Appian Cloud-Logs erfassen

Parserversion: 4.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Appian Cloud-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Appian Cloud ist eine Low-Code-Automatisierungsplattform, mit der Unternehmen Anwendungen und Workflows erstellen können. Mit Log-Streaming werden Audit- und Sicherheitsereignislogs aus Ihrer Appian Cloud-Umgebung über eine IPsec-VPN-Verbindung bereitgestellt.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Professional- oder Signature-Lizenz mit Appian Cloud
• Aufzeichnung der URL(s) Ihrer Appian-Umgebung
• IPsec-VPN zwischen Appian Cloud und der Umgebung, in der der Bindplane-Agent bereitgestellt wird

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
12. Rufen Sie IAM & Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Konfiguration des Exporters.

Hinweis :Der JSON-Schlüssel ist eine Anmeldedaten. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Hinweis: Mit dieser Datei wird der Agent bei der Legacy Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profile auf.

3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

   Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

   Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

   Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Problembehebung finden Sie im Installationsanleitung für den Bindplane-Agent.

Hinweis :Für die Konfiguration des Chronicle API-Exporters ist der Bindplane-Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird der neueste Release installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agent für die Aufnahme von Syslog und das Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:6514"
  
  exporters:
    chronicle/appian_cloud:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: APPIAN_CLOUD
      raw_log_field: body
  
  service:
    pipelines:
      logs/appian_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/appian_cloud
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration:

  • listen_address: IP-Adresse und Port, auf die gewartet werden soll:
    • 0.0.0.0, um auf allen Schnittstellen zuzuhören (empfohlen)
    • Port 6514 ist der empfohlene Port für das Streaming von Appian Cloud-Logs.

• Exporter-Konfiguration:

  • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: Die Kundennummer, die aus der Google SecOps Console kopiert wurde
  • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
  • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM & Verwaltung > Einstellungen.
  • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Exporter für die Legacy Ingestion API

• Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/appian_cloud:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: APPIAN_CLOUD
      raw_log_field: body
  

Hinweis: Dieser Exporteur funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

  sudo systemctl restart observiq-otel-collector
  

  1. Prüfen Sie, ob der Dienst ausgeführt wird:

     sudo systemctl status observiq-otel-collector
     

  2. Logs auf Fehler prüfen:

     sudo journalctl -u observiq-otel-collector -f
     

• Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Dienstkonsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.
    3. Rechtsklicken Sie und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

