grupo de usuários

   • Américas = https://defense-prod05.conferdeploy.net/
   • Europe = https://defense-eu.conferdeploy.net/
   • Ásia-Pacífico = https://defense-prodnrt.conferdeploy.net/
   • Austrália e Nova Zelândia: https://defense-prodsyd.conferdeploy.net
2. Faça login no VMware Carbon Black Cloud.
   
3. No painel de menu à esquerda, expanda Settings e, em seguida, clique em Notifications.
   
4. Clique em Adicionar notificação.
   
5. No menu Add Notification :
   1. Informe um nome no campo Name.
   2. Determine quando você quer ser notificado em When do you want to be notified.
   3. Selecione Policy para indicar a política adequada de notificação.
   4. Preencha um Email em que você será notificado e, opcionalmente, selecione a opção Send only 1 email for each threat type per day.
   5. Em API Keys, preencha as chaves de API com o ID de API que foi gerado anteriormente.
   6. Clique em Add.
   
   Nota: Os clientes com o Carbon Black Enterprise EDR também podem especificar listas de observação enviadas por meio do SIEM. Isso permite uma abordagem mais direcionada à coleta de informações.

Conector Syslog

1. Conecte-se ao servidor que hospeda o conector Syslog por meio de SSH.
   Nota:

   • Para obter informações sobre como se conectar pelo SSH usando o CentOS 8, consulte Protegendo redes.
   • Para obter informações sobre como se conectar pelo SSH com o CentOS 7, consulte Arquivos de configuração.
2. Gere um diretório de backup para o resultado do syslog digitando sudo mkdir /tmp/output/ e pressione Enter.
   
3. Crie o arquivo de configuração digitando sudo touch /tmp/cbsyslog-config.txt e pressione Enter.
   
4. Crie o arquivo de log digitando sudo touch /tmp/cbsyslog-log.log e pressione Enter.
   
5. Abra o arquivo de configuração criado anteriormente usando nano com privilégios sudo digitando sudo nano /tmp/cbsyslog-config.txt e pressione Enter.
   
6. Copie o texto a seguir e cole-o no editor de texto.

   [general]
   # Template for syslog output.
   # This is a jinja 2 template
   # NOTE: The source variable corresponds to the Carbon Black Cloud Server used to retrieve results
   template = {{source}} {{version}}|{{vendor}}|{{product}}|{{dev_version}}|{{signature}}|{{name}}|{{severity}}|{{extension}}
   
   #Location of the Backup Directory
   #This will be the location of back up files in the event that results fail to send to Syslog
   back_up_dir = /tmp/output/
   
   # This sets the default severity level for POLICY_ACTION notifications.  By default it is 4.
   # 0 - Emergency: System is unusable.
   # 1 - Alert: Action must be taken immediately.
   # 2 - Critical: Critical conditions.
   # 3 - Error: Error conditions.
   # 4 - Warning: Warning conditions.
   # 5 - Notice: Normal but significant condition.
   # 6 - Informational: Informational messages.
   # 7 - Debug: Debug-level messages.
   policy_action_severity = 4
   
   # Output format of the data sent. Currently support json or cef formats
   # Warning: if using json output_format, we recommend NOT using UDP output_type
   output_format=cef
   
   # Configure the specific output.
   # Valid options are: 'udp', 'tcp', 'tcp+tls', 'http'
   #  udp     - Have the events sent over a UDP socket
   #  tcp     - Have the events sent over a TCP socket
   #  tcp+tls - Have the events sent over a TLS+TCP socket
   #  http    - Have the events sent over a HTTP connection
   output_type=tcp
   # tcpout=IP:port - ie 1.2.3.5:514
   tcp_out=
   # udpout=IP:port - ie 1.2.3.5:514
   #udp_out=
   # httpout=http/https endpoint - ie https://server.company.com/endpoint
   # http_headers= {'key1': 'value1', 'key2': 'value2'} - ie {'content-type': 'application/json'}
   # https_ssl_verify = True or False
   #http_out=
   #http_headers= {'content-type': 'application/json'}
   #https_ssl_verify=True
   # Override ca file for self signed certificates when using https
   # This is typically a .pem file
   #requests_ca_cert=/usr/share/cb/integrations/cbc-syslog/cert.pem
   
   [tls]
   # Specify a file containing PEM-encoded CA certificates for verifying the peer server when using TLS+TCP syslog
   #ca_cert = /etc/cb/integrations/cbc-syslog/ca.pem
   # Optionally specify a file containing PEM-encoded client certificate for verifying this client when using TLS+TCP syslog
   # If cert is specified, key is a required parameter
   #cert = /etc/cb/integrations/cbc-syslog/cert.pem
   # Optionally specify a file containing PEM-encoded private key for verifying this client when using TLS+TCP syslog
   # If key is specified, cert is a required parameter
   #key = /etc/cb/integrations/cbc-syslog/cert.key
   # Optionally specify the password to decrypt the given private key when using TLS+TCP syslog
   #key_password = p@ssw0rd1
   # Uncomment tls_verify and set to "false" in order to disable verification of the peer server certificate
   #tls_verify = true
   
   [CarbonBlackCloudServer1]
   # Carbon Black Cloud API Connector ID
   api_connector_id = EXAMP13
   # Carbon Black Cloud API Key
   api_key = EXAMP13EXAMP13EXAMP13
   # Carbon Black Cloud SIEM Connector ID
   siem_connector_id = EXAMP131234
   # Carbon Black Cloud SIEM Key
   siem_api_key = EXAMP13EXAMP13EXAMP13
   # Carbon Black Cloud Server URL
   # NOTE: this is not the url to the web ui, but to the API URL
   # For more than one Carbon Black Cloud Server, add another server using the following template including the stanza
   #[CarbonBlackCloudServer2]
   #api_connector_id = KJARWBZ111
   #api_key = CQF35EIH2WDF69PTWKGC4111
   #server_url = https://defense-prod05.conferdeploy.net
   

7. Para que o resultado seja enviado usando TCP, preencha o host e a porta com output_type definido como TCP.
   
   Nota: A imagem de exemplo tem as configurações editadas.
8. Atualize api_connector_id e api_key de acordo com o ID da API do tipo de API e a Chave Secreta da API do tipo de API.
   
