Mengumpulkan log CA LDAP

Versi Parser: 2.0

Didukung di:

Dokumen ini menjelaskan cara menyerap log CA LDAP ke Google Security Operations menggunakan agen Bindplane.

CA Directory (sebelumnya Symantec Directory) adalah server direktori yang mematuhi LDAP v2/v3 berdasarkan standar X.500. Layanan ini menyediakan layanan direktori tingkat perusahaan dengan kemampuan logging yang komprehensif, termasuk log alarm, pelacakan, peringatan, kueri, ringkasan, koneksi, diagnostik, update, dan statistik untuk memantau operasi direktori dan peristiwa keamanan.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Konektivitas jaringan antara agen Bindplane dan server Direktori CA
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
  • Akses istimewa ke server CA Directory (root atau administrator)
  • CA Directory diinstal dan dikonfigurasi dengan logging diaktifkan

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

  • Deployment baru: Gunakan Chronicle API (Opsi 1).
  • Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.
  1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
  2. Buka IAM & Admin > Service Accounts.
  3. Klik Create service account.
  4. Berikan detail konfigurasi berikut:
    • Nama akun layanan: Masukkan nama untuk akun (misalnya, bindplane-ingest).
    • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
  5. Klik Create and continue.
  6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
  7. Klik Continue lalu klik Done.
  8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
  9. Klik Add key > Create new key.
  10. Pilih JSON, lalu klik Create. File kunci didownload ke komputer Anda.
  11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
  12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

  1. Login ke konsol Google SecOps.
  2. Buka SIEM Settings > Collection Agents.
  3. Download file autentikasi penyerapan.
  4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka SIEM Settings > Profile.

  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

  • Penginstalan Windows

    1. Buka Command Prompt atau PowerShell sebagai administrator.

    2. Jalankan perintah berikut:

      msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

    3. Tunggu hingga penginstalan selesai.

    4. Verifikasi penginstalan dengan menjalankan:

      sc query observiq-otel-collector

      Layanan akan ditampilkan sebagai RUNNING.

  • Penginstalan Linux

    1. Buka terminal dengan hak istimewa root atau sudo.

    2. Jalankan perintah berikut:

      sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

    3. Tunggu hingga penginstalan selesai.

    4. Verifikasi penginstalan dengan menjalankan:

      sudo systemctl status observiq-otel-collector

      Layanan akan ditampilkan sebagai active (running).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

  1. Ganti seluruh konten config.yaml dengan konfigurasi berikut:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/ca_directory:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: CA_LDAP
    raw_log_field: body
    ingestion_labels:
      env: production
      source: ca_directory

service:
  pipelines:
    logs/ca_directory_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/ca_directory

  2. Ganti placeholder berikut:

    • Konfigurasi penerima:

      • listen_address: Menetapkan ke 0.0.0.0:514 untuk memproses semua antarmuka di port UDP 514

        • Untuk penginstalan non-root Linux, gunakan port 1514 atau yang lebih tinggi
        • Pastikan port cocok dengan port yang dikonfigurasi dalam penerusan rsyslog

    • Konfigurasi pengekspor:

      • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):

        • Linux: /opt/observiq-otel-collector/ingestion-auth.json
        • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

      • customer_id: Ganti YOUR_CUSTOMER_ID dengan customer ID Anda. Untuk mengetahui detailnya, lihat Mendapatkan ID pelanggan Google SecOps.

      • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan menambahkan awalan chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.

      • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.

      • endpoint: Tetap tetapkan ke chronicle.googleapis.com.

      • log_type: Setel ke CA_LDAP (Label penyerapan Chronicle untuk CA Directory)

      • ingestion_labels: Label opsional untuk pemfilteran dan pengorganisasian

Pengekspor API penyerapan lama

  • Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur file autentikasi penyerapan, dan jika instance Anda berada di luar Amerika Serikat, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/ca_directory:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CA_LDAP
    raw_log_field: body
    ingestion_labels:
      env: production
      source: ca_directory

Simpan file konfigurasi

Setelah mengedit, simpan file:

  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux:

    1. Jalankan perintah berikut:

      sudo systemctl restart observiq-otel-collector

    2. Pastikan layanan sedang berjalan:

      sudo systemctl status observiq-otel-collector

    3. Periksa log untuk mengetahui error:

      sudo journalctl -u observiq-otel-collector -f

  • Untuk memulai ulang agen Bindplane di Windows:

    1. Pilih salah satu opsi berikut:

      • Command Prompt atau PowerShell sebagai administrator:

        net stop observiq-otel-collector && net start observiq-otel-collector

      • Konsol Services:

        1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
        2. Cari observIQ OpenTelemetry Collector.
        3. Klik kanan, lalu pilih Mulai ulang.

    2. Pastikan layanan sedang berjalan:

      sc query observiq-otel-collector

    3. Periksa log untuk mengetahui error:

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi penerusan syslog LDAP CA menggunakan rsyslog

Bagian ini menjelaskan cara mengonfigurasi rsyslog di server CA Directory untuk meneruskan log ke agen Bindplane.

Mengidentifikasi lokasi file log CA Directory

CA Directory menyimpan file log di lokasi berikut:

  • Linux: /opt/CA/Directory/dxserver/logs/
  • Windows: C:\Program Files\CA\Directory\dxserver\logs\

File log mengikuti pola penamaan berdasarkan nama DSA (misalnya, democorp_alarm, democorp_warn, democorp_trace).

Jenis log yang tersedia

CA Directory menghasilkan jenis log berikut:

  • Log alarm: Peristiwa penting (selalu diaktifkan)
  • Log peringatan: Error dan peringatan
  • Log rekaman aktivitas: Pelacakan operasi mendetail
  • Log kueri: Informasi operasi mendetail dengan stempel waktu
  • Log ringkasan: Ringkasan operasi
  • Log koneksi: Peristiwa koneksi dan koneksi terputus
  • Log diagnostik: Operasi yang ditolak
  • Log statistik: Statistik operasional per menit
  • Log pembaruan: Operasi penambahan, pengubahan, penggantian nama, dan penghapusan
  • Log waktu: Informasi pengaturan waktu operasi

Mengonfigurasi rsyslog di Linux

  1. Masuk ke server direktori CA sebagai root atau dengan hak istimewa sudo.

  2. Instal rsyslog jika belum diinstal:

    sudo yum install rsyslog

    Atau untuk Debian/Ubuntu:

    sudo apt-get install rsyslog

  3. Buat file konfigurasi rsyslog baru untuk CA Directory:

    sudo nano /etc/rsyslog.d/ca-directory.conf

  4. Tambahkan konfigurasi berikut untuk meneruskan log CA Directory:

    # Load the imfile module for file monitoring
module(load="imfile" PollingInterval="10")

# Monitor CA Directory alarm logs
input(type="imfile"
    File="/opt/CA/Directory/dxserver/logs/*_alarm*"
    Tag="ca-directory-alarm"
    Severity="error"
    Facility="local0")

# Monitor CA Directory warn logs
input(type="imfile"
    File="/opt/CA/Directory/dxserver/logs/*_warn*"
    Tag="ca-directory-warn"
    Severity="warning"
    Facility="local0")

# Monitor CA Directory trace logs
input(type="imfile"
    File="/opt/CA/Directory/dxserver/logs/*_trace*"
    Tag="ca-directory-trace"
    Severity="info"
    Facility="local0")

# Monitor CA Directory query logs
input(type="imfile"
    File="/opt/CA/Directory/dxserver/logs/*_query*"
    Tag="ca-directory-query"
    Severity="info"
    Facility="local0")

# Monitor CA Directory connection logs
input(type="imfile"
    File="/opt/CA/Directory/dxserver/logs/*_connection*"
    Tag="ca-directory-connection"
    Severity="info"
    Facility="local0")

# Monitor CA Directory update logs
input(type="imfile"
    File="/opt/CA/Directory/dxserver/logs/*_update*"
    Tag="ca-directory-update"
    Severity="info"
    Facility="local0")

# Forward all CA Directory logs to Bindplane agent
if $syslogtag contains 'ca-directory' then @@BINDPLANE_AGENT_IP:514
& stop

  5. Ganti BINDPLANE_AGENT_IP dengan alamat IP host agen Bindplane:

    • Jika agen Bindplane berada di server yang sama: 127.0.0.1
    • Jika agen BindPlane berada di server yang berbeda: Masukkan alamat IP (misalnya, 192.168.1.100)

  6. Simpan file konfigurasi:

    Tekan Ctrl+O, lalu Enter, lalu Ctrl+X

  7. Verifikasi sintaksis konfigurasi rsyslog:

    sudo rsyslogd -N1

  8. Mulai ulang layanan rsyslog:

    sudo systemctl restart rsyslog

  9. Pastikan rsyslog berjalan:

    sudo systemctl status rsyslog

  10. Periksa log rsyslog untuk mengetahui error:

    sudo tail -f /var/log/messages

Mengonfigurasi rsyslog di Windows

  1. Download dan instal rsyslog untuk Windows dari situs rsyslog.

  2. Buka file konfigurasi rsyslog:

    notepad "C:\Program Files\rsyslog\rsyslog.conf"

  3. Tambahkan konfigurasi berikut:

    # Load the imfile module for file monitoring
module(load="imfile" PollingInterval="10")

# Monitor CA Directory alarm logs
input(type="imfile"
    File="C:\\Program Files\\CA\\Directory\\dxserver\\logs\\*_alarm*"
    Tag="ca-directory-alarm"
    Severity="error"
    Facility="local0")

# Monitor CA Directory warn logs
input(type="imfile"
    File="C:\\Program Files\\CA\\Directory\\dxserver\\logs\\*_warn*"
    Tag="ca-directory-warn"
    Severity="warning"
    Facility="local0")

# Monitor CA Directory trace logs
input(type="imfile"
    File="C:\\Program Files\\CA\\Directory\\dxserver\\logs\\*_trace*"
    Tag="ca-directory-trace"
    Severity="info"
    Facility="local0")

# Forward all CA Directory logs to Bindplane agent
if $syslogtag contains 'ca-directory' then @@BINDPLANE_AGENT_IP:514
& stop

  4. Ganti BINDPLANE_AGENT_IP dengan alamat IP host agen Bindplane.

  5. Simpan file konfigurasi.

  6. Mulai ulang layanan rsyslog:

    net stop rsyslog
net start rsyslog

Mengaktifkan logging Direktori CA

Pastikan jenis log yang diperlukan diaktifkan di CA Directory:

  1. Edit file konfigurasi DSA:

    • Linux: /opt/CA/Directory/dxserver/config/servers/democorp.dxc
    • Windows: C:\Program Files\CA\Directory\dxserver\config\servers\democorp.dxc

  2. Verifikasi atau tambahkan setelan logging berikut:

        set alarm-log = true;
    set warn-log = true;
    set trace-log = true;
    set query-log = true;
    set connection-log = true;
    set update-log = true;

  3. Simpan file konfigurasi.

  4. Mulai ulang DSA CA Directory:

    • Linux:

      dxserver stop democorp
dxserver start democorp

    • Windows:

      net stop "CA Directory DSA - democorp"
net start "CA Directory DSA - democorp"

Memverifikasi penerusan log

  1. Buat aktivitas pengujian di CA Directory dengan melakukan kueri LDAP atau upaya autentikasi.

  2. Periksa log agen Bindplane untuk memverifikasi bahwa log diterima:

    • Linux:

      sudo journalctl -u observiq-otel-collector -f

    • Windows:

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

  3. Login ke konsol Google SecOps dan pastikan log CA Directory muncul di penampil log.

Untuk mengetahui informasi selengkapnya tentang logging CA Directory, lihat dokumentasi Broadcom CA Directory.

Untuk contoh konfigurasi rsyslog yang mendetail, lihat artikel Broadcom Knowledge Base tentang logging terpusat.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
agent.ephemeral_id, logstash.irm_region, logstash.irm_environment, logstash.irm_site, host.os.name additional.fields Digabungkan sebagai label dengan kunci "ephemeral_id", "irm_region", "irm_environment", "irm_site", "os_name"
host.architecture hardware.cpu_platform Nilai disalin langsung
logstash.process.host intermediary.hostname Nilai disalin secara langsung
logstash.collect.timestamp metadata.collected_timestamp Diurai sebagai stempel waktu menggunakan filter tanggal
msg metadata.description Nilai disalin secara langsung
metadata.event_type Tetapkan ke "STATUS_UPDATE"
agent.type, agent.version observer.application Digabungkan sebagai "%{agent.type} %{agent.version}" jika keduanya tidak kosong, atau "%{agent.type}"
agent.type, agent.id observer.asset_id Digabungkan sebagai "%{agent.type}: %{agent.id}"
agent.hostname observer.hostname Nilai disalin secara langsung
host.id principal.asset.asset_id Digabungkan sebagai "CA_LDAP:%{host.id}"
hardware principal.asset.hardware Digabungkan dari objek hardware
host.hostname principal.hostname Nilai disalin secara langsung
host.ip principal.ip Digabungkan dari array host.ip
host.mac principal.mac Digabungkan dari array host.mac
host.os.family principal.platform Tetapkan ke "LINUX" jika cocok dengan "(rhel|redhat)"
host.os.kernel principal.platform_patch_level Nilai disalin langsung
host.os.version principal.platform_version Nilai disalin secara langsung
log.file.path principal.process.file.full_path Nilai disalin langsung
syslog_severity security_result.severity Setel ke "INFORMATIONAL" jika cocok dengan "(?i)(DEFAULT|DEBUG|INFO|NOTICE)", "ERROR" jika cocok dengan "(?i)ERROR", "MEDIUM" jika cocok dengan "(?i)WARNING", "HIGH" jika cocok dengan "(?i)(CRITICAL|ALERT|EMERGENCY)"
syslog_severity security_result.severity_details Nilai disalin langsung
metadata.product_name Tetapkan ke "CA_LDAP"
metadata.vendor_name Tetapkan ke "CA_LDAP"

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.