Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux Commvault

Version de l'analyseur : 3.0

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux Commvault dans Google Security Operations à l'aide de l'agent Bindplane.

Commvault génère des messages syslog pour les opérations de sauvegarde, les alertes, les événements et les activités système. L'analyseur extrait les champs des messages de journaux et les mappe au modèle de données unifié (UDM).

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Une instance Google SecOps
Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
Connectivité réseau entre l'agent Bindplane et le système Commvault
Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
Accès privilégié à la console de gestion Commvault

Obtenir le fichier d'authentification d'ingestion Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM> Agents de collecte.
Téléchargez le fichier d'authentification d'ingestion.
Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Remarque : Ce fichier JSON contient les identifiants permettant d'authentifier l'agent Bindplane auprès de Google SecOps.

Obtenir l'ID client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres du SIEM > Profil.
Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Remarque : L'ID client est requis pour configurer l'exportateur de l'agent Bindplane.

Installer l'agent Bindplane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

Exécutez la commande suivante :

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendez la fin de l'installation.
Vérifiez l'installation en exécutant la commande suivante :
```
sc query observiq-otel-collector
```
Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation sous Linux

Ouvrez un terminal avec des droits d'accès racine ou sudo.

Exécutez la commande suivante :

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Attendez la fin de l'installation.
Vérifiez l'installation en exécutant la commande suivante :
```
sudo systemctl status observiq-otel-collector
```
Le service doit être indiqué comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour en savoir plus sur les options d'installation et le dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

Linux :

sudo nano /etc/bindplane-agent/config.yaml

Windows :

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/commvault:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: COMMVAULT
        raw_log_field: body

service:
    pipelines:
        logs/commvault_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/commvault

Paramètres de configuration

Remplacez les espaces réservés suivants :

Configuration du récepteur :
- listen_address : adresse IP et port à écouter :
  - 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
  - Le port 514 est le port syslog standard (nécessite la racine sur Linux ; utilisez 1514 pour les utilisateurs non racine).
Configuration de l'exportateur :
- creds_file_path : chemin d'accès complet au fichier d'authentification de l'ingestion :
  - Linux : /etc/bindplane-agent/ingestion-auth.json
  - Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id : ID client copié depuis la console Google SecOps
- endpoint : URL du point de terminaison régional :
  - États-Unis : malachiteingestion-pa.googleapis.com
  - Europe : europe-malachiteingestion-pa.googleapis.com
  - Asie : asia-southeast1-malachiteingestion-pa.googleapis.com
  - Pour obtenir la liste complète, consultez Points de terminaison régionaux.

Enregistrez le fichier de configuration.

Après avoir modifié le fichier, enregistrez-le :
- Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
- Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent BindPlane sous Linux, exécutez la commande suivante :
```
sudo systemctl restart observiq-otel-collector
```
1. Vérifiez que le service est en cours d'exécution :
```
sudo systemctl status observiq-otel-collector
```
2. Recherchez les erreurs dans les journaux :
```
sudo journalctl -u observiq-otel-collector -f
```
Pour redémarrer l'agent Bindplane dans Windows, choisissez l'une des options suivantes :
- Invite de commande ou PowerShell en tant qu'administrateur :
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console Services :
  1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
  2. Recherchez observIQ OpenTelemetry Collector.
  3. Effectuez un clic droit, puis sélectionnez Redémarrer.
  4. Vérifiez que le service est en cours d'exécution :
```
sc query observiq-otel-collector
```
  5. Recherchez les erreurs dans les journaux :
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configurer syslog dans Commvault Cloud

Connectez-vous à la console de gestion Commvault.
Accédez à Gérer > Système.
Cliquez sur la tuile du connecteur SIEM.
Cliquez sur Ajouter un connecteur.
Dans l'onglet Général, saisissez les informations suivantes :
- Nom du connecteur : saisissez un nom pour le connecteur.
- Type de connecteur : sélectionnez Syslog.
- Données de streaming : sélectionnez les données que vous souhaitez exporter.
Cliquez sur Suivant.
Dans l'onglet Définition du connecteur, cliquez sur Ajouter un serveur Syslog.
Fournissez les informations de configuration suivantes :
- Serveur Syslog : saisissez l'adresse IP de l'agent Bindplane.
- Numéro de port : saisissez le numéro de port de l'agent Bindplane.
Cliquez sur Envoyer.

Remarque : Les ports personnalisés ne sont pas autorisés dans l'interface utilisateur graphique en raison de restrictions de sécurité. Bien que l'interface permette de saisir n'importe quel port, seuls les ports par défaut sont autorisés : UDP Port: 514 et TCP Port: 6514.

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
AgentType	event.idm.read_only_udm.observer.application	Valeur extraite du champ `AgentType` dans le message du journal.
Alertid	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Alertid` dans le message du journal. Ce champ est mappé sous la clé `alert_id`.
Alertname	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Alertname` dans le message du journal. Ce champ est mappé sous la clé `alert_name`.
Alertseverity	event.idm.read_only_udm.security_result.severity	Ce champ permet de renseigner le champ `security_result.severity` en fonction de sa valeur.
Alerttime	event.idm.read_only_udm.metadata.event_timestamp	Valeur extraite du champ `Alerttime` du message de journal et convertie en code temporel.
BackupLevel	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `BackupLevel` dans le message du journal. Ce champ est mappé sous la clé `backup_level`.
BackupSet	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `BackupSet` dans le message du journal. Ce champ est mappé sous la clé `backup_set`.
Client	event.idm.read_only_udm.principal.hostname	Valeur extraite du champ `Client` dans le message du journal.
CommCell	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `CommCell` dans le message du journal. Ce champ est mappé sous la clé `comcell_field`.
Ordinateur	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `Computer` dans le message de journal. Ce champ est mappé sous la clé `computer_field`.
Description	event.idm.read_only_udm.metadata.description	Valeur extraite du champ `Description` du message de journal après traitement et nettoyage.
DetectedCriteria	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `DetectedCriteria` dans le message du journal. Ce champ est mappé sous la clé `detected_criteria`.
DetectedTime	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `DetectedTime` dans le message de journal. Ce champ est mappé sous la clé `detected_time`.
Détails	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `Details` dans le message du journal. Ce champ est mappé sous la clé `details_field`.
Eventid	event.idm.read_only_udm.metadata.product_log_id	Valeur extraite du champ `Eventid` dans le message de journal.
Eventseverity	event.idm.read_only_udm.security_result.severity	Ce champ permet de renseigner le champ `security_result.severity` en fonction de sa valeur.
Échec	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Failure` dans le message du journal. Ce champ est mappé sous la clé `failure_filed`.
Instance	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `Instance` dans le message du journal. Ce champ est mappé sous la clé `instance_field`.
Jobid	event.idm.read_only_udm.principal.process.pid	Valeur extraite du champ `Jobid` dans le message du journal.
MonitoringCriteria	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `MonitoringCriteria` dans le message de journal. Ce champ est mappé sous la clé `monitoring_criteria`.
Occurencetime	event.idm.read_only_udm.metadata.event_timestamp	Valeur extraite du champ `Occurencetime` dans le message de journal et convertie en code temporel.
Opid	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Opid` dans le message du journal. Ce champ est mappé sous la clé `op_id`.
Programme	event.idm.read_only_udm.principal.application	Valeur extraite du champ `Program` dans le message du journal.
Severitylevel	event.idm.read_only_udm.security_result.severity	Valeur extraite du champ `Severitylevel` dans le message de journal et mappée en fonction d'un mappage prédéfini.
StoragePoliciesUsed	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `StoragePoliciesUsed` dans le message du journal. Ce champ est mappé sous la clé `storage_policies_used`.
Sous-client	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `Subclient` dans le message du journal. Ce champ est mappé sous la clé `subclient_field`.
Type	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Type` dans le message de journal. Ce champ est mappé sous la clé `alert_type`.
Nom d'utilisateur	event.idm.read_only_udm.principal.user.userid	Valeur extraite du champ `Username` dans le message du journal.
anomaly_type	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Description` à l'aide de modèles Grok. Ce champ est mappé sous la clé `detected_anomaly_type`.
erreurs	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Description` à l'aide de modèles Grok. Ce champ est mappé sous la clé `errors_field`.
file_name	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Description` à l'aide de modèles grok. Ce champ est mappé sous la clé `detected_malicious_file`.
media_agent	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Description` à l'aide de modèles grok. Ce champ est mappé sous la clé `detected_media_agent`.
no_of_files_created	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Description` à l'aide de modèles Grok. Ce champ est mappé sous la clé `no_of_files_created_field`.
no_of_files_deleted	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Description` à l'aide de modèles Grok. Ce champ est mappé sous la clé `no_of_files_deleted_field`.
no_of_files_modified	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Description` à l'aide de modèles Grok. Ce champ est mappé sous la clé `no_of_files_modified_field`.
no_of_files_renamed	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Description` à l'aide de modèles Grok. Ce champ est mappé sous la clé `no_of_files_renamed_field`.
URL	event.idm.read_only_udm.network.http.referral_url	Valeur extraite du champ `Description` à l'aide de modèles grok.
	event.idm.read_only_udm.metadata.event_type	Ce champ est défini sur `STATUS_UPDATE` si le champ `Client` est présent, sinon il est défini sur `GENERIC_EVENT`.
	event.idm.read_only_udm.metadata.product_name	Ce champ est défini sur `COMMVAULT`.
	event.idm.read_only_udm.metadata.vendor_name	Ce champ est défini sur `COMMVAULT`.
	event.idm.read_only_udm.principal.user.user_role	Ce champ est défini sur `ADMINISTRATOR` si le champ `User` est `Administrator`.
`Commcellname`	`additional.fields`	Mappé à partir du journal des modifications
`Operation`	`metadata.description`	Mappé à partir du journal des modifications
`Companyname`	`principal.user.company_name`	Mappé à partir du journal des modifications
`machine_name`	`principal.hostname`	Mappé à partir du journal des modifications
`locale`	`additional.fields`	Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.