Apache Cassandra 로그 수집

파서 버전: 4.0

다음에서 지원:

Google secops SIEM

이 문서에서는 Bindplane 에이전트를 사용하여 Apache Cassandra 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

Apache Cassandra는 데이터베이스 작업, 클러스터 이벤트, 시스템 활동에 대한 로그를 생성합니다. 파서는 Grok 패턴과 JSON 필터를 사용하여 필드를 추출한 다음 통합 데이터 모델 (UDM)에 매핑합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

• Google SecOps 인스턴스
• Windows Server 2016 이상 또는 systemd가 설치된 Linux 호스트
• Bindplane 에이전트와 Apache Cassandra 호스트 간 네트워크 연결
• 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
• Apache Cassandra 호스트에 대한 관리 (SSH) 액세스

Google SecOps 수집 인증 파일 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 수집 에이전트로 이동합니다.
3. 데이터 수집 인증 파일 다운로드

4. Bindplane 에이전트가 설치될 시스템에 파일을 안전하게 저장합니다.

   참고: 이 JSON 파일에는 Bindplane 에이전트를 Google SecOps에 인증하기 위한 사용자 인증 정보가 포함되어 있습니다.

Google SecOps 고객 ID 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 프로필로 이동합니다.

3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

   참고: Bindplane 에이전트 내보내기를 구성하려면 고객 ID가 필요합니다.

Bindplane 에이전트 설치

다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.

Windows 설치

1. 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.

2. 다음 명령어를 실행합니다.

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 설치가 완료될 때까지 기다립니다.

4. 다음을 실행하여 설치를 확인합니다.

   sc query observiq-otel-collector
   

   서비스가 실행 중으로 표시되어야 합니다.

Linux 설치

1. 루트 또는 sudo 권한으로 터미널을 엽니다.

2. 다음 명령어를 실행합니다.

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 설치가 완료될 때까지 기다립니다.

4. 다음을 실행하여 설치를 확인합니다.

   sudo systemctl status observiq-otel-collector
   

   서비스가 active (running)으로 표시되어야 합니다.

추가 설치 리소스

추가 설치 옵션 및 문제 해결은 Bindplane 에이전트 설치 가이드를 참고하세요.

syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성

구성 파일 찾기

• Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

구성 파일 설정

• config.yaml의 전체 내용을 다음 구성으로 바꿉니다.

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/cassandra:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: CASSANDRA
          raw_log_field: body
  
  service:
      pipelines:
          logs/cassandra_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/cassandra
  

구성 매개변수

다음 자리표시자를 바꿉니다.

• 수신기 구성:

  • listen_address: 리슨할 IP 주소 및 포트입니다.
    • 0.0.0.0: 모든 인터페이스에서 수신 대기 (권장)
    • 포트 514는 표준 syslog 포트입니다 (Linux에서 루트 필요, 비루트의 경우 1514 사용).

• 내보내기 도구 구성:

  • creds_file_path: 수집 인증 파일의 전체 경로입니다.
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: Google SecOps 콘솔에서 복사한 고객 ID
  • endpoint: 지역 엔드포인트 URL:
    • 미국: malachiteingestion-pa.googleapis.com
    • 유럽: europe-malachiteingestion-pa.googleapis.com
    • 아시아: asia-southeast1-malachiteingestion-pa.googleapis.com
    • 전체 목록은 리전 엔드포인트를 참고하세요.

구성 파일 저장

• 수정 후 파일을 저장합니다.
  • Linux: Ctrl+O, Enter, Ctrl+X 순서로 누릅니다.
  • Windows: 파일 > 저장을 클릭합니다.

변경사항을 적용하려면 Bindplane 에이전트를 다시 시작하세요.

• Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

  sudo systemctl restart observiq-otel-collector
  

  1. 서비스가 실행 중인지 확인합니다.

     ```bash
     sudo systemctl status observiq-otel-collector
     ```
     

  2. 로그에서 오류를 확인합니다.

     ```bash
     sudo journalctl -u observiq-otel-collector -f
     ```
     

• Windows에서 Bindplane 에이전트를 다시 시작하려면 다음 옵션 중 하나를 선택하세요.

  • 명령 프롬프트 또는 PowerShell(관리자 권한)

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • 서비스 콘솔:

    1. Win+R 키를 누르고 services.msc를 입력한 다음 Enter 키를 누릅니다.
    2. observIQ OpenTelemetry Collector를 찾습니다.
    3. 마우스 오른쪽 버튼을 클릭하고 다시 시작을 선택합니다.

    4. 서비스가 실행 중인지 확인합니다.

       sc query observiq-otel-collector
       

    5. 로그에서 오류를 확인합니다.

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Apache Cassandra에서 syslog 내보내기 구성

1. SSH를 사용하여 Apache Cassandra 호스트에 로그인합니다.

2. 구성 파일 logback.xml를 엽니다.

   • Apache Cassandra (대부분의 버전): $(CASSANDRA_HOME)/conf
   • Datastax Enterprise (패키지 설치): /etc/dse
   • Datastax Enterprise (tar 설치): $(TARBALL_ROOT)/resources/cassandra/conf

3. 다음 Appender 정의를 logback.xml 파일의 28번째 줄에 추가합니다.

   <appender name="SYSLOG" class="ch.qos.logback.classic.net.SyslogAppender">
       <syslogHost>BINDPLANE_IP</syslogHost>
       <port>BINDPLANE_PORT</port>
       <facility>LOCAL7</facility>
       <throwableExcluded>true</throwableExcluded>
       <suffixPattern>%thread:%level:%logger{36}:%msg</suffixPattern>
   </appender>
   

4. BINDPLANE_IP 및 BINDPLANE_PORT를 실제 Bindplane 에이전트 IP 주소 및 포트로 바꿉니다.

5. logback.xml 파일의 루트 로거 블록 <root level="INFO">에 다음 코드를 추가합니다.

   이 줄이 삽입되는 위치는 Apache Cassandra 버전에 따라 다릅니다.

   • Apache Cassandra 5.0.x, Line 123
   • Apache Cassandra 4.0.x 및 4.1.x, 115번 줄
   • Apache Cassandra 3.11.x 및 3.0.x, 92번 줄
   • Datastax Enterprise (모든 버전), 121번 라인

   <appender-ref ref="SYSLOG" />
   

UDM 매핑 테이블

로그 필드	UDM 매핑	논리
agent.ephemeral_id	observer.labels.value	내부 JSON 메시지의 agent.ephemeral_id 값입니다.
agent.hostname	observer.hostname	내부 JSON 메시지의 agent.hostname 값입니다.
agent.id	observer.asset_id	filebeat:와 내부 JSON 메시지의 agent.id 값이 연결된 값입니다.
agent.name	observer.user.userid	내부 JSON 메시지의 agent.name 값입니다.
agent.type	observer.application	내부 JSON 메시지의 agent.type 값입니다.
agent.version	observer.platform_version	내부 JSON 메시지의 agent.version 값입니다.
cloud.availability_zone	principal.cloud.availability_zone	내부 JSON 메시지의 cloud.availability_zone 값입니다.
cloud.instance.id	principal.resource.product_object_id	내부 JSON 메시지의 cloud.instance.id 값입니다.
cloud.instance.name	principal.resource.name	내부 JSON 메시지의 cloud.instance.name 값입니다.
cloud.machine.type	principal.resource.attribute.labels.value	해당 key이 machine_type인 내부 JSON 메시지의 cloud.machine.type 값입니다.
cloud.provider	principal.resource.attribute.labels.value	해당 key이 provider인 내부 JSON 메시지의 cloud.provider 값입니다.
event_metadata._id	metadata.product_log_id	내부 JSON 메시지의 event_metadata._id 값입니다.
event_metadata.version	metadata.product_version	내부 JSON 메시지의 event_metadata.version 값입니다.
host.architecture	target.asset.hardware.cpu_platform	내부 JSON 메시지의 host.architecture 값입니다.
host.fqdn	target.administrative_domain	내부 JSON 메시지의 host.fqdn 값입니다.
host.hostname	target.hostname	내부 JSON 메시지의 host.hostname 값입니다.
host.id	target.asset.asset_id	Host Id:와 내부 JSON 메시지의 host.id 값이 연결된 값입니다.
host.ip	target.asset.ip	내부 JSON 메시지의 host.ip에서 가져온 IP 주소 배열입니다.
host.mac	target.mac	내부 JSON 메시지의 host.mac에 있는 MAC 주소의 배열입니다.
host.os.kernel	target.platform_patch_level	내부 JSON 메시지의 host.os.kernel 값입니다.
host.os.platform	target.platform	host.os.platform가 debian이면 LINUX로 설정합니다.
host.os.version	target.platform_version	내부 JSON 메시지의 host.os.version 값입니다.
hostname	principal.hostname	grok을 사용하여 message 필드에서 추출한 hostname 값입니다.
key	security_result.detection_fields.value	grok을 사용하여 message 필드에서 추출된 key 값입니다. 여기서 해당 key은 key입니다.
log.file.path	principal.process.file.full_path	내부 JSON 메시지의 log.file.path 값입니다.
log_level	security_result.severity	log_level 값에 따라 매핑됩니다. DEBUG, INFO, AUDIT는 INFORMATIONAL에 매핑되고, ERROR는 ERROR에 매핑되고, WARNING는 MEDIUM에 매핑됩니다.
log_level	security_result.severity_details	grok을 사용하여 message 필드에서 추출한 log_level 값입니다.
log_type	metadata.log_type	원시 로그의 log_type 값입니다.
message	security_result.description	grok을 사용하여 message 필드에서 추출한 설명입니다.
message	target.process.command_line	grok을 사용하여 message 필드에서 추출한 명령줄입니다.
now	security_result.detection_fields.value	grok을 사용하여 message 필드에서 추출된 now 값입니다. 여기서 해당 key는 now입니다. grok을 사용하여 message 필드에서 추출한 event_time 필드에서 파싱됩니다. hostname과 host.hostname가 모두 있으면 USER_RESOURCE_ACCESS로 설정하고, 그렇지 않으면 GENERIC_EVENT로 설정합니다. CASSANDRA로 설정합니다. CASSANDRA로 설정합니다. ephemeral_id로 설정합니다. cloud.instance.name이 있으면 VIRTUAL_MACHINE로 설정합니다. 해당 감지 필드에 대해 key 및 now로 설정합니다.
timestamp	timestamp	원시 로그의 create_time 필드에서 가져옵니다.
authenticated_var	event.idm.read_only_udm.principal.user.userid	변경 로그에서 매핑됨
authenticated_var	event.idm.read_only_udm.target.user.userid	변경 로그에서 매핑됨
user_var	event.idm.read_only_udm.target.user.userid	변경 로그에서 매핑됨
operation	event.idm.read_only_udm.security_result.description	변경 로그에서 매핑됨
operation	event.idm.read_only_udm.target.process.command_line	변경 로그에서 매핑됨

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.