Mengumpulkan log Cisco Vision Dynamic Signage Director (sebelumnya StadiumVision Director)

Parser Version: 1.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Cisco Vision Dynamic Signage Director (sebelumnya dikenal sebagai StadiumVision Director) ke Google Security Operations menggunakan Bindplane.

Cisco Vision Dynamic Signage Director adalah platform pengelolaan konten dan reklame digital yang dirancang untuk stadion, arena, dan tempat besar. Solusi ini memungkinkan kontrol dan distribusi konten multimedia terpusat ke layar digital, termasuk video wall, papan skor, dan papan menu digital di seluruh jaringan tempat.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan server Cisco Vision Dynamic Signage Director
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke antarmuka web Cisco Vision Dynamic Signage Director dengan peran administrator
• Cisco Vision Dynamic Signage Director Rilis 6.4 atau yang lebih baru (dukungan syslog ditambahkan di Rilis 6.4)

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Buat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan ganti kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Berencana beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

Layanan akan ditampilkan sebagai active (running).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen Bindplane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan Bindplane collector v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

• Temukan file konfigurasi di sistem operasi Anda sebagai berikut:

  • Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

  • Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/cisco_vision:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '<PLACEHOLDER_CREDS_FILE_PATH>'
      customer_id: '<PLACEHOLDER_CUSTOMER_ID>'
      endpoint: chronicle.googleapis.com
      log_type: CISCO_STADIUMVISION
      raw_log_field: body
      ingestion_labels:
        source: cisco_vision_director
  
  service:
    pipelines:
      logs/cisco_vision_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/cisco_vision
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • Penerima dikonfigurasi untuk memproses port UDP 514 di semua antarmuka jaringan (0.0.0.0:514)
  • Cisco Vision Director mengirim pesan syslog menggunakan format RFC 5424 melalui UDP (transportasi RFC 5426)

• Konfigurasi pengekspor:

  • <PLACEHOLDER_CREDS_FILE_PATH>: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <PLACEHOLDER_CUSTOMER_ID>: ID pelanggan Google SecOps Anda
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap disetel ke chronicle.googleapis.com.

• Contoh konfigurasi

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/cisco_vision:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
      endpoint: chronicle.googleapis.com
      log_type: CISCO_STADIUMVISION
      raw_log_field: body
      ingestion_labels:
        source: cisco_vision_director
        env: production
  
  service:
    pipelines:
      logs/cisco_vision_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/cisco_vision
  

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/cisco_vision:
      compression: gzip
      creds_file_path: '<PLACEHOLDER_CREDS_FILE_PATH>'
      customer_id: '<PLACEHOLDER_CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CISCO_STADIUMVISION
      raw_log_field: body
      ingestion_labels:
        source: cisco_vision_director
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Menyimpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux:

1. Jalankan perintah berikut:

   sudo systemctl restart observiq-otel-collector
   

2. Pastikan layanan sedang berjalan:

   sudo systemctl status observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   sudo journalctl -u observiq-otel-collector -f
   

Untuk memulai ulang agen Bindplane di Windows:

1. Pilih salah satu opsi berikut:

   • Command Prompt atau PowerShell sebagai administrator:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Konsol layanan:
     1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
     2. Cari observIQ OpenTelemetry Collector.
     3. Klik kanan, lalu pilih Mulai ulang.

2. Pastikan layanan sedang berjalan:

   sc query observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Mengonfigurasi penerusan syslog Cisco Vision Dynamic Signage Director

Mengaktifkan syslog di Cisco Vision Director

1. Login ke antarmuka web Cisco Vision Dynamic Signage Director dengan kredensial administrator.
2. Buka Configuration > System Configuration > Dynamic Signage Director Setting > Syslog Configuration.
3. Pilih Enable Syslog dari panel Configuration Properties.
4. Klik Edit. Kotak dialog Edit Configuration Setting akan muncul.
5. Pilih true dari menu dropdown.
6. Klik Simpan.

Catatan: Nilai default untuk Aktifkan Syslog adalah false. Jika disetel ke true, Cisco Vision Director dapat mengirim file log sistem ke server syslog eksternal.

Mengonfigurasi port dan alamat IP server syslog

1. Di bagian Syslog Configuration yang sama, pilih Syslog Server IP & Port.
2. Klik Edit. Kotak dialog Edit Configuration akan muncul.
3. Di kolom Value, masukkan alamat IP dan port host agen Bindplane dalam format IP_ADDRESS:PORT.
   • Contoh: 192.168.1.100:514
   • Ganti 192.168.1.100 dengan alamat IP sebenarnya dari host agen Bindplane
   • Gunakan port 514 agar sesuai dengan konfigurasi agen Bindplane
4. Klik Simpan.
5. Pastikan alamat IP dan port kini muncul di kolom Syslog Server IP & Port.

Catatan: Cisco Vision Director meneruskan file log sistem menggunakan format RFC 5424 (format pesan syslog terbaru) melalui transport UDP (RFC 5426).

Mengaktifkan penerusan syslog DMP melalui Director (opsional)

Jika Anda ingin meneruskan log sistem Digital Media Player (DMP) melalui Cisco Vision Director ke server syslog eksternal:

1. Di bagian Syslog Configuration, pilih Enable DMP Syslog through Director.
2. Klik Edit. Kotak dialog Edit Configuration Setting akan muncul.
3. Ubah Nilai menjadi benar.
4. Klik Simpan.

Catatan: Setelan ini memungkinkan file log sistem DMP diteruskan ke server syslog eksternal melalui Cisco Vision Director, kecuali untuk log DWS. Nilai defaultnya adalah false.

Memverifikasi konfigurasi syslog

1. Setelah menyimpan konfigurasi, verifikasi bahwa log dikirim ke agen BindPlane.

2. Periksa log agen Bindplane untuk pesan syslog masuk:

   • Linux:

   sudo journalctl -u observiq-otel-collector -f
   

   • Windows:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

3. Anda akan melihat entri log yang menunjukkan keberhasilan penerimaan dan penerusan pesan syslog Cisco Vision Director.

Referensi konfigurasi tambahan

Untuk mengetahui informasi selengkapnya tentang konfigurasi syslog Cisco Vision Dynamic Signage Director, lihat dokumentasi Cisco berikut:

• Catatan Rilis Cisco Vision Dynamic Signage Director untuk Rilis 6.4
• Panduan Administrasi Cisco Vision Dynamic Signage Director Rilis 6.4

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
intem_host	intermediary.hostname	Nama host perangkat perantara
deskripsi, data	metadata.description	Deskripsi tambahan acara
	metadata.event_type	Jenis peristiwa yang diwakili oleh entri log
event_category	metadata.product_event_type	Jenis peristiwa khusus produk
	network.application_protocol	Protokol aplikasi yang digunakan dalam koneksi
metode	network.http.method	Metode HTTP yang digunakan dalam permintaan
respons	network.http.response_code	Kode respons HTTP
user_agent	network.http.user_agent	String agen pengguna dari permintaan HTTP
ses	network.session_id	ID untuk sesi jaringan
application	principal.application	Aplikasi yang terkait dengan akun utama
prin_ip	principal.ip	Alamat IP yang terkait dengan prinsipal
pid	principal.process.pid	ID proses prinsipal
acct	principal.user.userid	ID pengguna akun utama
action_result	security_result.action	Tindakan yang dilakukan oleh sistem keamanan
res, task	security_result.action_details	Detail tindakan keamanan
msg_data, desc	security_result.description	Deskripsi hasil keamanan
grantors, method_name, type, name, count, m1_rate, m5_rate, m15_rate, mean_rate, rate_unit, duration_unit	security_result.detection_fields	Kolom tambahan terkait deteksi
tingkat keseriusan,	security_result.severity	Tingkat keparahan hasil keamanan
op, act_detail	security_result.summary	Ringkasan hasil keamanan
exe, ENV	target.file.full_path	Jalur lengkap ke file target
COMMAND	target.process.command_line	Command line proses target
path, url	target.url	URL yang terkait dengan target
PENGGUNA	target.user.userid	ID pengguna target

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.