Mengumpulkan log Cimcor CimTrak

Parser Version: 1.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Cimcor CimTrak ke Google Security Operations menggunakan agen Bindplane.

Cimcor CimTrak adalah platform pemantauan integritas file (FIM) untuk mendeteksi perubahan yang tidak sah pada file, konfigurasi, dan setelan sistem. Platform ini menyediakan peristiwa pemantauan integritas real-time dengan konteks forensik lengkap, termasuk siapa, apa, kapan, dan bagaimana perubahan terjadi. CimTrak mendukung beberapa format output log, termasuk CEF (Common Event Format), LEEF (Log Event Extended Format), dan MEF (Micro Event Format).

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan Cimcor CimTrak
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke konsol pengelolaan Cimcor CimTrak dengan izin administrator

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download File Autentikasi Penyerapan.

4. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

   Catatan: File JSON ini berisi kredensial untuk mengautentikasi agen Bindplane ke Google SecOps.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Edit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/cimtrak:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: CIMCOR
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/cimtrak_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/cimtrak
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • tcplog: Jenis penerima berdasarkan protokol:
    • udplog untuk syslog UDP
    • tcplog untuk syslog TCP
  • 0.0.0.0: Alamat IP yang akan didengarkan:
    • 0.0.0.0 untuk mendengarkan di semua antarmuka (direkomendasikan)
    • Alamat IP tertentu untuk memproses permintaan di satu antarmuka
  • 514: Nomor port yang akan diproses (misalnya, 514, 1514, 6514)

• Konfigurasi pengekspor:

  • cimtrak: Nama deskriptif untuk eksportir
  • creds_file_path: Jalur lengkap ke file autentikasi penyerapan:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <customer_id>: ID Pelanggan dari langkah sebelumnya
  • endpoint: URL endpoint regional:
    • Amerika Serikat: malachiteingestion-pa.googleapis.com
    • Eropa: europe-malachiteingestion-pa.googleapis.com
    • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Lihat Endpoint Regional untuk mengetahui daftar lengkapnya
  • CIMCOR: Jenis log persis seperti yang muncul di Chronicle
  • ingestion_labels: Label opsional dalam format YAML (misalnya, env: production)

• Konfigurasi pipeline:

  • cimtrak_to_chronicle: Nama deskriptif untuk pipeline

Simpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol layanan:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Mulai ulang.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi penerusan syslog Cimcor CimTrak

1. Login ke konsol pengelolaan CimTrak dengan kredensial administrator.
2. Buka setelan Administrasi > Sistem atau Penerusan Peristiwa.
3. Cari bagian konfigurasi Integrasi SIEM atau Syslog.

4. Konfigurasi parameter berikut:

   Setelan	Nilai
   IP/nama host server Syslog	Masukkan alamat IP atau nama host Bindplane agent host
   Port	Masukkan port yang cocok dengan konfigurasi penerima agen BindPlane (misalnya, 514)
   Protokol	Pilih TCP atau UDP agar sesuai dengan jenis penerima Bindplane
   Format log	Pilih CEF, LEEF, atau MEF berdasarkan persyaratan Anda

5. (Opsional) Konfigurasi filter untuk mengirim hanya kategori peristiwa tertentu (misalnya, hanya peringatan penting) atau semua peristiwa.

6. Klik Simpan dan pastikan peristiwa muncul di log agen Bindplane.

   Catatan: Navigasi UI yang tepat dapat bervariasi bergantung pada versi CimTrak Anda. Untuk mengetahui petunjuk mendetail khusus untuk versi Anda, lihat bagian Integrasi SIEM dalam dokumentasi produk CimTrak atau hubungi dukungan Cimcor.

Tabel pemetaan UDM

Catatan: Tidak ada referensi pemetaan UDM yang tersedia untuk jenis log ini.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.