Mengumpulkan log Cisco Vision Dynamic Signage Director (sebelumnya StadiumVision Director)

Parser Version: 1.0

Didukung di:

Dokumen ini menjelaskan cara menyerap log Cisco Vision Dynamic Signage Director (sebelumnya dikenal sebagai StadiumVision Director) ke Google Security Operations menggunakan Bindplane.

Cisco Vision Dynamic Signage Director adalah platform pengelolaan konten dan reklame digital yang dirancang untuk stadion, arena, dan tempat besar. Platform ini memungkinkan kontrol dan distribusi konten multimedia terpusat ke layar digital, termasuk dinding video, papan skor, dan papan menu digital di seluruh jaringan tempat.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Konektivitas jaringan antara agen Bindplane dan server Cisco Vision Dynamic Signage Director
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
  • Akses istimewa ke antarmuka web Cisco Vision Dynamic Signage Director dengan peran administrator
  • Cisco Vision Dynamic Signage Director Rilis 6.4 atau yang lebih baru (dukungan syslog ditambahkan di Rilis 6.4)

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sc query observiq-otel-collector

Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sudo systemctl status observiq-otel-collector

Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

  • Cari file konfigurasi di sistem operasi Anda sebagai berikut:

    • Linux:
    sudo systemctl status observiq-otel-collector
    • Windows:
    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

  • Ganti seluruh konten config.yaml dengan konfigurasi berikut:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/cisco_vision:
        compression: gzip
        creds_file_path: '<PLACEHOLDER_CREDS_FILE_PATH>'
        customer_id: '<PLACEHOLDER_CUSTOMER_ID>'
        endpoint: <PLACEHOLDER_REGION_ENDPOINT>
        log_type: CISCO_STADIUMVISION
        raw_log_field: body
        ingestion_labels:
            source: cisco_vision_director

service:
    pipelines:
        logs/cisco_vision_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/cisco_vision

Parameter konfigurasi

Ganti placeholder berikut:

  • Konfigurasi penerima:

    • Penerima dikonfigurasi untuk memproses di port UDP 514 di semua antarmuka jaringan (0.0.0.0:514)
    • Cisco Vision Director mengirim pesan syslog menggunakan format RFC 5424 melalui UDP (transportasi RFC 5426)

  • Konfigurasi pengekspor:

    • <PLACEHOLDER_CREDS_FILE_PATH>: Jalur lengkap ke file autentikasi penyerapan:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <PLACEHOLDER_CUSTOMER_ID>: ID pelanggan Google SecOps Anda
    • <PLACEHOLDER_REGION_ENDPOINT>: URL endpoint regional:
      • Amerika Serikat: malachiteingestion-pa.googleapis.com
      • Eropa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Lihat Endpoint Regional untuk mengetahui daftar lengkapnya

  • Contoh konfigurasi

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/cisco_vision:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CISCO_STADIUMVISION
        raw_log_field: body
        ingestion_labels:
            source: cisco_vision_director
            env: production

service:
    pipelines:
        logs/cisco_vision_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/cisco_vision

Simpan file konfigurasi

  • Setelah mengedit, simpan file:
    • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
    • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux:

  1. Jalankan perintah berikut:

    sudo systemctl restart observiq-otel-collector

  2. Pastikan layanan sedang berjalan:

    sudo systemctl status observiq-otel-collector

  3. Periksa log untuk mengetahui error:

    sudo journalctl -u observiq-otel-collector -f

Untuk memulai ulang agen Bindplane di Windows:

  1. Pilih salah satu opsi berikut:

    • Command Prompt atau PowerShell sebagai administrator:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Konsol layanan:
      1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
      2. Cari observIQ OpenTelemetry Collector.
      3. Klik kanan, lalu pilih Mulai ulang.

  2. Pastikan layanan sedang berjalan:

    sc query observiq-otel-collector

  3. Periksa log untuk mengetahui error:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi penerusan syslog Cisco Vision Dynamic Signage Director

Mengaktifkan syslog di Cisco Vision Director

  1. Login ke antarmuka web Cisco Vision Dynamic Signage Director dengan kredensial administrator.
  2. Buka Configuration > System Configuration > Dynamic Signage Director Setting > Syslog Configuration.
  3. Pilih Enable Syslog dari panel Configuration Properties.
  4. Klik Edit. Kotak dialog Edit Setelan Konfigurasi akan muncul.
  5. Pilih true dari menu dropdown.
  6. Klik Simpan.

Mengonfigurasi port dan alamat IP server syslog

  1. Di bagian Syslog Configuration yang sama, pilih Syslog Server IP & Port.
  2. Klik Edit. Kotak dialog Edit Konfigurasi akan muncul.
  3. Di kolom Value, masukkan alamat IP dan port host agen Bindplane dalam format IP_ADDRESS:PORT.
    • Contoh: 192.168.1.100:514
    • Ganti 192.168.1.100 dengan alamat IP sebenarnya dari host agen Bindplane
    • Gunakan port 514 agar sesuai dengan konfigurasi agen Bindplane
  4. Klik Simpan.
  5. Pastikan alamat IP dan port kini muncul di kolom Syslog Server IP & Port.

Mengaktifkan penerusan syslog DMP melalui Director (opsional)

Jika Anda ingin meneruskan log sistem Digital Media Player (DMP) melalui Cisco Vision Director ke server syslog eksternal:

  1. Di bagian Syslog Configuration, pilih Enable DMP Syslog through Director.
  2. Klik Edit. Kotak dialog Edit Setelan Konfigurasi akan muncul.
  3. Ubah Nilai menjadi benar.
  4. Klik Simpan.

Memverifikasi konfigurasi syslog

  1. Setelah menyimpan konfigurasi, verifikasi bahwa log dikirim ke agen BindPlane.

  2. Periksa log agen Bindplane untuk pesan syslog masuk:

    • Linux:
    sudo journalctl -u observiq-otel-collector -f
    • Windows:
    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

  3. Anda akan melihat entri log yang menunjukkan keberhasilan penerimaan dan penerusan pesan syslog Cisco Vision Director.

Referensi konfigurasi tambahan

Untuk mengetahui informasi selengkapnya tentang konfigurasi syslog Cisco Vision Dynamic Signage Director, lihat dokumentasi Cisco berikut:

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
intem_host intermediary.hostname Nama host perangkat perantara
deskripsi, data metadata.description Deskripsi tambahan acara
metadata.event_type Jenis peristiwa yang diwakili oleh entri log
event_category metadata.product_event_type Jenis peristiwa khusus produk
network.application_protocol Protokol aplikasi yang digunakan dalam koneksi
metode network.http.method Metode HTTP yang digunakan dalam permintaan
respons network.http.response_code Kode respons HTTP
user_agent network.http.user_agent String agen pengguna dari permintaan HTTP
ses network.session_id ID untuk sesi jaringan
application principal.application Aplikasi yang terkait dengan akun utama
prin_ip principal.ip Alamat IP yang terkait dengan prinsipal
pid principal.process.pid ID proses prinsipal
acct principal.user.userid ID pengguna prinsipal
action_result security_result.action Tindakan yang dilakukan oleh sistem keamanan
res, task security_result.action_details Detail tindakan keamanan
msg_data, desc security_result.description Deskripsi hasil keamanan
grantors, method_name, type, name, count, m1_rate, m5_rate, m15_rate, mean_rate, rate_unit, duration_unit security_result.detection_fields Kolom tambahan terkait deteksi
tingkat keseriusan, security_result.severity Tingkat keparahan hasil keamanan
op, act_detail security_result.summary Ringkasan hasil keamanan
exe, ENV target.file.full_path Jalur lengkap ke file target
PERINTAH target.process.command_line Command line dari proses target
path, url target.url URL yang terkait dengan target
PENGGUNA target.user.userid ID pengguna target

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.