Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Apache 記錄

剖析器版本：20.0

支援：

Google SecOps SIEM

本文說明如何使用 Bindplane 代理程式，將 Apache 記錄檔擷取至 Google Security Operations。

Apache HTTP Server 是開放原始碼網路伺服器，可處理 HTTP 要求，並產生存取和錯誤記錄。剖析器可處理標準組合/通用記錄格式和 JSON 格式記錄，擷取 HTTP 要求詳細資料、回應代碼和用戶端資訊。

事前準備

請確認您符合下列必要條件：

Google SecOps 執行個體
Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
Bindplane 代理程式與 Apache 伺服器之間的網路連線
如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
Apache 伺服器的特殊存取權 (root 或 sudo)

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

新部署作業：使用 Chronicle API (選項 1)。
舊版部署作業：在 2027 年 7 月 20 日停用 Ingestion API 前，請繼續使用擷取驗證檔案 (選項 2)。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
按一下「建立服務帳戶」。
提供下列設定詳細資料：
- 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如 bindplane-ingest)。
- 服務帳戶說明：輸入說明 (例如 Bindplane agent log ingestion)。
點按「Create and continue」(建立並繼續)。
在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
依序點選「繼續」和「完成」。
按一下您建立的服務帳戶，然後前往「金鑰」分頁。
依序點選「新增金鑰」>「建立新的金鑰」。
選取「JSON」，然後按一下「建立」。金鑰檔案會下載到電腦。
將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
依序前往「IAM 與管理」>「設定」，然後複製「專案編號」。匯出工具設定時會用到。

方法 2：下載擷取驗證檔案 (舊版)

登入 Google SecOps 控制台。
依序前往「SIEM Settings」 > 「Collection Agents」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」 > 「設定檔」。
複製並儲存「機構詳細資料」專區中的「客戶 ID」。

注意： 設定 Bindplane 代理程式匯出工具時，必須提供客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟命令提示字元或 PowerShell。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安裝完成。
執行下列指令，確認安裝成功：
```
sc query observiq-otel-collector
```
服務應顯示為「RUNNING」。

安裝 Linux

開啟具有 root 或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安裝完成。
執行下列指令，確認安裝成功：
```
sudo systemctl status observiq-otel-collector
```
服務應顯示為「active (running)」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

Linux：

sudo nano /opt/observiq-otel-collector/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的全部內容替換為下列設定：

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/apache:
        protocol: https
        # Region of your instance, for example us, europe, asia-southeast1
        location: <LOCATION>
        # Project number of the Google Cloud project linked to the instance
        project: '<PROJECT_NUMBER>'
        compression: gzip
        creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: chronicle.googleapis.com
        log_type: APACHE
        raw_log_field: body

service:
    pipelines:
        logs/apache_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/apache

設定參數

替換下列預留位置：

接收器設定：
- listen_address：要接聽的 IP 位址和通訊埠：
  - 0.0.0.0 在所有介面接聽電話 (建議)
  - 通訊埠 514 是標準的系統記錄通訊埠 (在 Linux 上需要根層級權限；如果沒有根層級權限，請使用 1514)
匯出工具設定：
- creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：
  - Linux：/opt/observiq-otel-collector/ingestion-auth.json
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id：從 Google SecOps 控制台複製的客戶 ID
- location：將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會以這個值做為 chronicle.googleapis.com 的前置字元。如需完整清單，請參閱「區域性端點」。
- project：依序前往「IAM 與管理」>「設定」，然後將 <PROJECT_NUMBER> 替換為專案編號。
- endpoint：請將此值設為 chronicle.googleapis.com。

舊版 Ingestion API 匯出工具

如果您使用方式 2 的擷取驗證檔案，請將 exporters 區塊替換成下列內容。將 creds_file_path 設為擷取驗證檔案的路徑，如果您的執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

exporters:
    chronicle/apache:
        compression: gzip
        creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: APACHE
        raw_log_field: body

儲存設定檔

編輯完成後，請儲存檔案：
- Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
- Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

sudo systemctl restart observiq-otel-collector

確認服務是否正在執行：

sudo systemctl status observiq-otel-collector

查看記錄檔是否有錯誤：

sudo journalctl -u observiq-otel-collector -f

如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列其中一個選項：
- 以管理員身分開啟命令提示字元或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服務控制台：
  1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
  2. 找出「observIQ OpenTelemetry Collector」。
  3. 按一下滑鼠右鍵，然後選取「重新啟動」。
  4. 確認服務正在執行：
```
sc query observiq-otel-collector
```
  5. 查看記錄檔是否有錯誤：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

在 Apache 中設定系統記錄檔

使用 SSH 登入託管 Apache 的伺服器。
在 /etc/rsyslog.d/ 下建立名為 02-apache2.conf 的檔案：
```
vim /etc/rsyslog.d/02-apache2.conf
```

在檔案新增下列程式碼：

module(load="imfile" PollingInterval="10" statefile.directory="/var/spool/rsyslog")

input(type="imfile"
    File="/var/log/apache2/access.log"
    Tag="http_access"
    Severity="info"
    Facility="local6")

Local6.info @<BINDPLANE_IP>:<BINDPLANE_PORT>

module(load="imfile" PollingInterval="10" statefile.directory="/var/spool/rsyslog")

input(type="imfile"
    File="/var/log/apache2/error.log"
    Tag="http_error"
    Severity="error"
    Facility="local7")

Local7.error @<BINDPLANE_IP>:<BINDPLANE_PORT>

將 <BINDPLANE_IP> 和 <BINDPLANE_PORT> 替換為 Bindplane 代理程式設定的 IP 位址和通訊埠。
如果使用 TCP 通訊協定，請在主機行附加 @ (例如 @@<BINDPLANE_IP>:<BINDPLANE_PORT>)。

重新啟動 rsyslog 服務：
```
sudo service rsyslog restart
```

UDM 對應表

記錄欄位	UDM 對應	邏輯
`bytes`	`network.received_bytes`	從用戶端收到的位元組數。
`bytes`	`network.sent_bytes`	傳送至用戶端的位元組數。
`bytes_out`	`network.sent_bytes`	傳送至用戶端的位元組數。
`bytes_received`	`network.received_bytes`	從用戶端接收的位元組數。
`Content`	`network.http.method`	從「Content」欄位擷取的 HTTP 方法。
`Content`	`target.url`	從「內容」欄位擷取的目標網址。
`cookie`	`additional.fields.value.string_value`	「cookie」欄位的值。
`dest_ip`	`target.ip`	目標的 IP 位址。
`dest_name`	`target.hostname`	目標的主機名稱。
`dest_port`	`target.port`	目標的通訊埠。
`description`	`metadata.description`	事件說明。
`duration_microseconds`	`additional.fields.value.string_value`	「duration_microseconds」欄位的值。
`file_full_path`	`target.file.full_path`	目標檔案的完整路徑。
`hostname`	`target.hostname`	目標的主機名稱。
`http_content_type`	`additional.fields.value.string_value`	「http_content_type」欄位的值。
`http_host`	`principal.hostname`	主體的主機名稱。
`http_method`	`network.http.method`	HTTP 方法。
`http_referrer`	`network.http.referral_url`	HTTP 參照網址。
`http_user_agent`	`network.http.user_agent`	HTTP 使用者代理程式。
`ID`	`metadata.id`	活動的 ID。
`insertId`	`metadata.product_log_id`	產品記錄 ID。
`ip`	`principal.ip`	主體的 IP 位址。
`jsonPayload.cIP`	`target.ip`	目標的 IP 位址。
`jsonPayload.cPort`	`target.port`	目標的通訊埠。
`jsonPayload.csBytes`	`network.sent_bytes`	傳送至用戶端的位元組數。
`jsonPayload.csMethod`	`network.http.method`	HTTP 方法。
`jsonPayload.csMimeType`	`target.file.mime_type`	目標檔案的 MIME 類型。
`jsonPayload.csReferer`	`network.http.referral_url`	HTTP 參照網址。
`jsonPayload.csURL`	`target.url`	目標網址。
`jsonPayload.csUserAgent`	`network.http.user_agent`	HTTP 使用者代理程式。
`jsonPayload.sHierarchy`	`additional.fields.value.string_value`	「sHierarchy」欄位的值。
`jsonPayload.sHostname`	`principal.hostname`	主體的主機名稱。
`jsonPayload.sIP`	`principal.ip`	主體的 IP 位址。
`jsonPayload.scBytes`	`network.received_bytes`	從用戶端接收的位元組數。
`jsonPayload.scHTTPStatus`	`network.http.response_code`	HTTP 回應代碼。
`jsonPayload.scResultCode`	`additional.fields.value.string_value`	「scResultCode」欄位的值。
`LastStatus`	`network.http.response_code`	HTTP 回應代碼。
`log_level`	`security_result.severity`	安全性結果的嚴重程度。
`logName`	`security_result.category_details`	安全性結果的類別詳細資料。
`method`	`network.http.method`	HTTP 方法。
`pid`	`principal.process.pid`	主體的程序 ID。
`Port`	`target.port`	目標的通訊埠。
`proto`	`network.application_protocol`	應用程式通訊協定。
`referer`	`network.http.referral_url`	HTTP 參照網址。
`RemoteHost`	`principal.ip`	主體的 IP 位址。
`RemoteUser`	`principal.user.userid`	主體的使用者 ID。
`resource.labels.instance_id`	`target.resource.product_object_id`	目標資源的產品物件 ID。
`resource.labels.project_id`	`target.resource.attribute.labels.value`	「project_id」標籤的值。
`resource.labels.zone`	`target.resource.attribute.cloud.availability_zone`	目標資源的可用區。
`resource.type`	`target.resource.resource_type`	目標的資源類型。
`response`	`network.http.response_code`	HTTP 回應代碼。
`SizeBytes`	`network.received_bytes`	從用戶端收到的位元組數。
`src_ip`	`principal.ip`	主體的 IP 位址。
`src_port`	`principal.port`	主體的通訊埠。
`ssl_cipher`	`network.tls.cipher`	TLS 加密。
`ssl_version`	`network.tls.version_protocol`	TLS 版本通訊協定。
`status`	`network.http.response_code`	HTTP 回應代碼。
`target`	`target.url`	目標網址。
`target_ip`	`target.ip`	目標的 IP 位址。
`target_port`	`target.port`	目標的通訊埠。
`time`	`metadata.event_timestamp`	事件時間戳記。
`uri_path`	`target.process.file.full_path`	目標檔案的完整路徑。
`user`	`principal.user.userid`	主體的使用者 ID。
`useragent`	`network.http.user_agent`	HTTP 使用者代理程式。
`version_protocol`	`network.tls.version_protocol`	TLS 版本通訊協定。
`Workername`	`principal.hostname`	主體的主機名稱。
`x_forwarded_for`		「X-Forwarded-For」標頭的值。
	`metadata.log_type`	剖析器程式碼中的值會設為「APACHE」。
	`metadata.product_name`	剖析器程式碼中的值會設為「Apache Web Server」。
	`metadata.vendor_name`	剖析器程式碼中的值會設為「Apache」。
	`metadata.event_type`	系統會根據主體和目標資訊是否存在，決定這個值。如果主體和目標都存在，事件類型會設為「NETWORK_HTTP」。如果只有主體，事件類型會設為「STATUS_UPDATE」。否則，系統會將其設為「GENERIC_EVENT」。
	`additional.fields.key`	根據欄位，在剖析器程式碼中將鍵設為「keep_alive」、「duration_microseconds」、「cookie」、「http_content_type」、「sHierarchy」、「scResultCode」。
	`target.port`	如果「proto」欄位為「HTTP」，通訊埠會設為 80。如果「proto」欄位為「HTTPS」，通訊埠會設為 443。如果「proto」欄位為「FTP」，通訊埠會設為 21。
	`target.resource.attribute.labels.key`	剖析器程式碼中的鍵設為「project_id」。
`client_ip_address`	`event.idm.read_only_udm.principal.ip` 和 `event.idm.read_only_udm.principal.asset.ip`	從變更記錄對應
`server`	`event.idm.read_only_udm.target.hostname` 和 `event.idm.read_only_udm.target.asset.hostname`	從變更記錄對應
`bytes_in`	`event.idm.read_only_udm.network.received_bytes`	從變更記錄對應
`PHPSESSID`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`AuthToken`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`response_time_microseconds`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`hostname`	`event.idm.read_only_udm.intermediary.hostname`	從變更記錄對應
`Filename`	`event.idm.read_only_udm.principal.process.file.full_path`	從變更記錄對應
`kv_key`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`info`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`SourceModuleName`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`SourceModuleType`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`src_ip`	`event.idm.read_only_udm.target.ip` 和 `event.idm.read_only_udm.target.asset.ip`	從變更記錄對應
`tls_version`	`event.idm.read_only_udm.network.tls.version`	從變更記錄對應
`version_protocol`	`event.idm.read_only_udm.network.tls.version_protocol`	從變更記錄對應
`syncAccuracy`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`isSynced`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`tzKnown`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`user_location`	`principal.location.country_or_region`	從變更記錄對應
`proto", "proto_version", "uri_path", and "uri_query`	`additional.fields`	從變更記錄對應
`ip_msg`	`principal.ip`	從變更記錄對應
`msg_method`	`network.http.method`	從變更記錄對應
`useragentvalue`	`network.http.user_agent`	從變更記錄對應
`bytes_out`	`network.sent.bytes`	從變更記錄對應
`XForwardedForIP" and "RemoteHost`	`principal.ip`	從變更記錄對應
`Remoteuser`	`principal.user.userid`	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。