Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengumpulkan log Citrix StoreFront

Parser Version: 1.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Citrix StoreFront ke Google Security Operations menggunakan Bindplane.

Citrix StoreFront adalah aplikasi web yang menyediakan app store perusahaan untuk desktop dan aplikasi virtual Citrix. Layanan ini mengautentikasi pengguna ke situs Citrix Virtual Apps and Desktops dan menggabungkan resource yang tersedia ke dalam satu portal. StoreFront menulis peristiwa autentikasi, peluncuran sesi, dan layanan ke Log Peristiwa Windows di bagian sumber peristiwa berawalan Citrix.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
Windows Server 2016 atau yang lebih baru dengan systemd
Konektivitas jaringan antara agen Bindplane dan internet
Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
Akses administratif ke Windows Server yang menghosting Citrix StoreFront
Citrix StoreFront 2308 atau yang lebih baru telah diinstal dan dikonfigurasi

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

Deployment baru: Gunakan Chronicle API (Opsi 1).
Deployment lama: Terus menggunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Buat akun layanan untuk Chronicle API (direkomendasikan)

Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
Buka IAM & Admin > Service Accounts.
Klik Create service account.
Berikan detail konfigurasi berikut:
- Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
- Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
Klik Create and continue.
Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
Klik Continue lalu klik Done.
Klik akun layanan yang Anda buat, lalu buka tab Keys.
Klik Add key > Create new key.
Pilih JSON, lalu klik Create. File kunci didownload ke komputer Anda.
Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

Login ke konsol Google SecOps.
Buka SIEM Settings > Collection Agents.
Download file autentikasi penyerapan.
Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

Login ke konsol Google SecOps.
Buka SIEM Settings > Profile.
Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

Buka Command Prompt atau PowerShell sebagai administrator.

Jalankan perintah berikut:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Tunggu hingga penginstalan selesai.
Verifikasi penginstalan dengan menjalankan:
```
sc query observiq-otel-collector
```

Layanan akan ditampilkan sebagai RUNNING.

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen Bindplane.

Mengonfigurasi agen Bindplane untuk menyerap Log Peristiwa Windows dan mengirimkannya ke Google SecOps

Cari file konfigurasi

Buka Command Prompt sebagai administrator.

Buka direktori penginstalan agen Bindplane, lalu buka file konfigurasi:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

Ganti seluruh konten config.yaml dengan konfigurasi berikut:

receivers:
  windowseventlog/storefront_application:
    channel: Application
    raw: true
    start_at: end
    operators:
      - type: filter
        expr: 'record["source_name"] matches "^Citrix"'

processors:
  batch:

exporters:
  chronicle/storefront:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds: '{
      "type": "service_account",
      "project_id": "YOUR_PROJECT_ID",
      "private_key_id": "YOUR_PRIVATE_KEY_ID",
      "private_key": "-----BEGIN PRIVATE KEY-----\nYOUR_PRIVATE_KEY\n-----END PRIVATE KEY-----\n",
      "client_email": "YOUR_CLIENT_EMAIL",
      "client_id": "YOUR_CLIENT_ID",
      "auth_uri": "https://accounts.google.com/o/oauth2/auth",
      "token_uri": "https://oauth2.googleapis.com/token",
      "auth_provider_x509_cert_url": "https://www.googleapis.com/oauth2/v1/certs",
      "client_x509_cert_url": "YOUR_CERT_URL"
    }'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'CITRIX_STOREFRONT'
    override_log_type: false
    raw_log_field: body

service:
  pipelines:
    logs/storefront:
      receivers:
        - windowseventlog/storefront_application
      processors:
        - batch
      exporters:
        - chronicle/storefront

Parameter konfigurasi

Ganti placeholder berikut dengan nilai sebenarnya:

Konfigurasi pengekspor:
- YOUR_PROJECT_ID: Project ID dari file autentikasi penyerapan Anda
- YOUR_PRIVATE_KEY_ID: ID kunci pribadi dari file autentikasi penyerapan Anda
- YOUR_PRIVATE_KEY: Kunci pribadi dari file autentikasi penyerapan Anda (pastikan karakter escape baris baru sudah benar)
- YOUR_CLIENT_EMAIL: Email klien dari file autentikasi penyerapan Anda
- YOUR_CLIENT_ID: ID klien dari file autentikasi penyerapan Anda
- YOUR_CERT_URL: URL sertifikat x509 klien dari file autentikasi penyerapan Anda
- YOUR_CUSTOMER_ID: ID pelanggan Google SecOps Anda
Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan menambahkan awalan chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.

Contoh:

exporters:
  chronicle/storefront:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'CITRIX_STOREFRONT'
    override_log_type: false
    raw_log_field: body

Pengekspor API penyerapan lama

Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur file autentikasi penyerapan, dan jika instance Anda berada di luar Amerika Serikat, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

exporters:
  chronicle/storefront:
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'CITRIX_STOREFRONT'
    override_log_type: false
    raw_log_field: body

Simpan file konfigurasi

Setelah mengedit, simpan file:
- Klik File > Save
- Tutup Notepad

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Windows:

Pilih salah satu opsi berikut:
- Command Prompt atau PowerShell sebagai administrator:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Konsol layanan:
  1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
  2. Cari observIQ OpenTelemetry Collector.
  3. Klik kanan, lalu pilih Mulai ulang.
Pastikan layanan sedang berjalan:
```
sc query observiq-otel-collector
```

Periksa log untuk mengetahui error:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi logging peristiwa Citrix StoreFront

Secara default, StoreFront 2311 dan versi yang lebih baru mencatat pesan log level Error, Warning, dan Info. Untuk versi yang lebih lama (2308 dan yang lebih lama), hanya pesan log level Error yang dicatat secara default.

Mengaktifkan logging panjang (opsional)

Untuk meningkatkan detail logging guna tujuan pemecahan masalah:

Login ke server StoreFront dengan hak istimewa administrator lokal.
Buka PowerShell sebagai administrator.
Jalankan perintah berikut untuk mengaktifkan logging panjang untuk semua layanan:
```
Set-STFDiagnostics -All -TraceLevel "Verbose" -confirm:$False
```
Catatan: Jika menggunakan StoreFront 2311 atau yang lebih baru, Anda harus menambahkan parameter -Override.
Catatan: Perintah ini akan memulai ulang layanan StoreFront. Tunggu hingga prompt PowerShell kembali sebelum melanjutkan. Saat layanan dimulai ulang, server StoreFront tidak akan dapat diakses oleh pengguna.
Setelah memecahkan masalah, kembalikan tingkat logging ke default:
```
Set-STFDiagnostics -All -TraceLevel "Info" -confirm:$False
```
Catatan: Jika menggunakan StoreFront 2311 atau yang lebih baru, Anda harus menambahkan parameter -Override.

Memverifikasi peristiwa Log Peristiwa Windows

Tekan Win+R, ketik eventvwr.msc, lalu tekan Enter untuk membuka Event Viewer.
Buka Application and Services Logs > Citrix Delivery Services.
Pastikan peristiwa dicatat ke dalam log untuk autentikasi, penyimpanan, dan Receiver untuk situs Web.
Buka Windows Logs > Application.
Filter peristiwa menurut nama sumber yang diawali dengan Citrix untuk memverifikasi bahwa peristiwa tingkat aplikasi sedang dibuat.

Mengonfigurasi throttling log peristiwa (opsional)

StoreFront mendukung throttling log peristiwa untuk membatasi jumlah peristiwa duplikat. Untuk mengonfigurasi throttling:

Buka direktori konfigurasi layanan StoreFront di server:
- Layanan autentikasi: C:\inetpub\wwwroot\Citrix\Authentication
- Toko: C:\inetpub\wwwroot\Citrix\<storename>
- Situs Penerima untuk Web: C:\inetpub\wwwroot\Citrix\<storename>\Web
Buka file web.config di setiap direktori menggunakan editor teks.
Temukan elemen logger dan konfigurasikan parameter pembatasan:
```
<logger duplicateInterval="00:01:00" duplicateLimit="10">
```
- duplicateInterval: Jangka waktu (jam:menit:detik) pemantauan entri log duplikat
- duplicateLimit: Jumlah entri duplikat yang harus dicatat dalam interval untuk memicu throttling
Simpan file konfigurasi.

Untuk mengetahui informasi selengkapnya, lihat dokumentasi file log Citrix StoreFront.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
`OpcodeValue_label`	`additional.fields`	Digabung
`Opcode_label`	`additional.fields`	Digabung
`ThreadID_label`	`additional.fields`	Digabung
`X-Citrix-Via_label`	`additional.fields`	Digabung
`XCitrixGateway_label`	`additional.fields`	Digabung
`keyword_label`	`additional.fields`	Digabung
`_vulns`	`extensions.vulns.vulnerabilities`	Digabung
`_intermediary`	`intermediary`	Digabung
`_intermediary_controller`	`intermediary`	Digabung
`_intermediary_hypervisor`	`intermediary`	Digabung
`_intermediary_storefront`	`intermediary`	Digabung
`description`	`metadata.description`	Dipetakan secara langsung
`EventTime`	`metadata.event_timestamp`	Diuraikan sebagai `RFC 3339`
`Machine.CreatedDate`	`metadata.event_timestamp`	Diurai sebagai `RFC 3339`
`Machine.LastDeregisteredDate`	`metadata.event_timestamp`	Diurai sebagai `RFC 3339`
`Machine.ModifiedDate`	`metadata.event_timestamp`	Diurai sebagai `RFC 3339`
`Machine.PoweredOnDate`	`metadata.event_timestamp`	Diurai sebagai `RFC 3339`
`Machine.RegistrationStateChangeDate`	`metadata.event_timestamp`	Diurai sebagai `RFC 3339`
`Session.EndDate`	`metadata.event_timestamp`	Diurai sebagai `RFC 3339`
`Session.StartDate`	`metadata.event_timestamp`	Diurai sebagai `RFC 3339`
`event_date`	`metadata.event_timestamp`	Diuraikan sebagai `RFC 3339`
`has_principal`	`metadata.event_type`	Dipetakan: `true` → `NETWORK_CONNECTION`, `true` → `STATUS_UPDATE`
`EventID`	`metadata.product_event_type`	Dipetakan secara langsung
`RecordNumber`	`metadata.product_log_id`	Dipetakan secara langsung
`Machine.AgentVersion`	`metadata.product_version`	Diganti nama/dipetakan
`_network`	`network`	Diganti namanya/dipetakan
`_principal`	`principal`	Diganti nama/dipetakan
`Channel_label`	`security_result.about.resource.attribute.labels`	Digabung
`severity`	`security_result.severity`	Dipetakan: `(?i)Info` → `INFORMATIONAL`, `(?i)Error` → `ERROR`, `(?i)Warning` → `MEDIUM`
`SeverityValue`	`security_result.severity_details`	Dipetakan secara langsung
`Connection.ConnectedViaHostName`	`src.hostname`	Dipetakan secara langsung
`_target`	`target`	Diganti namanya/dipetakan
T/A	`extensions.auth.auth_details`	Konstanta: `ACTIVE`
T/A	`extensions.auth.type`	Konstanta: `MACHINE`
T/A	`metadata.event_type`	Konstanta: `GENERIC_EVENT`
T/A	`metadata.product_name`	Konstanta: `Monitor Service OData`
T/A	`metadata.vendor_name`	Konstanta: `Citrix`
T/A	`security_result.severity`	Konstanta: `INFORMATIONAL`
`OpcodeValue","X-Citrix-Via","ThreadID","XCitrixGateway","Opcode","Keywords", "OpcodeValue`	`additional.fields`	Dipetakan dari log perubahan
`X-Citrix-Via-VIP`	`_target.ip`	Dipetakan dari log perubahan
`Remoteadresse`	`taregt.ip`	Dipetakan dari log perubahan
`invalid_X-Forwarded-For`	`_principal.ip`	Dipetakan dari log perubahan
`Task`	`_target.resource.type`	Dipetakan dari log perubahan
`Hostname`	`_principal.hostname`	Dipetakan dari log perubahan
`SourceModuleName`	`target.resource.name`	Dipetakan dari log perubahan
`SourceModuleType`	`_principal.resource.attribute.labels`	Dipetakan dari log perubahan
`Machine.AssociatedUserUPNs`	`target.group.email_addresses`	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.