Avatier-Logs erfassen

Parserversion:2.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Avatier-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Die Avatier Identity Management Suite (AIMS) ist eine Plattform zur Identitätsverwaltung, die Protokolle für Nutzerzugriffsereignisse, Authentifizierung, Bereitstellung und Sicherheitsvorgänge generiert. Der Parser extrahiert Schlüssel/Wert-Paare aus Syslog-Nachrichten und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem Bindplane-Agent und dem Avatier AIMS-Server
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Privilegierter Zugriff auf Avatier Identity Management

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.

  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.

  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

    Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

    Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsleitfaden für den Bindplane-Agent.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/avatier:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: AVATIER
        raw_log_field: body

service:
    pipelines:
        logs/avatier_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/avatier

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • listen_address: IP-Adresse und Port, auf die gewartet werden soll:
      • 0.0.0.0, um auf allen Schnittstellen zuzuhören (empfohlen)
      • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

  • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Die Kundennummer, die aus der Google SecOps Console kopiert wurde
    • endpoint: Regionale Endpunkt-URL:
      • USA: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Eine vollständige Liste finden Sie unter Regionale Endpunkte.

Konfigurationsdatei speichern

  • Speichern Sie die Datei nach der Bearbeitung:
    • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
    • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

    1. Prüfen Sie, ob der Dienst ausgeführt wird:

      ```bash
sudo systemctl status observiq-otel-collector
```

    2. Logs auf Fehler prüfen:

      ```bash
sudo journalctl -u observiq-otel-collector -f
```

  • Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

    • Eingabeaufforderung oder PowerShell als Administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Dienstkonsole:

      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

      4. Prüfen Sie, ob der Dienst ausgeführt wird:

        sc query observiq-otel-collector

      5. Logs auf Fehler prüfen:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog für Avatier (AIMS) konfigurieren

  1. Melden Sie sich in der AIMS-Konfigurations-Web-UI an.
  2. Wählen Sie Avatier Identity Management Suite > SIEM aus.
  3. Geben Sie die folgenden Konfigurationsdetails an:
    • Klicken Sie das Kästchen Aktivieren für die SIEM-Integration an.
    • Server: Geben Sie die IP-Adresse des Bindplane-Agents ein.
    • UDP-Port: Geben Sie die Portnummer des Bindplane-Agents ein.
    • Klicken Sie neben jedem Feldtyp, den Sie exportieren möchten, das Kästchen Aktiviert an.
  4. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
auth_mechanism extensions.auth.mechanism Zusammengeführt
event_type extensions.auth.type Zugeordnete Werte (insgesamt 5, z.B. AuthToDomainError → SSO, AuthToDomain → SSO, PSLogin ...
intermediary_hostname intermediary.hostname Direkt zugeordnet
intermediary_ip intermediary.ip Zusammengeführt
description metadata.description Direkt zugeordnet
timestamp metadata.event_timestamp Als RFC 3339 geparst
event_type metadata.event_type Zugeordnete Werte (insgesamt 20, z.B. SMTPError → EMAIL_TRANSACTION, `PasswordRejectedByPolicyEr...
event_type metadata.product_event_type Direkt zugeordnet
principal_ip principal.ip Zusammengeführt
au principal.user.user_display_name Direkt zugeordnet
username principal.user.user_display_name Direkt zugeordnet
au principal.user.userid Direkt zugeordnet
email security_result.about.email Direkt zugeordnet
action security_result.action Zusammengeführt
category security_result.category Zusammengeführt
act security_result.summary Direkt zugeordnet
Domain target.administrative_domain Direkt zugeordnet
cot target.administrative_domain Direkt zugeordnet
mapping_domain target.administrative_domain Direkt zugeordnet
hostname target.hostname Direkt zugeordnet
target_ip target.ip Zusammengeführt
port target.port Direkt zugeordnet
pid target.process.pid Direkt zugeordnet
mapped_id target.resource.id Direkt zugeordnet
event_type target.resource.type Zugeordnet: (Deleted/Added)Mapping → SETTING
un target.user.user_display_name Direkt zugeordnet
target_id target.user.userid Direkt zugeordnet
un target.user.userid Direkt zugeordnet
– extensions.auth.type Konstante: SSO
– metadata.event_type Konstante: GENERIC_EVENT
– metadata.product_name Konstante: Avatier Identity Management Suite (AIMS)
– metadata.vendor_name Konstante: AVATIER
– target.resource.type Konstante: SETTING

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten