BMC AMI Defender-Protokolle erfassen

Parserversion: 1.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie BMC AMI Defender-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

BMC AMI Datastream for z/OS ist ein Mainframe-Agentenprogramm, das die z/OS-Systemaktivität überwacht und SMF-Datensätze (System Management Facility) erfasst, verarbeitet und in Echtzeit an verteilte SIEM-Systeme liefert. Der Agent formatiert SMF-Datensätze aus RACF, ACF2, Top Secret, TCP/IP, CICS, IMS und anderen z/OS-System- und Anwendungsereignissen als RFC 3164-konforme Syslog-Nachrichten um und überträgt sie über UDP-, TCP- oder TLS-Protokolle.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd für den Bindplane-Agent
  • Netzwerkverbindung zwischen dem Bindplane-Agent-Host und der z/OS-LPAR, auf der BMC AMI Datastream ausgeführt wird
  • Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • BMC AMI Datastream for z/OS Version 6.1 oder höher, installiert und ausgeführt auf der z/OS-LPAR
  • Zugriff zum Bearbeiten von Parameterdateien im amihlq.PARM-Dataset unter z/OS (erfordert in der Regel TSO/ISPF-Zugriff oder die Berechtigung zum Senden von Batchjobs)
  • Berechtigung zum Ändern der BMC AMI Datastream-Konfiguration (erfordert in der Regel RACF-READ-Zugriff auf die Parameter-Datasets)

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

  • Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
  • Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
  12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.

  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

  • Windows-Installation

    1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

    2. Führen Sie dazu diesen Befehl aus:

      msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

    3. Warten Sie, bis die Installation abgeschlossen ist.

    4. Überprüfen Sie die Installation mit folgendem Befehl:

      sc query observiq-otel-collector

      Der Dienst sollte als RUNNING angezeigt werden.

  • Linux-Installation

    1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

    2. Führen Sie dazu diesen Befehl aus:

      sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

    3. Warten Sie, bis die Installation abgeschlossen ist.

    4. Überprüfen Sie die Installation mit folgendem Befehl:

      sudo systemctl status observiq-otel-collector

      Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agent für die Aufnahme von Syslog und das Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  1. Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
  tcplog:
    listen_address: "0.0.0.0:1514"

exporters:
  chronicle/bmc_datastream:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'your-customer-id-here'
    endpoint: chronicle.googleapis.com
    log_type: BMC_AMI_DEFENDER
    raw_log_field: body

service:
  pipelines:
    logs/datastream_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/bmc_datastream

  2. Ersetzen Sie die folgenden Platzhalter:

    • Empfängerkonfiguration:

      listen_address: IP-Adresse und Port, auf dem gelauscht werden soll:

      • 0.0.0.0:1514, um alle Schnittstellen auf Port 1514 zu überwachen (empfohlen für Linux-Nicht-Root-Nutzer)
      • 0.0.0.0:514, um alle Schnittstellen am Standard-Syslog-Port zu überwachen (erfordert Root-Zugriff unter Linux)
      • Bestimmte IP-Adresse, die auf einer Schnittstelle überwacht werden soll

    • Exporter-Konfiguration:

      • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):

        • Linux: /opt/observiq-otel-collector/ingestion-auth.json
        • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

      • customer_id: Ihr customer ID. Weitere Informationen finden Sie unter Google SecOps-Kundennummer abrufen.

      • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.

      • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.

      • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

      • log_type: BMC_AMI_DEFENDER

Beispielkonfiguration für UDP-Syslog

  • Wenn Sie den UDP-Transport bevorzugen (geringere Latenz, Fire-and-Forget):

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/bmc_datastream:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
    endpoint: chronicle.googleapis.com
    log_type: BMC_AMI_DEFENDER
    raw_log_field: body

service:
  pipelines:
    logs/datastream_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/bmc_datastream

Legacy-Ingestion-API-Exporter

  • Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/bmc_datastream:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'your-customer-id-here'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: BMC_AMI_DEFENDER
    raw_log_field: body

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:

  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

  • So starten Sie den Bindplane-Agenten unter Linux neu:

    1. Führen Sie dazu diesen Befehl aus:

      sudo systemctl restart observiq-otel-collector

    2. Prüfen Sie, ob der Dienst ausgeführt wird:

      sudo systemctl status observiq-otel-collector

    3. Prüfen Sie die Logs auf Fehler:

      sudo journalctl -u observiq-otel-collector -f

  • So starten Sie den Bindplane-Agenten unter Windows neu:

    1. Wählen Sie eine der folgenden Optionen aus:

      • Eingabeaufforderung oder PowerShell als Administrator:

        net stop observiq-otel-collector && net start observiq-otel-collector

      • Dienstkonsole:

        1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
        2. Suchen Sie nach observIQ OpenTelemetry Collector.
        3. Rechtsklicken Sie und wählen Sie Neu starten aus.

    2. Prüfen Sie, ob der Dienst ausgeführt wird:

      sc query observiq-otel-collector

    3. Prüfen Sie die Logs auf Fehler:

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung für BMC AMI Defender konfigurieren

Parameterdatei mit TSO/ISPF bearbeiten

  1. Melden Sie sich in TSO/ISPF auf der z/OS-LPAR an, auf der BMC AMI Datastream installiert ist.
  2. Geben Sie im ISPF-Hauptoptionsmenü 2 ein, um BEARBEITEN auszuwählen.

  3. Geben Sie im Bereich Bearbeiten – Eingabebereich Folgendes ein:

    • ISPF-Bibliothek: Geben Sie den Namen des Parameter-Datasets im Format 'amihlq.PARM' ein, wobei amihlq der bei der Installation ausgewählte High-Level-Qualifier ist (z. B. 'PROD.CZAGENT.PARM').
    • Mitglied: Geben Sie das Mitglied $$$CONFG.

  4. Press Enter to open the member for editing.

Configure the SIEM type

  1. In the $$$CONFG ein und suchen Sie den Abschnitt Schalter zum Festlegen des SIEM-Typs.

  2. Entfernen Sie das führende Semikolon aus der entsprechenden Zeile, um die Kommentarzeichen für einen SIEM-Typ zu entfernen:

    • Entfernen Sie für das Standard-Syslog-Format die Kommentarzeichen: SWITCH ON(RFC 3164)
    • Entfernen Sie für das Common Event Format die Kommentarzeichen: SWITCH ON(CEF)
    • Entfernen Sie für das JSON-Format die Kommentarzeichen: SWITCH ON(JSON)
    • Entfernen Sie für das IBM QRadar LEEF-Format die Kommentarzeichen: SWITCH ON(LEEF)
    • Entfernen Sie für das Splunk-Format die Kommentarzeichen: SWITCH ON(Splunk)

  3. Drücken Sie F3, um das Mitglied zu speichern und zu schließen.

Syslog-Server konfigurieren

  1. Geben Sie im Bereich Bearbeiten – Eingabebereich Folgendes ein:

    • ISPF-Bibliothek: Geben Sie 'amihlq.PARM' ein (wie zuvor).
    • Mitglied: Geben Sie $$$SERVR.

  2. Press Enter to open the member for editing.

  3. Locate the section corresponding to your selected SIEM type. For example:

    • For RFC 3164: Locate the section labeled ; RFC 3164
    • For CEF: Locate the section labeled ; CEF - TRANS(TCP) Recommended
    • For JSON: Locate the section labeled ; JSON - TRANS(TCP) Recommended

  4. Uncomment the SERVER statement by removing the leading semicolon.

  5. Edit the SERVER statement with the following values:

    • Replace ip.addr.example with the IP address of the Bindplane agent host (for example, 192.168.1.100).

    • If using TCP (recommended), the statement should look like:

      SERVER 192.168.1.100:1514 TRANS(TCP) MAXMSG(2000)

    • If using UDP, the statement should look like:

      SERVER 192.168.1.100:514 TRANS(UDP) MAXMSG(2000)

  6. If you selected CEF, JSON, or Splunk format and are using TCP transport, locate the OPTIONS statement section and uncomment the FRAMING parameter:

    OPTIONS FRAMING(OCTETCOUNT)

  7. Press F3 to save and exit the member.

Refresh the BMC AMI Datastream configuration

  1. From the ISPF Primary Option Menu, enter 6 to select COMMAND.

  2. On the TSO Command Processor screen, enter the following MVS console command:

    F czagentname,PARMS

    Replace czagentname with the name of the BMC AMI Datastream started task (typically CZAGENT or the instance name configured during installation).

  3. Press Enter to execute the command.

  4. Verify the configuration was refreshed by checking the system log for message CZA0001I indicating the parameter file was successfully processed.

Verify syslog transmission

  1. From the ISPF Primary Option Menu, enter 6 to select COMMAND.

  2. Enter the following command to display BMC AMI Datastream statistics:

    F czagentname,STATS

  3. Press Enter to execute the command.

  4. Check the system log for message CZA0350I showing the number of messages sent to the syslog server.

  5. Verify the Bindplane agent is receiving messages by checking the Bindplane agent logs:

    • Linux: sudo journalctl -u observiq-otel-collector -f
    • Windows: Check C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log

Alternative: Edit parameter file using batch job

If you do not have TSO/ISPF access, you can edit the parameter files using a batch job:

  1. Create a batch job with the following JCL:

    //EDITPARM JOB (ACCT),'EDIT DATASTREAM PARMS',
//         CLASS=A,MSGCLASS=X,NOTIFY=&SYSUID
//STEP1    EXEC PGM=IEBGENER
//SYSPRINT DD SYSOUT=*
//SYSIN    DD DUMMY
//SYSUT1   DD *
SWITCH ON(RFC 3164)
/*
//SYSUT2   DD DSN=amihlq.PARM($$$CONFG),DISP=SHR
//STEP2    EXEC PGM=IEBGENER
//SYSPRINT DD SYSOUT=*
//SYSIN    DD DUMMY
//SYSUT1   DD *
SERVER 192.168.1.100:1514 TRANS(TCP) MAXMSG(2000)
/*
//SYSUT2   DD DSN=amihlq.PARM($$$SERVR),DISP=SHR
 ein.

  2. Ersetzen Sie amihlq durch den High-Level-Qualifier für Ihre BMC AMI Datastream-Installation.

  3. Ersetzen Sie 192.168.1.100:1514 durch die IP-Adresse und den Port Ihres Bindplane-Agent-Hosts.

  4. Senden Sie den Job und prüfen Sie, ob er erfolgreich abgeschlossen wurde (Rückgabecode 0).

  5. Führen Sie den Befehl MODIFY aus, um die Konfiguration wie im vorherigen Abschnitt beschrieben zu aktualisieren.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
aceeadsp security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
aceeaudt security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
aceeflg1 security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
aceelogu security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
aceeoper security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
aceepriv security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
aceeracf security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
aceeroa security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
aceespec security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
additional.fields additional.fields Zusätzliche Informationen zum Ereignis
auth security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
auth_audit security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
auth_bypass security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
auth_exit security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
auth_normal security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
auth_oper security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
auth_soft security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
auth_special security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
auth_trusted security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
authinfo security_result.description Beschreibung des Sicherheitsergebnisses
Termin metadata.product_event_type Produktspezifischer Ereignistyp
event_type metadata.event_type Ereignistyp (z.B. USER_LOGIN, NETWORK_CONNECTION)
eventdesc metadata.description Eine Beschreibung des Ereignisses
Gruppe additional.fields Zusätzliche Informationen zum Ereignis
Hostname principal.hostname, principal.asset.hostname Hostname des Hauptkontos, Hostname des Assets
jobid security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
jobnm additional.fields Zusätzliche Informationen zum Ereignis
jsauth security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
Name principal.user.user_display_name Anzeigename des Nutzers
pgm security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
privstatd security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
reas_always security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
reas_audit security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
reas_cmdviol security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
reas_globalaudit security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
reas_setropts security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
reas_special security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
reas_user security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
reas_verify security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
rtype additional.fields Zusätzliche Informationen zum Ereignis
saf additional.fields Zusätzliche Informationen zum Ereignis
safd additional.fields Zusätzliche Informationen zum Ereignis
security_result.detection_fields security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
die Ausprägung security_result.severity, security_result.severity_details Schweregrad des Sicherheitsergebnisses, detaillierte Informationen zum Schweregrad
sid additional.fields Zusätzliche Informationen zum Ereignis
timestamp metadata.event_timestamp Zeitstempel des Ereignisses
tokflg1 security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
tokflg3 security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
tokpriv security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
toksus security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
tokudus security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
userid principal.user.userid Nutzer-ID
Verstoß security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
user_warning security_result.detection_fields Felder, die zur Bestimmung des Sicherheitsergebnisses verwendet wurden
worktyped additional.fields Zusätzliche Informationen zum Ereignis
metadata.product_name Name des Produkts
metadata.vendor_name Name des Anbieters/Unternehmens

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten