Mengumpulkan log Cisco Vision Dynamic Signage Director

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.

Dokumen ini menjelaskan cara menyerap log Cisco Vision Dynamic Signage Director ke Google Security Operations menggunakan agen Bindplane.

Cisco Vision Dynamic Signage Director (sebelumnya StadiumVision Director) adalah platform pengelolaan konten dan reklame digital yang dirancang untuk stadion, arena, dan tempat besar. Platform ini memungkinkan kontrol dan distribusi konten multimedia terpusat ke layar digital, termasuk dinding video, papan skor, dan papan menu digital di seluruh jaringan lokasi.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan server Cisco Vision Dynamic Signage Director
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke antarmuka web Cisco Vision Dynamic Signage Director dengan peran administrator
• Cisco Vision Dynamic Signage Director Rilis 6.4 atau yang lebih baru (dukungan syslog ditambahkan di Rilis 6.4)

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.

3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

   Catatan: File JSON ini berisi kredensial untuk mengautentikasi agen Bindplane ke Google SecOps.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: customer ID diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

• Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

     msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
     

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

     sc query observiq-otel-collector
     

  Layanan akan ditampilkan sebagai RUNNING.

• Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

     sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
     

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

     sudo systemctl status observiq-otel-collector
     

     Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen BindPlane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

• Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Edit file konfigurasi

1. Ganti seluruh konten config.yaml dengan konfigurasi berikut:

   receivers:
       udplog:
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/cisco_vision:
           compression: gzip
           creds_file_path: '<PLACEHOLDER_CREDS_FILE_PATH>'
           customer_id: '<PLACEHOLDER_CUSTOMER_ID>'
           endpoint: <PLACEHOLDER_REGION_ENDPOINT>
           log_type: CISCO_STADIUMVISION
           raw_log_field: body
           ingestion_labels:
               source: cisco_vision_director
   
   service:
       pipelines:
           logs/cisco_vision_to_chronicle:
               receivers:
                   - udplog
               exporters:
                   - chronicle/cisco_vision
   

2. Ganti placeholder berikut:

   • Konfigurasi penerima:

     • Penerima dikonfigurasi untuk memproses port UDP 514 di semua antarmuka jaringan (0.0.0.0:514)
     • Cisco Vision Director mengirim pesan syslog menggunakan format RFC5424 melalui UDP (transportasi RFC5426)

   • Konfigurasi eksportir:

     • <PLACEHOLDER_CREDS_FILE_PATH>: Jalur lengkap ke file autentikasi penyerapan:
       • Linux: /etc/bindplane-agent/ingestion-auth.json
       • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
     • <PLACEHOLDER_CUSTOMER_ID>: customer ID Anda. Untuk mengetahui detailnya, lihat Mendapatkan ID pelanggan Google SecOps.
     • <PLACEHOLDER_REGION_ENDPOINT>: URL endpoint regional:
       • Amerika Serikat: malachiteingestion-pa.googleapis.com
       • Eropa: europe-malachiteingestion-pa.googleapis.com
       • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
       • Lihat Endpoint Regional untuk mengetahui daftar lengkapnya

Contoh konfigurasi

• Contoh

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/cisco_vision:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: CISCO_STADIUMVISION
          raw_log_field: body
          ingestion_labels:
              source: cisco_vision_director
              env: production
  
  service:
      pipelines:
          logs/cisco_vision_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/cisco_vision
  

Simpan file konfigurasi

Setelah mengedit, simpan file:

• Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
• Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux:

  1. Jalankan perintah berikut:

     sudo systemctl restart observiq-otel-collector
     

  2. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  3. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows:

  1. Pilih salah satu opsi berikut:

     • Command Prompt atau PowerShell sebagai administrator:

       net stop observiq-otel-collector && net start observiq-otel-collector
       

     • Konsol layanan:

       1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
       2. Temukan observIQ OpenTelemetry Collector.
       3. Klik kanan, lalu pilih Mulai Ulang.

  2. Pastikan layanan sedang berjalan:

     sc query observiq-otel-collector
     

  3. Periksa log untuk mengetahui error:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

Mengonfigurasi penerusan syslog Cisco Vision Dynamic Signage Director

Mengaktifkan syslog di Cisco Vision Director

1. Login ke antarmuka web Cisco Vision Dynamic Signage Director dengan kredensial administrator.
2. Buka Configuration > System Configuration > Dynamic Signage Director Setting > Syslog Configuration.
3. Pilih Enable Syslog dari panel Configuration Properties.
4. Klik Edit. Kotak dialog Edit Setelan Konfigurasi akan muncul.
5. Pilih benar dari menu dropdown.

6. Klik Simpan.

   Catatan: Nilai default untuk Aktifkan Syslog adalah false. Menyetelnya ke true memungkinkan Cisco Vision Director mengirim file log sistem ke server syslog eksternal.

Mengonfigurasi port dan alamat IP server syslog

1. Di bagian Syslog Configuration yang sama, pilih Syslog Server IP & Port.
2. Klik Edit. Kotak dialog Edit Konfigurasi akan muncul.
3. Di kolom Value, masukkan alamat IP dan port host agen Bindplane dalam format IP_ADDRESS:PORT.
   • Contoh: 192.168.1.100:514
   • Ganti 192.168.1.100 dengan alamat IP sebenarnya dari host agen Bindplane
   • Gunakan port 514 agar sesuai dengan konfigurasi agen BindPlane
4. Klik Simpan.

5. Verifikasi alamat IP dan port kini muncul di kolom Syslog Server IP & Port.

   Catatan: Cisco Vision Director meneruskan file log sistem menggunakan format RFC5424 (format pesan syslog terbaru) melalui transportasi UDP (RFC5426).

Mengaktifkan penerusan syslog DMP melalui Director (opsional)

Jika Anda ingin meneruskan log sistem Digital Media Player (DMP) melalui Cisco Vision Director ke server syslog eksternal:

1. Di bagian Konfigurasi Syslog, pilih Aktifkan Syslog DMP melalui Director.
2. Klik Edit. Kotak dialog Edit Setelan Konfigurasi akan muncul.
3. Ubah Nilai menjadi benar.

4. Klik Simpan.

   Catatan: Setelan ini memungkinkan file log sistem DMP diteruskan ke server syslog eksternal melalui Cisco Vision Director. Nilai defaultnya adalah false.

Memverifikasi konfigurasi syslog

1. Setelah menyimpan konfigurasi, verifikasi bahwa log dikirim ke agen BindPlane.

2. Periksa log agen Bindplane untuk pesan syslog masuk:

   • Linux:

     sudo journalctl -u observiq-otel-collector -f
     

   • Windows:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

3. Anda akan melihat entri log yang menunjukkan keberhasilan penerimaan dan penerusan pesan syslog Cisco Vision Director.

Referensi konfigurasi tambahan

Untuk mengetahui informasi selengkapnya tentang konfigurasi syslog Cisco Vision Dynamic Signage Director, lihat dokumentasi Cisco berikut:

• Catatan Rilis Cisco Vision Dynamic Signage Director untuk Rilis 6.4
• Panduan Administrasi Cisco Vision Dynamic Signage Director Rilis 6.4

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
intem_host	intermediary.hostname	Nama host perangkat perantara
desc, data	metadata.description	Deskripsi tambahan acara
	metadata.event_type	Jenis peristiwa yang diwakili oleh entri log
event_category	metadata.product_event_type	Jenis peristiwa khusus produk
	network.application_protocol	Protokol aplikasi yang digunakan dalam koneksi
metode	network.http.method	Metode HTTP yang digunakan dalam permintaan
respons	network.http.response_code	Kode respons HTTP
user_agent	network.http.user_agent	String agen pengguna dari permintaan HTTP
ses	network.session_id	ID untuk sesi jaringan
application	principal.application	Aplikasi yang terkait dengan akun utama
prin_ip	principal.ip	Alamat IP yang terkait dengan prinsipal
pid	principal.process.pid	ID proses prinsipal
acct	principal.user.userid	ID pengguna prinsipal
action_result	security_result.action	Tindakan yang dilakukan oleh sistem keamanan
res, task	security_result.action_details	Detail tindakan keamanan
msg_data, desc	security_result.description	Deskripsi hasil keamanan
grantors, method_name, type, name, count, m1_rate, m5_rate, m15_rate, mean_rate, rate_unit, duration_unit	security_result.detection_fields	Kolom tambahan terkait deteksi
tingkat keseriusan,	security_result.severity	Tingkat keparahan hasil keamanan
op, act_detail	security_result.summary	Ringkasan hasil keamanan
exe, ENV	target.file.full_path	Jalur lengkap ke file target
PERINTAH	target.process.command_line	Command line dari proses target
path, url	target.url	URL yang terkait dengan target
PENGGUNA	target.user.userid	ID pengguna target

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.