Mengumpulkan log BeyondTrust Privileged Identity

Versi Parser: 31.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log BeyondTrust Privileged Identity ke Google Security Operations menggunakan agen Bindplane.

BeyondTrust Privileged Identity adalah solusi pengelolaan akun istimewa yang menghasilkan pesan syslog dalam format CEF dan non-CEF untuk peristiwa keamanan, autentikasi, dan aktivitas akun. Parser menormalisasi kolom dan memetakannya ke Model Data Terpadu (UDM).

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan instance BeyondTrust Privileged Identity
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke instance BeyondTrust Privileged Identity

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download File Autentikasi Penyerapan

4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

   Catatan: File JSON ini berisi kredensial untuk mengautentikasi agen Bindplane ke Google SecOps.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

• Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Edit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/beyondtrust_pi:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: BEYONDTRUST_PI
          raw_log_field: body
  
  service:
      pipelines:
          logs/beyondtrust_pi_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/beyondtrust_pi
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • listen_address: Alamat IP dan port yang akan diproses:
    • 0.0.0.0 untuk mendengarkan di semua antarmuka (direkomendasikan)
    • Port 514 adalah port syslog standar (memerlukan root di Linux; gunakan 1514 untuk non-root)

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file autentikasi penyerapan:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID Pelanggan yang disalin dari konsol Google SecOps
  • endpoint: URL endpoint regional:
    • Amerika Serikat: malachiteingestion-pa.googleapis.com
    • Eropa: europe-malachiteingestion-pa.googleapis.com
    • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Lihat Endpoint Regional untuk mengetahui daftar lengkapnya

Simpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol layanan:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Mulai ulang.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi syslog di BeyondTrust Privileged Identity

1. Login ke BeyondTrust Privileged Appliance.
2. Buka Appliance > Security > Appliance Administration.
3. Buka bagian Syslog.
4. Berikan detail konfigurasi berikut:
   • Hostname: Masukkan alamat IP agen Bindplane.
   • Port: Port default disetel ke 514 (UDP).
   • Format: Pilih RFC 5424.
5. Klik Simpan.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
cs1	additional.fields[0].key	Dipetakan langsung dari kolom log mentah cs1Label.
cs1Label	additional.fields[0].value.string_value	Dipetakan langsung dari kolom log mentah cs1.
cs3	additional.fields[1].value.string_value	Dipetakan langsung dari kolom log mentah cs3Label.
cs3Label	additional.fields[1].key	Dipetakan langsung dari kolom log mentah cs3.
cs4	additional.fields[2].value.string_value	Dipetakan langsung dari kolom log mentah cs4Label.
cs4Label	additional.fields[2].key	Dipetakan langsung dari kolom log mentah cs4.
data	metadata.description	Untuk pesan CEF, kolom msg (diekstrak dari data) dipetakan ke metadata.description. Untuk pesan non-CEF, kolom sMessage (atau bagian-bagiannya, bergantung pada format pesan tertentu) dipetakan ke metadata.description.
dhost	target.hostname	Dipetakan langsung dari kolom log mentah dhost.
dntdom	target.administrative_domain	Dipetakan langsung dari kolom log mentah dntdom.
duser	target.user.user_display_name	Dipetakan langsung dari kolom log mentah duser.
msg	metadata.description	Dipetakan langsung dari kolom log mentah msg dalam pesan CEF.
rt	metadata.event_timestamp.seconds	Stempel waktu epoch diekstrak dari kolom rt dalam pesan CEF.
sEventType	metadata.product_event_type	Dipetakan langsung dari kolom log mentah sEventType dalam pesan non-CEF.
shost	principal.ip	Dipetakan langsung dari kolom log mentah shost.
sIpAddress	principal.ip	Dipetakan langsung dari kolom log mentah sIpAddress dalam pesan non-CEF.
sLoginName	principal.user.userid	Diekstrak dari kolom sLoginName menggunakan ekspresi reguler untuk memisahkan domain dan ID pengguna.
sMessage	security_result.description	Dipetakan langsung dari kolom log mentah sMessage dalam pesan non-CEF, atau bagian yang diekstrak darinya digunakan untuk security_result.description.
sntdom	principal.administrative_domain	Dipetakan langsung dari kolom log mentah sntdom.
sOriginatingAccount	principal.user.userid	Diekstrak dari kolom sOriginatingAccount menggunakan ekspresi reguler untuk memisahkan domain dan ID pengguna.
sOriginatingApplicationComponent	principal.application	Digunakan bersama dengan sOriginatingApplicationName untuk mengisi principal.application.
sOriginatingApplicationName	principal.application	Digunakan bersama dengan sOriginatingApplicationComponent untuk mengisi principal.application.
sOriginatingSystem	principal.hostname	Dipetakan langsung dari kolom log mentah sOriginatingSystem dalam pesan non-CEF.
suser	principal.user.user_display_name	Dipetakan langsung dari kolom log mentah suser. Ditentukan oleh logika parser berdasarkan keberadaan dan nilai kolom lain seperti dst, src, shost, dan suid. Nilai yang mungkin adalah NETWORK_CONNECTION, STATUS_UPDATE, USER_UNCATEGORIZED, dan GENERIC_EVENT. Setel ke "BEYONDTRUST_PI". Setel ke "BeyondTrust Remote Support". Diekstrak dari header CEF dalam pesan CEF. Setel ke "BeyondTrust". Setel ke "ALLOW" atau "BLOCK" berdasarkan kolom status, reason, atau sMessage. Tetapkan ke LOW.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.