‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של BMC Client Management

גרסת כלי הניתוח: 2.0

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומנים של BMC Client Management ב-Google Security Operations באמצעות סוכן Bindplane.

‫BMC Client Management היא פלטפורמה לניהול נקודות קצה ב-IT שמשמשת לפריסת תוכנות, לניהול תיקונים, לניהול נכסים ולדיווח על תאימות. הוא יוצר יומנים לפעולות של נקודות קצה, להתקנות תוכנה, לשינויים בהגדרות ולבדיקות תאימות.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

מופע של Google SecOps
‫Windows Server 2016 ואילך, או מארח Linux עם systemd
קישוריות רשת בין סוכן Bindplane לבין שרת BMC Client Management
אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
גישה עם הרשאות אדמין לשרת BMC Client Management

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות עבור Chronicle API (מומלץ)

נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
לוחצים על Create service account.
מספקים את פרטי ההגדרה הבאים:
- Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
- Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
לוחצים על Create and continue.
בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
לוחצים על המשך ואז על סיום.
לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
לוחצים על Add key > Create new key.
בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

נכנסים למסוף Google SecOps.
עוברים אל הגדרות SIEM > סוכני איסוף.
מורידים את קובץ האימות להטמעת נתונים.
שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים מספר לקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Profile.
מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מחכים שההתקנה תסתיים.
מאמתים את ההתקנה על ידי הרצת:
```
sc query observiq-otel-collector
```
השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מחכים שההתקנה תסתיים.
מאמתים את ההתקנה על ידי הרצת:
```
sudo systemctl status observiq-otel-collector
```
השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

‫Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/bmc_client_mgmt:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: BMC_CLIENT_MANAGEMENT
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/bmc_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/bmc_client_mgmt

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

הגדרת מקלט:
- ‫udplog: סוג המקלט לפי הפרוטוקול:
  - ‫udplog ל-UDP syslog
  - ‫tcplog ל-syslog של TCP
- ‫0.0.0.0: כתובת ה-IP להאזנה:
  - ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
  - כתובת IP ספציפית להאזנה בממשק אחד
- ‫514: מספר היציאה להאזנה (לדוגמה, 514, ‏ 1514, ‏ 6514)
הגדרת כלי הייצוא:
- ‫bmc_client_mgmt: שם תיאורי של הכלי לייצוא
- ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
  - Linux: /opt/observiq-otel-collector/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- ‫<customer_id>: מספר הלקוח מהשלב הקודם
- ‫location: מחליפים את <LOCATION> באזור של מופע Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). ערך זה מתווסף לתחילית chronicle.googleapis.com של הכלי לייצוא. לרשימה המלאה, ראו נקודות קצה אזוריות.
- ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט מתוך IAM & Admin > Settings.
- ‫endpoint: משאירים את הערך chronicle.googleapis.com.
- ‫BMC_CLIENT_MANAGEMENT: סוג היומן בדיוק כמו שהוא מופיע ב-Chronicle
- ‫ingestion_labels: תוויות אופציונליות בפורמט YAML (לדוגמה, env: production)
הגדרת צינור עיבוד הנתונים:
- ‫bmc_to_chronicle: שם תיאורי של צינור העיבוד

מייצא API להטמעה מדור קודם

אם משתמשים בקובץ האימות של ההעלאה מאפשרות 2, מחליפים את הבלוק exporters בבלוק הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/bmc_client_mgmt:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: BMC_CLIENT_MANAGEMENT
    raw_log_field: body
    ingestion_labels:
      env: production
```

שמירת קובץ התצורה

אחרי שמסיימים לערוך, שומרים את הקובץ:
- Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
- Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:
```
sudo systemctl restart observiq-otel-collector
```
1. מוודאים שהשירות פועל:
```
sudo systemctl status observiq-otel-collector
```
2. בודקים אם יש שגיאות ביומנים:
```
sudo journalctl -u observiq-otel-collector -f
```
כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:
- שורת הפקודה או PowerShell כאדמין:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- מסוף השירותים:
  1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
  2. מאתרים את observIQ OpenTelemetry Collector.
  3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
  4. מוודאים שהשירות פועל:
```
sc query observiq-otel-collector
```
  5. בודקים אם יש שגיאות ביומנים:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

הגדרת העברת syslog ב-BMC Client Management

נכנסים למסוף הניהול של BMC Client Management באמצעות פרטי כניסה של אדמין.
עוברים אל הגדרות > הגדרות שרת > רישום ביומן.
מפעילים את האפשרות העברה של Syslog חיצוני.
מזינים את פרטי ההגדרה הבאים:
- שרת Syslog: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
- יציאה: מזינים 514 (חייב להיות זהה ליציאת המקלט של סוכן Bindplane).
- פרוטוקול: בוחרים באפשרות UDP.
- רמת היומן: בוחרים באפשרות מידע או ברמה נמוכה יותר כדי לתעד את כל האירועים התפעוליים.
בוחרים את קטגוריות היומנים שרוצים להעביר:
- אירועים של פריסת תוכנה
- אירועים של ניהול תיקונים
- שינויים במלאי הנכסים
- תוצאות בדיקת התאימות
לוחצים על שמירה כדי להחיל את ההגדרה.
כדי לוודא שהודעות syslog מתקבלות, בודקים את יומן הפעילות של סוכן Bindplane.

הערה: ב-BMC Client Management, קובצי היומן נשמרים במערכת הקבצים של השרת. ספריית ברירת המחדל של היומן תלויה בנתיב ההתקנה. מיקומי קובצי היומן המדויקים בסביבה שלכם מפורטים במסמכי התיעוד של BMC Client Management.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
`processing_label`	`additional.fields`	ממוזג
`reading_label`	`additional.fields`	ממוזג
`writing_label`	`additional.fields`	ממוזג
`msg`	`metadata.description`	מיפוי ישיר
`timestamp`	`metadata.event_timestamp`	נותח בתור `dd/MMM/yyyy:HH:mm:ss`
`has_principal`	`metadata.event_type`	מופה: `true` ← `STATUS_UPDATE`
`req_method`	`network.http.method`	מיפוי ישיר
`useragent`	`network.http.parsed_user_agent`	מיפוי ישיר
`status_code`	`network.http.response_code`	מיפוי ישיר
`useragent`	`network.http.user_agent`	מיפוי ישיר
`prin_host`	`principal.asset.hostname`	מיפוי ישיר
`prin_ip`	`principal.asset.ip`	ממוזג
`prin_host`	`principal.hostname`	מיפוי ישיר
`prin_ip`	`principal.ip`	ממוזג
`prin_port`	`principal.port`	מיפוי ישיר
`pid`	`principal.process.pid`	מיפוי ישיר
`url_data`	`principal.url`	מיפוי ישיר
לא רלוונטי	`extensions.auth.type`	קבוע: `MACHINE`
לא רלוונטי	`metadata.event_type`	קבוע: `USER_LOGIN`
לא רלוונטי	`metadata.product_name`	קבוע: `BMC_CLIENT_MANAGEMENT`
לא רלוונטי	`metadata.vendor_name`	קבוע: `BMC_CLIENT_MANAGEMENT`
לא רלוונטי	`network.http.parsed_user_agent`	קבוע: `parseduseragent`

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.