   Nota: Para obter informações sobre onde as chaves API e SIEM são criadas, consulte a seção Gerar API e chaves SIEM acima.
9. Atualize siem_connector_id e siem_api_key de acordo com o ID da API do tipo SIEM e a Chave Secreta da API do tipo SIEM.
   
   Nota: Para obter informações sobre onde as chaves API e SIEM são criadas, consulte a seção Gerar API e chaves SIEM acima.
10. Salve o arquivo segurando CTRL e pressione X. Confirme para salvar o arquivo pressionando Y.
    
11. Confirme o nome do arquivo pressionando Enter.
    

Os administradores devem testar e, em seguida, validar a saída do conector syslog. Clique no processo adequado para obter mais informações.

Teste

1. No servidor Linux, abra o Terminal.
2. Digite sudo python[VER] [INSTALLDIRECTORY]/cbc_syslog.py -l [LOGFILELOCATION] -c [CONFIGFILELOCATION] e pressione Enter.
   Nota:

   • [VER] = versão do Python
   • [INSTALLDIRECTORY] = diretório onde o conector Syslog está instalado
   • [LOGFILELOCATION] = localização do arquivo de log
   • [CONFIGFILELOCATION] = localização do arquivo de configuração

Exemplo:

sudo python3 /usr/local/lib/python3.6/site-packages/cbc_syslog/cbc_syslog.py -l /tmp/cbsyslog-log.log -c /tmp/cbsyslog-config.txt

Esse comando realiza uma execução única do conector Syslog que se baseia no arquivo de configuração definido e gera o resultado no arquivo de log definido.

Depois de realizar uma execução, inspecione o resultado com base no arquivo de log gerado nas opções de teste. Inspecione o arquivo de log para confirmar o sucesso ou a falha da conexão.

Validar

1. No servidor Linux, abra o Terminal.
2. Digite cat [LOGFILELOCATION] e pressione Enter.
   Nota: [LOGFILELOCATION] = localização do arquivo de log

Exemplo:

cat /tmp/cbsyslog-log.log

Uma execução bem-sucedida exibe uma resposta semelhante a:

Carbon Black Cloud Syslog 2.0
Carbon Black Cloud Syslog 2.0
Found 1 Carbon Black Cloud Servers in config file
Handling notifications for https://defense-prod05.conferdeploy.net
Sending Notifications
Done Sending Notifications
Sending Audit Logs
Done Sending Audit Logs

A instância de SIEM ou Syslog de recebimento gera todos os eventos que ocorreram desde que a notificação foi criada no console do VMware Carbon Black Cloud.

No servidor SIEM ou Syslog configurado, valide se as informações foram registradas corretamente. Isso varia de acordo com cada aplicativo.

A automação da execução do conector Syslog para extrair informações regularmente pode ser feita com cron.

1. Gere um script a ser usado para a automação digitando sudo nano /tmp/cbsyslogrun.sh e pressione Enter.
   
   Nota: O exemplo gera um script de shell de /tmp/cbsyslogrun.sh.
2. Copie o script de validação que foi usado na seção Validate e, em seguida, cole esse script no editor de texto.
   
3. Pressione Ctrl+X para sair.
4. No prompt para salvar, pressione Y para continuar, salvando as alterações.
   
5. Atualize o script para permitir que ele seja executado como um script digitando sudo chmod a+x /tmp/cbsyslogrun.sh e pressione Enter.
   
6. Abra o arquivo crontab para adicionar o script como uma tarefa automatizada digitando sudo crontab -e e pressione Enter.
7. O Crontab aproveita uma sintaxe baseada em VI para editar texto. Pressione a tecla Insert para adicionar caracteres.
8. Digite */[MINUTES] * * * * /tmp/cbsyslogrun.sh e, em seguida, pressione ESC para cancelar a fase de inserção de texto.
   
   Nota:

   • [MINUTES] = número de minutos a aguardar antes de executar o comando novamente
   • Na imagem de exemplo, o exemplo é executado a cada 15 minutos.
9. Pressione a tela de dois pontos (:) para digitar um comando.
10. Digite wq e, em seguida, pressione Enter para escrever e sair do editor crontab.
11. Confirme a alteração digitando sudo crontab -l e pressione Enter.
12. Verifique se a tarefa agendada (Etapa 7) é exibida na lista. Se a tarefa for exibida, a automação estará configurada. Se a tarefa não for exibida, avance para a Etapa 13.
    
13. Digite sudo systemctl start crond.service e pressione Enter.
14. Digite sudo systemctl enable crond.service e pressione Enter.
15. Digite sudo crontab -l e pressione Enter.
    
16. Verifique se a tarefa agendada é exibida na lista.