       sc query observiq-otel-collector
       

    5. Logs auf Fehler prüfen:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Log-Streaming für Appian Cloud aktivieren

1. Öffnen Sie eine Supportanfrage bei Appian mit dem Betreff Log-Streaming aktivieren und geben Sie die folgenden Details an:
   • Umgebungs-URL(s)
   • Gewünschter Netzwerkpfad als IPsec-VPN
   • IP-Adresse des Bindplane-Agents
   • TCP-Portnummer des Bindplane-Agents (z. B. 6514)
2. Der Appian-Support plant ein Wartungsfenster und stellt die Konfiguration bereit.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
available_heap_space_label	additional.fields	Zusammengeführt
cpu_core_count_label	additional.fields	Zusammengeführt
daemon_thread_count_label	additional.fields	Zusammengeführt
data_store_label	additional.fields	Zusammengeführt
devicetimestamp_label	additional.fields	Zusammengeführt
entity_label	additional.fields	Zusammengeführt
execute_time_label	additional.fields	Zusammengeführt
load_average_label	additional.fields	Zusammengeführt
operation_name_label	additional.fields	Zusammengeführt
operation_type_label	additional.fields	Zusammengeführt
permanent_generation_available_label	additional.fields	Zusammengeführt
permanent_generation_used_label	additional.fields	Zusammengeführt
prepare_time_label	additional.fields	Zusammengeführt
retcode_label	additional.fields	Zusammengeführt
session_count_label	additional.fields	Zusammengeführt
tenured_collection_count_label	additional.fields	Zusammengeführt
tenured_collection_time_label	additional.fields	Zusammengeführt
tenured_generation_available_label	additional.fields	Zusammengeführt
tenured_generation_usage_after_collection_label	additional.fields	Zusammengeführt
tenured_generation_used_label	additional.fields	Zusammengeführt
thread_label	additional.fields	Zusammengeführt
total_swap_space_label	additional.fields	Zusammengeführt
total_system_memory_label	additional.fields	Zusammengeführt
total_thread_count_label	additional.fields	Zusammengeführt
transform_time_label	additional.fields	Zusammengeführt
used_heap_space_label	additional.fields	Zusammengeführt
used_swap_space_label	additional.fields	Zusammengeführt
used_system_memory_label	additional.fields	Zusammengeführt
young_cllection_time_label	additional.fields	Zusammengeführt
young_collection_count_label	additional.fields	Zusammengeführt
has_principal_user	extensions.auth.type	Zugeordnet: true → AUTHTYPE_UNSPECIFIED
src_host	intermediary.hostname	Direkt zugeordnet
src_ip	intermediary.ip	Zusammengeführt
time	metadata.event_timestamp	Geparst als yyyy-MM-dd HH:mm:ss
event_type	metadata.event_type	Direkt zugeordnet
device	metadata.product_event_type	Direkt zugeordnet
product_type	metadata.product_event_type	Direkt zugeordnet
http_method	network.http.method	Direkt zugeordnet
useragent	network.http.parsed_user_agent	Umbenannt/zugeordnet
useragent	network.http.user_agent	Direkt zugeordnet
connectionid	network.session_id	Direkt zugeordnet
sessionID	network.session_id	Direkt zugeordnet
session_id	network.session_id	Direkt zugeordnet
domain	principal.administrative_domain	Direkt zugeordnet
application	principal.application	Direkt zugeordnet
host	principal.asset.hostname	Direkt zugeordnet
hostname	principal.asset.hostname	Direkt zugeordnet
IpAddress	principal.asset.ip	Zusammengeführt
host	principal.hostname	Direkt zugeordnet
hostname	principal.hostname	Direkt zugeordnet
IpAddress	principal.ip	Zusammengeführt
src_port	principal.port	Direkt zugeordnet
process_id	principal.process.pid	Direkt zugeordnet
url	principal.url	Direkt zugeordnet
roles	principal.user.attribute.roles	Zusammengeführt
companyname	principal.user.company_name	Direkt zugeordnet
email	principal.user.email_addresses	Zusammengeführt
user_id	principal.user.email_addresses	Zugeordnet: N/A → user_id
modified_by_uuid	principal.user.product_object_id	Direkt zugeordnet
user	principal.user.product_object_id	Direkt zugeordnet
modified_by_username	principal.user.userid	Direkt zugeordnet
userId	principal.user.userid	Direkt zugeordnet
user_id	principal.user.userid	Direkt zugeordnet
username2	principal.user.userid	Direkt zugeordnet
versionDetails	security_result.about.platform_version	Direkt zugeordnet
outcome_result	security_result.action	Zusammengeführt
security_result_action	security_result.action	Zusammengeführt
act	security_result.action_details	Direkt zugeordnet
status	security_result.action_details	Direkt zugeordnet
sec_result_category	security_result.category	Zusammengeführt
category	security_result.category_details	Zusammengeführt
desc	security_result.description	Direkt zugeordnet
details	security_result.description	Direkt zugeordnet
details_label	security_result.detection_fields	Zusammengeführt
endpoint_label	security_result.detection_fields	Zusammengeführt
execution_count_label	security_result.detection_fields	Zusammengeführt
maximum_execution_time_label	security_result.detection_fields	Zusammengeführt
maximum_response_size_label	security_result.detection_fields	Zusammengeführt
maximum_response_time_label	security_result.detection_fields	Zusammengeführt
mean_execution_time_label	security_result.detection_fields	Zusammengeführt
mean_response_size_label	security_result.detection_fields	Zusammengeführt
minimum_execution_time_label	security_result.detection_fields	Zusammengeführt
minimum_response_size_label	security_result.detection_fields	Zusammengeführt
model_label	security_result.detection_fields	Zusammengeführt
rolesAllow_label	security_result.detection_fields	Zusammengeführt
sqlcmd_label	security_result.detection_fields	Zusammengeführt
status_code_1xx_count_label	security_result.detection_fields	Zusammengeführt
status_code_2xx_count_label	security_result.detection_fields	Zusammengeführt
status_code_3xx_count_label	security_result.detection_fields	Zusammengeführt
status_code_4xx_count_label	security_result.detection_fields	Zusammengeführt
status_code_5xx_count_label	security_result.detection_fields	Zusammengeführt
type_label	security_result.detection_fields	Zusammengeführt
