Commvault-Logs erfassen

Parserversion: 3.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Commvault-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Commvault generiert Syslog-Nachrichten für Sicherungsvorgänge, Benachrichtigungen, Ereignisse und Systemaktivitäten. Der Parser extrahiert Felder aus den Logeinträgen und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Netzwerkverbindung zwischen dem Bindplane-Agent und dem Commvault-System
• Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf die Commvault-Verwaltungskonsole

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der alten Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.

3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

   Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

   Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

   Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agenten so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/commvault:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: COMMVAULT
      raw_log_field: body
  
  service:
    pipelines:
      logs/commvault_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/commvault
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration:

  • listen_address: IP-Adresse und Port, auf dem gelauscht werden soll:
    • 0.0.0.0, um auf allen Schnittstellen zu lauschen (empfohlen)
    • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

• Exporter-Konfiguration:

  • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: Kundennummer, die aus der Google SecOps-Konsole kopiert wurde
  • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
  • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
  • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Legacy-Ingestion-API-Exporter

• Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/commvault:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: COMMVAULT
      raw_log_field: body
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

  sudo systemctl restart observiq-otel-collector
  

  1. Prüfen Sie, ob der Dienst ausgeführt wird:

     sudo systemctl status observiq-otel-collector
     

  2. Prüfen Sie die Logs auf Fehler:

     sudo journalctl -u observiq-otel-collector -f
     

• Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Dienstkonsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.
    3. Rechtsklicken Sie und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

       sc query observiq-otel-collector
       

    5. Prüfen Sie die Logs auf Fehler:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Syslog in Commvault Cloud konfigurieren

1. Melden Sie sich in der Commvault Management Console an.
2. Gehe zu Verwalten > System.
3. Klicken Sie auf die Kachel SIEM-Connector.
4. Klicken Sie auf Connector hinzufügen.
5. Geben Sie auf dem Tab Allgemein die folgenden Details ein:
   • Connector-Name: Geben Sie einen Namen für den Connector ein.
   • Connector-Typ: Wählen Sie Syslog aus.
   • Streamingdaten: Wählen Sie die Daten aus, die Sie exportieren möchten.
6. Klicken Sie auf Weiter.
7. Klicken Sie auf dem Tab Connector Definition (Connector-Definition) auf Add syslog server (Syslog-Server hinzufügen).
8. Geben Sie die folgenden Konfigurationsdetails an:
   • Syslog-Server: Geben Sie die IP-Adresse des Bindplane-Agents ein.
   • Portnummer: Geben Sie die Portnummer des Bindplane-Agents ein.

9. Klicken Sie auf Senden.

   Hinweis: Benutzerdefinierte Ports sind in der GUI aufgrund von Sicherheitseinschränkungen nicht zulässig. Obwohl Sie in der Benutzeroberfläche einen beliebigen Port eingeben können, sind nur die Standardports UDP Port: 514 und TCP Port: 6514 zulässig.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
AgentType	event.idm.read_only_udm.observer.application	Wert aus dem Feld AgentType in der Logeintrag.
Alertid	event.idm.read_only_udm.security_result.detection_fields.value	Wert aus dem Feld Alertid in der Logeintrag. Dieses Feld ist dem Schlüssel alert_id zugeordnet.
Alertname	event.idm.read_only_udm.security_result.detection_fields.value	Wert aus dem Feld Alertname in der Logeintrag. Dieses Feld ist dem Schlüssel alert_name zugeordnet.
Alertseverity	event.idm.read_only_udm.security_result.severity	Dieses Feld wird verwendet, um das Feld security_result.severity basierend auf seinem Wert zu füllen.
Benachrichtigungszeitpunkt	event.idm.read_only_udm.metadata.event_timestamp	Wert, der aus dem Feld Alerttime im Logeintrag übernommen und in einen Zeitstempel umgewandelt wurde.
BackupLevel	event.idm.read_only_udm.additional.fields.value.string_value	Wert aus dem Feld BackupLevel in der Logeintrag. Dieses Feld ist dem Schlüssel backup_level zugeordnet.
BackupSet	event.idm.read_only_udm.additional.fields.value.string_value	Wert aus dem Feld BackupSet in der Logeintrag. Dieses Feld ist dem Schlüssel backup_set zugeordnet.
Kunde	event.idm.read_only_udm.principal.hostname	Wert aus dem Feld Client in der Logeintrag.
CommCell	event.idm.read_only_udm.additional.fields.value.string_value	Wert aus dem Feld CommCell in der Logeintrag. Dieses Feld ist dem Schlüssel comcell_field zugeordnet.
Computer	event.idm.read_only_udm.additional.fields.value.string_value	Wert aus dem Feld Computer in der Logeintrag. Dieses Feld ist dem Schlüssel computer_field zugeordnet.
Beschreibung	event.idm.read_only_udm.metadata.description	Wert aus dem Feld Description im Logeintrag nach einer gewissen Verarbeitung und Bereinigung.
DetectedCriteria	event.idm.read_only_udm.security_result.detection_fields.value	Wert aus dem Feld DetectedCriteria in der Logeintrag. Dieses Feld ist dem Schlüssel detected_criteria zugeordnet.
DetectedTime	event.idm.read_only_udm.security_result.detection_fields.value	Wert aus dem Feld DetectedTime in der Logeintrag. Dieses Feld ist dem Schlüssel detected_time zugeordnet.
Details	event.idm.read_only_udm.additional.fields.value.string_value	Wert aus dem Feld Details in der Logeintrag. Dieses Feld ist dem Schlüssel details_field zugeordnet.
Eventid	event.idm.read_only_udm.metadata.product_log_id	Wert aus dem Feld Eventid in der Logeintrag.
Eventseverity	event.idm.read_only_udm.security_result.severity	Dieses Feld wird verwendet, um das Feld security_result.severity basierend auf seinem Wert zu füllen.
Fehler	event.idm.read_only_udm.security_result.detection_fields.value	Wert aus dem Feld Failure in der Logeintrag. Dieses Feld ist dem Schlüssel failure_filed zugeordnet.
Instanz	event.idm.read_only_udm.additional.fields.value.string_value	Wert aus dem Feld Instance in der Logeintrag. Dieses Feld ist dem Schlüssel instance_field zugeordnet.
Jobid	event.idm.read_only_udm.principal.process.pid	Wert aus dem Feld Jobid in der Logeintrag.
MonitoringCriteria	event.idm.read_only_udm.additional.fields.value.string_value	Wert aus dem Feld MonitoringCriteria in der Logeintrag. Dieses Feld ist dem Schlüssel monitoring_criteria zugeordnet.
Occurencetime	event.idm.read_only_udm.metadata.event_timestamp	Wert, der aus dem Feld Occurencetime im Logeintrag übernommen und in einen Zeitstempel umgewandelt wurde.
Opid	event.idm.read_only_udm.security_result.detection_fields.value	Wert aus dem Feld Opid in der Logeintrag. Dieses Feld ist dem Schlüssel op_id zugeordnet.
Programm	event.idm.read_only_udm.principal.application	Wert aus dem Feld Program in der Logeintrag.
Schweregrad	event.idm.read_only_udm.security_result.severity	Der Wert wird aus dem Feld Severitylevel im Logeintrag übernommen und anhand einer vordefinierten Zuordnung zugeordnet.
StoragePoliciesUsed	event.idm.read_only_udm.additional.fields.value.string_value	Wert aus dem Feld StoragePoliciesUsed in der Logeintrag. Dieses Feld ist dem Schlüssel storage_policies_used zugeordnet.
Untergeordneter Kunde	event.idm.read_only_udm.additional.fields.value.string_value	Wert aus dem Feld Subclient in der Logeintrag. Dieses Feld ist dem Schlüssel subclient_field zugeordnet.
Typ	event.idm.read_only_udm.security_result.detection_fields.value	Wert aus dem Feld Type in der Logeintrag. Dieses Feld ist dem Schlüssel alert_type zugeordnet.
Nutzername	event.idm.read_only_udm.principal.user.userid	Wert aus dem Feld Username in der Logeintrag.
anomaly_type	event.idm.read_only_udm.security_result.detection_fields.value	Wert, der mit Grok-Mustern aus dem Feld Description extrahiert wurde. Dieses Feld ist dem Schlüssel detected_anomaly_type zugeordnet.
Fehler	event.idm.read_only_udm.security_result.detection_fields.value	Wert, der mit Grok-Mustern aus dem Feld Description extrahiert wurde. Dieses Feld ist dem Schlüssel errors_field zugeordnet.
file_name	event.idm.read_only_udm.security_result.detection_fields.value	Wert, der mit Grok-Mustern aus dem Feld Description extrahiert wurde. Dieses Feld ist dem Schlüssel detected_malicious_file zugeordnet.
media_agent	event.idm.read_only_udm.security_result.detection_fields.value	Wert, der mit Grok-Mustern aus dem Feld Description extrahiert wurde. Dieses Feld ist dem Schlüssel detected_media_agent zugeordnet.
no_of_files_created	event.idm.read_only_udm.security_result.detection_fields.value	Wert, der mit Grok-Mustern aus dem Feld Description extrahiert wurde. Dieses Feld ist dem Schlüssel no_of_files_created_field zugeordnet.
no_of_files_deleted	event.idm.read_only_udm.security_result.detection_fields.value	Wert, der mit Grok-Mustern aus dem Feld Description extrahiert wurde. Dieses Feld ist dem Schlüssel no_of_files_deleted_field zugeordnet.
no_of_files_modified	event.idm.read_only_udm.security_result.detection_fields.value	Wert, der mit Grok-Mustern aus dem Feld Description extrahiert wurde. Dieses Feld ist dem Schlüssel no_of_files_modified_field zugeordnet.
no_of_files_renamed	event.idm.read_only_udm.security_result.detection_fields.value	Wert, der mit Grok-Mustern aus dem Feld Description extrahiert wurde. Dieses Feld ist dem Schlüssel no_of_files_renamed_field zugeordnet.
URL	event.idm.read_only_udm.network.http.referral_url	Wert, der mit Grok-Mustern aus dem Feld Description extrahiert wurde.
	event.idm.read_only_udm.metadata.event_type	Dieses Feld ist auf STATUS_UPDATE gesetzt, wenn das Feld Client vorhanden ist. Andernfalls ist es auf GENERIC_EVENT gesetzt.
	event.idm.read_only_udm.metadata.product_name	Dieses Feld ist auf COMMVAULT gesetzt.
	event.idm.read_only_udm.metadata.vendor_name	Dieses Feld ist auf COMMVAULT gesetzt.
	event.idm.read_only_udm.principal.user.user_role	Dieses Feld ist auf ADMINISTRATOR gesetzt, wenn das Feld User den Wert Administrator hat.
Commcellname	additional.fields	Aus Änderungsprotokoll zugeordnet
Operation	metadata.description	Aus Änderungsprotokoll zugeordnet
Companyname	principal.user.company_name	Aus Änderungsprotokoll zugeordnet
machine_name	principal.hostname	Aus Änderungsprotokoll zugeordnet
locale	additional.fields	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten