Collecter les journaux système IBM AIX

Version de l'analyseur : 15.0

Compatible avec :

Ce document explique comment ingérer des journaux système IBM AIX dans Google Security Operations à l'aide de Bindplane.

IBM AIX est un système d'exploitation basé sur Unix, conçu pour les charges de travail d'entreprise sur le matériel IBM Power Systems. Les journaux système AIX contiennent des informations sur les événements système, l'activité d'authentification, les messages du noyau, les opérations de démon et les événements liés à la sécurité générés par le démon syslog.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Instance Google SecOps.
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd pour exécuter l'agent Bindplane.
  • Connectivité réseau entre l'hôte de l'agent Bindplane et le système AIX sur le port UDP 514.
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès root ou privilégié au système AIX.
  • Système d'exploitation IBM AIX 7.1 ou version ultérieure.

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM > Agent de collecte.
  3. Cliquez sur Télécharger pour télécharger le fichier d'authentification d'ingestion.

  4. Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Profil.

  3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de fenêtres

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation de Linux

  1. Ouvrez un terminal avec les droits root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

Le service doit être indiqué comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /status observiq-otel-collector/config.yaml/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/aix_system:
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: <REGION_ENDPOINT>
    log_type: AIX_SYSTEM
    raw_log_field: body
    ingestion_labels:
      source: aix

service:
  pipelines:
    logs/aix_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/aix_system

Paramètres de configuration

Remplacez les espaces réservés suivants :

Configuration de l'exportateur :

  • <CREDS_FILE_PATH> : chemin d'accès complet au fichier d'authentification de l'ingestion :
    • Linux : /etc/bindplane-agent/ingestion-auth.json
    • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <CUSTOMER_ID> : ID client de l'étape précédente
  • <REGION_ENDPOINT> : URL du point de terminaison régional :
    • États-Unis : malachiteingestion-pa.googleapis.com
    • Europe : europe-malachiteingestion-pa.googleapis.com
    • Asie : asia-southeast1-malachiteingestion-pa.googleapis.com
    • Pour obtenir la liste complète, consultez Points de terminaison régionaux.

Enregistrez le fichier de configuration.

Après avoir modifié le fichier, enregistrez-le :

  • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
  • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent Bindplane sous Linux :

  1. Exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

  2. Vérifiez que le service est en cours d'exécution :

    sudo systemctl status observiq-otel-collector

  3. Recherchez les erreurs dans les journaux :

    sudo journalctl -u observiq-otel-collector -f

Pour redémarrer l'agent Bindplane sous Windows :

  1. Choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console Services :
      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Localisez le collecteur observIQ OpenTelemetry.
      3. Effectuez un clic droit, puis sélectionnez Redémarrer.

  2. Vérifiez que le service est en cours d'exécution :

    sc query observiq-otel-collector

  3. Recherchez les erreurs dans les journaux :

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert syslog sur AIX

  1. Connectez-vous au système AIX avec un accès root ou privilégié.

  2. Modifiez le fichier /etc/syslog.conf à l'aide d'un éditeur de texte (par exemple, vi) :

    vi /etc/syslog.conf

  3. Ajoutez la ligne suivante pour transférer les journaux à l'agent Bindplane :

    *.info  @<BINDPLANE_AGENT_IP>
    • Remplacez <BINDPLANE_AGENT_IP> par l'adresse IP de l'hôte de l'agent Bindplane.
    • Le séparateur entre le sélecteur (*.info) et l'action (@<BINDPLANE_AGENT_IP>) doit être une tabulation.
    • Le sélecteur *.info transfère tous les messages dont la priorité est info ou supérieure, provenant de toutes les installations. Ajustez l'établissement et la priorité selon vos besoins.

  4. Enregistrez le fichier et quittez l'éditeur.

  5. Actualisez le daemon syslogd pour appliquer les modifications :

    refresh -s syslogd

    stopsrc -s syslogd
startsrc -s syslogd

  6. Vérifiez que le daemon syslogd est en cours d'exécution :

    lssrc -s syslogd

    Le résultat doit afficher syslogd avec l'état active.

  7. Assurez-vous que le port UDP 514 est ouvert entre l'hôte AIX et l'agent Bindplane.

Vérifier le transfert de journaux

Vérifiez que les journaux sont transférés à l'agent Bindplane :

  1. Sur le système AIX, générez un message de journal de test :

    logger -p user.info "Test syslog message from AIX"

  2. Sur l'hôte de l'agent Bindplane, consultez les journaux de l'agent pour vérifier que le message a bien été reçu :

    Linux :

    sudo journalctl -u observiq-otel-collector -n 50

    Windows :

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

  3. Vérifiez que les journaux apparaissent dans la console Google SecOps au bout de cinq à dix minutes.

Table de mappage UDM

Champ de journal Mappage UDM Logique
application target.application Valeur extraite du champ de message à l'aide de modèles Grok.
cmddata target.process.command_line Valeur extraite du champ de message à l'aide de modèles Grok.
command_line principal.process.command_line Valeur extraite du champ de description à l'aide de modèles Grok.
description metadata.description Valeur extraite du champ de message à l'aide de modèles Grok.
folder target.process.file.full_path Valeur extraite du champ de message à l'aide de modèles Grok.
hostname principal.hostname Valeur extraite du champ de message à l'aide de modèles Grok.
intermediary_hostip intermediary.ip Valeur extraite du champ de message à l'aide de modèles Grok.
sc_summary security_result.summary Valeur extraite du champ de description à l'aide de modèles Grok.
severity security_result.severity Définissez la valeur sur "INFORMATIONAL" si la gravité est "info" (non sensible à la casse). Définissez sur "ERROR" si la gravité est "Err" (non sensible à la casse).
src_ip principal.ip Valeur extraite du champ "Message" ou "Description" à l'aide de modèles Grok.
src_port principal.port Valeur extraite du champ de description à l'aide de modèles Grok.
sys_log_host intermediary.hostname Valeur extraite du champ de message à l'aide de modèles Grok.
syslog_priority security_result.priority_details Valeur extraite du champ de message à l'aide de modèles Grok.
ts metadata.event_timestamp Converti à partir du champ "ts" du message de journal à l'aide du filtre grok et de date.
user principal.user.userid Valeur extraite du champ "Message" ou "Description" à l'aide de modèles Grok.
N/A metadata.event_type Définissez sur "STATUS_UPDATE" si src_ip ou hostname sont présents. Définissez la valeur sur "USER_UNCATEGORIZED" si l'utilisateur est présent, mais pas les autres. Sinon, définissez-le sur "GENERIC_EVENT".
N/A metadata.vendor_name Défini sur "AIX_SYSTEM".
N/A metadata.product_name Défini sur "AIX_SYSTEM".
N/A metadata.log_type Défini sur "AIX_SYSTEM".

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.