uuid_label	security_result.detection_fields	Zusammengeführt
severity	security_result.severity	Zugeordnet: "INFORMATIONAL","INFORMATION","INFO" → INFORMATIONAL, "WARNING", "MEDIUM" → `M...
detail	security_result.severity_details	Direkt zugeordnet
action1	security_result.summary	Direkt zugeordnet
msg	security_result.summary	Direkt zugeordnet
object	security_result.summary	Direkt zugeordnet
operation_detail	security_result.summary	Direkt zugeordnet
reason	security_result.summary	Direkt zugeordnet
summary	security_result.summary	Direkt zugeordnet
server_host	target.asset.hostname	Direkt zugeordnet
tar_host	target.asset.hostname	Direkt zugeordnet
src_ip1	target.asset.ip	Zusammengeführt
hash	target.file.md5	Direkt zugeordnet
document_name	target.file.names	Zusammengeführt
server_host	target.hostname	Direkt zugeordnet
tar_host	target.hostname	Direkt zugeordnet
src_ip1	target.ip	Zusammengeführt
commandline	target.process.command_line	Direkt zugeordnet
action_label	target.resource.attribute.labels	Zusammengeführt
environment_label	target.resource.attribute.labels	Zusammengeführt
filters_label	target.resource.attribute.labels	Zusammengeführt
new_value_label	target.resource.attribute.labels	Zusammengeführt
original_value_label	target.resource.attribute.labels	Zusammengeführt
page_group_invoved_label	target.resource.attribute.labels	Zusammengeführt
page_involved_label	target.resource.attribute.labels	Zusammengeführt
record_identifier_label	target.resource.attribute.labels	Zusammengeführt
record_type_name_label	target.resource.attribute.labels	Zusammengeführt
record_type_url_stub_label	target.resource.attribute.labels	Zusammengeführt
setting_new_value_label	target.resource.attribute.labels	Zusammengeführt
setting_old_value_label	target.resource.attribute.labels	Zusammengeführt
site_involved_label	target.resource.attribute.labels	Zusammengeführt
site_url_stub_label	target.resource.attribute.labels	Zusammengeführt
view_label	target.resource.attribute.labels	Zusammengeführt
database	target.resource.name	Direkt zugeordnet
property	target.resource.name	Direkt zugeordnet
record_type_name	target.resource.name	Direkt zugeordnet
resourcename	target.resource.name	Direkt zugeordnet
site_involved	target.resource.name	Direkt zugeordnet
id	target.resource.product_object_id	Direkt zugeordnet
oid	target.resource.product_object_id	Direkt zugeordnet
queryid	target.resource.product_object_id	Direkt zugeordnet
sessionID	target.resource.product_object_id	Direkt zugeordnet
transactionId	target.resource.product_object_id	Direkt zugeordnet
action	target.resource.resource_subtype	Direkt zugeordnet
name	target.resource.resource_subtype	Direkt zugeordnet
user_uuid	target.user.product_object_id	Direkt zugeordnet
username1	target.user.userid	Direkt zugeordnet
–	extensions.auth.type	Konstante: AUTHTYPE_UNSPECIFIED
–	metadata.event_type	Konstante: GENERIC_EVENT
–	metadata.log_type	Konstante: APPIAN_CLOUD
–	metadata.product_name	Konstante: Cloud Platform
–	metadata.vendor_name	Konstante: Appian
–	security_result.severity	Konstante: INFORMATIONAL
sessionID	event.idm.read_only_udm.network.session_id	Aus Änderungsprotokoll zugeordnet
transactionId	event.idm.read_only_udm.target.resource.product_object_id	Aus Änderungsprotokoll zugeordnet
versionDetails	event.idm.read_only_udm.security_result.about.platform_version	Aus Änderungsprotokoll zugeordnet
application	event.idm.read_only_udm.principal.application	Aus Änderungsprotokoll zugeordnet
IpAddress	event.idm.read_only_udm.principal.ip	Aus Änderungsprotokoll zugeordnet
IpAddress	event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
userId	event.idm.read_only_udm.principal.user.userid	Aus Änderungsprotokoll zugeordnet
rolesAllow	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
userRole	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
status	event.idm.read_only_udm.section_result.action_details	Aus Änderungsprotokoll zugeordnet
resourcename	event.idm.read_only_udm.target.resource.name	Aus Änderungsprotokoll zugeordnet
commandline	event.idm.read_only_udm.target.process.command_line	Aus Änderungsprotokoll zugeordnet
devicetimestamp	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
email	event.idm.read_only_udm.principal.user.email_addresses	Aus Änderungsprotokoll zugeordnet
document_name	target.files.names	Aus Änderungsprotokoll zugeordnet
msg" and "reason	security_result.summary	Aus Änderungsprotokoll zugeordnet
original_value", "setting_new_value", "setting_old_value", and "new_value	target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
page_involved", "site_involved", and "page_group_involved	target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
total_thread_count", "daemon_thread_count", used_heap_space", "available_heap_space", "tenured_generation_usage_after_collection", "tenured_generation_used", "tenured_generation_available", "permanent_generation_used", and "permanent_generation_available	additional.fields	Aus Änderungsprotokoll zugeordnet
young_collection_count", "young_cllection_time", "tenured_collection_count", "tenured_collection_time", "cpu_core_count", "total_system_memory", "used_system_memory", "total_swap_space", "used_swap_space", "load_average", and "session_count	additional.fields	Aus Änderungsprotokoll zugeordnet
record_identifier", "record_type_url_stub", "view", "filters", "environment", and "site_url_stub	target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
data_store", "entity", and "operation_type	additional.fields	Aus Änderungsprotokoll zugeordnet
operation_name", "prepare_time", "transform_time", and "execute_time	additional.fields	Aus Änderungsprotokoll zugeordnet
connectionid	network.session.id	Aus Änderungsprotokoll zugeordnet
minimum_execution_time", "execution_count", "status_code_1xx_count", "status_code_2xx_count", "status_code_3xx_count", "status_code_4xx_count", "status_code_5xx_count", "minimum_response_size", "maximum_response_time", "maximum_response_size", "mean_execution_time", and "maximum_response_size	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten