Mengumpulkan log Absolute Secure Endpoint

Versi Parser: 2.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Absolute Secure Endpoint (sebelumnya Absolute Data & Device Security) ke Google Security Operations menggunakan agen Bindplane. Parser mengekstrak kolom dari log konektor SIEM dalam format SYSLOG+ atau KV (CEF). Proses ini menggunakan pola grok untuk mengidentifikasi dan mengekstrak kolom, lalu menggunakan logika bersyarat berdasarkan keberadaan data kv_pair atau cef untuk memetakan kolom yang diekstrak ke skema UDM. Pemetaan dan transformasi tertentu diterapkan bergantung pada kolom yang diidentifikasi dan nilainya, yang menangani data peristiwa keamanan dan detak jantung status.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Host Windows 2016 atau yang lebih baru atau Linux dengan systemd untuk menjalankan agen Bindplane
• Windows Server (2012 atau yang lebih baru) untuk menghosting layanan Absolute SIEM Connector
• Microsoft .NET Framework 4.0 atau yang lebih tinggi diinstal di Windows Server yang menghosting SIEM Connector
• Akses istimewa ke konsol Absolute Secure Endpoint dengan integrasi SIEM diaktifkan
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus menggunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Buat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke Google Cloud konsol dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Nama akun layanan: Masukkan nama untuk akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci didownload ke komputer Anda.
11. Simpan file kunci dengan aman di sistem tempat agen BindPlane akan diinstal.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan ganti kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Berencana beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps Anda

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.
3. Salin dan simpan ID pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat Panduan penginstalan agen BindPlane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan pengumpul Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade pengumpul sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

1. Akses file konfigurasi sebagai berikut:

   • Buka file config.yaml: /opt/observiq-otel-collector/config.yaml di Linux, atau C:\Program Files\observIQ OpenTelemetry Collector\config.yaml di Windows.
   • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

2. Edit file config.yaml sebagai berikut:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       endpoint: chronicle.googleapis.com
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       # Replace with your actual customer ID
       customer_id: '<CUSTOMER_ID>'
       # Adjust the path to the service account key file you saved in Option 1
       creds_file_path: '/path/to/secops-key.json'
       compression: gzip
       log_type: 'ABSOLUTE'
       raw_log_field: body
       # Add optional ingestion labels for better organization
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
   • Ganti <LOCATION> dengan region instance Google SecOps Anda. Pengekspor menambahkan awalan chronicle.googleapis.com dengan nilai ini.
   • Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
   • Ganti <CUSTOMER_ID> dengan ID Pelanggan yang sebenarnya.
   • Perbarui /path/to/secops-key.json ke jalur file tempat kunci akun layanan disimpan.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut.

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the ingestion authentication file you downloaded in Option 2
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: 'ABSOLUTE'
      raw_log_field: body
      ingestion_labels:
  

  Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Mulai ulang agen Bindplane untuk menerapkan perubahan

1. Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

   sudo systemctl restart observiq-otel-collector
   

2. Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Menginstal Konektor Absolute SIEM di Windows Server

Absolute SIEM Connector adalah layanan Windows yang mengambil data peristiwa pemberitahuan dari Absolute Monitoring Center dan meneruskannya melalui syslog dalam format CEF. Konektor SIEM dikirimkan sebagai penginstal MSI dan tersedia sebagai download gratis untuk pelanggan Absolute Data & Device Security (DDS) Professional dan Premium dari Pusat Pelanggan Absolute.

1. Login ke Absolute Secure Endpoint Console di https://cc.absolute.com/.
2. Buka bagian Pusat Pelanggan atau Download.
3. Download penginstal MSI Absolute SIEM Connector.
4. Transfer penginstal ke Windows Server Anda.
5. Jalankan penginstal di Windows Server Anda sebagai administrator.
6. Ikuti wizard penginstalan untuk menyelesaikan penginstalan.
7. Catat direktori penginstalan (biasanya C:\Program Files\Absolute Software\Absolute SIEM Connector).

Mengaktifkan integrasi SIEM di Konsol Absolute Secure Endpoint

Sebelum Konektor SIEM dapat mengambil peristiwa, Anda harus mengaktifkan integrasi SIEM di Konsol Absolute Secure Endpoint.

1. Login ke Absolute Secure Endpoint Console di https://cc.absolute.com/.
2. Buka bagian Setelan atau Administrasi.
3. Buka setelan Integrasi SIEM.
4. Klik Enable SIEM Integration atau alihkan setelan integrasi SIEM ke Aktif.
5. Pilih jenis peristiwa yang ingin Anda teruskan ke SIEM Anda.
   • Anda juga dapat memilih Semua jenis peristiwa untuk meneruskan semua log yang tersedia.
6. Klik Simpan atau Terapkan konfigurasi.

Mengonfigurasi Konektor SIEM Absolute

Setelah menginstal SIEM Connector dan mengaktifkan integrasi SIEM di konsol, konfigurasi konektor untuk mengirim peristiwa ke agen Bindplane sebagai berikut:

1. Di Windows Server tempat Absolute SIEM Connector diinstal, buka Absolute SIEM Connector Configuration Tool.
   • Anda dapat menemukannya di Menu Start di bagian Absolute Software atau di direktori penginstalan.
2. Berikan detail konfigurasi berikut:
   • Syslog Server Host: Masukkan alamat IP atau nama host dari host agen Bindplane.
   • Syslog Server Port: Masukkan 514 (atau port yang dikonfigurasi di Bindplane).
   • Protocol: Pilih UDP atau TCP, bergantung pada konfigurasi Bindplane Anda.
   • Format: Pastikan CEF (Common Event Format) dipilih.
   • Interval Pembaruan: Tetapkan seberapa sering konektor mengambil peristiwa dari Absolute. Nilai minimumnya adalah 2 menit, nilai maksimumnya adalah 1.440 menit atau 24 jam. Defaultnya adalah 60 menit.
   • Zona waktu: Peristiwa dikirimkan dalam zona waktu UTC untuk konsistensi universal di seluruh sistem.
3. Klik Simpan.
4. Mulai atau mulai ulang layanan Absolute SIEM Connector:
   • Buka Services (services.msc).
   • Pilih layanan Absolute SIEM Connector.
   • Klik Mulai atau Mulai ulang.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
pid	about.process.pid	Dipetakan secara langsung
hostname	intermediary.hostname	Dipetakan secara langsung
dvc_ip	intermediary.ip	Digabung
Alert Time	metadata.event_timestamp	Diuraikan sebagai RFC3339
date	metadata.event_timestamp	Diuraikan sebagai yyyy-MM-dd HH:mm:ss UTC
event_type	metadata.event_type	Dipetakan secara langsung
eventType	metadata.product_event_type	Dipetakan secara langsung
event_class	metadata.product_event_type	Dipetakan secara langsung
device_version	metadata.product_version	Dipetakan secara langsung
Serial Number	principal.asset.asset_id	Dipetakan secara langsung
Computer Name	principal.hostname	Dipetakan secara langsung
actorName	principal.hostname	Dipetakan secara langsung
objectName	principal.hostname	Dipetakan secara langsung
objectID	principal.resource.product_object_id	Dipetakan secara langsung
objectType	principal.resource.resource_type	Dipetakan secara langsung
roles	principal.user.attribute.roles	Digabung
actorID	principal.user.product_object_id	Dipetakan secara langsung
actorName	principal.user.userid	Dipetakan secara langsung
Condition	security_result.description	Dipetakan secara langsung
esn_label	security_result.detection_fields	Digabung
kv_pair	security_result.detection_fields	Dipetakan: ESN → esn_label
verb	security_result.summary	Dipetakan secara langsung
Alert ID	security_result.threat_id	Dipetakan secara langsung
Alert Name	security_result.threat_name	Dipetakan secara langsung
field_	target.resource.attribute.labels	Digabung
T/A	metadata.event_type	Konstanta: GENERIC_EVENT
T/A	metadata.product_name	Konstanta: ABSOLUTE_PLATFORM
T/A	metadata.vendor_name	Konstanta: ABSOLUTE

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.