Nous avons réorganisé la structure de navigation de notre documentation pour l'aligner directement sur vos workflows opérationnels. Pour en savoir plus, consultez les notes de version et la vidéo de présentation.

Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux Commvault

Version de l'analyseur : 3.0

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux Commvault dans Google Security Operations à l'aide de l'agent Bindplane.

Commvault génère des messages syslog pour les opérations de sauvegarde, les alertes, les événements et les activités système. L'analyseur extrait les champs des messages de journaux et les mappe au modèle de données unifié (UDM).

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Une instance Google SecOps
Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
Connectivité réseau entre l'agent Bindplane et le système Commvault
Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
Accès privilégié à la console de gestion Commvault

Obtenir le fichier d'authentification d'ingestion Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres du SIEM > Agents de collecte.
Téléchargez le fichier d'authentification d'ingestion.
Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Remarque : Ce fichier JSON contient les identifiants permettant d'authentifier l'agent Bindplane auprès de Google SecOps.

Obtenir l'ID client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM> Profil.
Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Remarque : L'ID client est requis pour configurer l'exportateur de l'agent Bindplane.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de fenêtres

Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

Exécutez la commande suivante :

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendez la fin de l'installation.
Vérifiez l'installation en exécutant la commande suivante :
```
sc query observiq-otel-collector
```
Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation de Linux

Ouvrez un terminal avec les droits root ou sudo.

Exécutez la commande suivante :

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Attendez la fin de l'installation.
Vérifiez l'installation en exécutant la commande suivante :
```
sudo systemctl status observiq-otel-collector
```
Le service doit être indiqué comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour obtenir d'autres options d'installation et des conseils de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

Linux :

sudo nano /etc/bindplane-agent/config.yaml

Windows :

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/commvault:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: COMMVAULT
        raw_log_field: body

service:
    pipelines:
        logs/commvault_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/commvault

Paramètres de configuration

Remplacez les espaces réservés suivants :

Configuration du récepteur :
- listen_address : adresse IP et port à écouter :
  - 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
  - Le port 514 est le port syslog standard (nécessite la racine sous Linux ; utilisez 1514 pour les utilisateurs non root).
Configuration de l'exportateur :
- creds_file_path : chemin d'accès complet au fichier d'authentification de l'ingestion :
  - Linux : /etc/bindplane-agent/ingestion-auth.json
  - Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id : ID client copié depuis la console Google SecOps
- endpoint : URL du point de terminaison régional :
  - États-Unis : malachiteingestion-pa.googleapis.com
  - Europe : europe-malachiteingestion-pa.googleapis.com
  - Asie : asia-southeast1-malachiteingestion-pa.googleapis.com
  - Pour obtenir la liste complète, consultez Points de terminaison régionaux.

Enregistrez le fichier de configuration.

Après avoir modifié le fichier, enregistrez-le :
- Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
- Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :
```
sudo systemctl restart observiq-otel-collector
```
1. Vérifiez que le service est en cours d'exécution :
```
sudo systemctl status observiq-otel-collector
```
2. Recherchez les erreurs dans les journaux :
```
sudo journalctl -u observiq-otel-collector -f
```
Pour redémarrer l'agent Bindplane dans Windows, choisissez l'une des options suivantes :
- Invite de commande ou PowerShell en tant qu'administrateur :
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console Services :
  1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
  2. Localisez le collecteur observIQ OpenTelemetry.
  3. Effectuez un clic droit, puis sélectionnez Redémarrer.
  4. Vérifiez que le service est en cours d'exécution :
```
sc query observiq-otel-collector
```
  5. Recherchez les erreurs dans les journaux :
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configurer syslog dans Commvault Cloud

Connectez-vous à la console de gestion Commvault.
Accédez à Gérer > Système.
Cliquez sur le bloc du connecteur SIEM.
Cliquez sur Ajouter un connecteur.
Dans l'onglet Général, saisissez les informations suivantes :
- Nom du connecteur : saisissez un nom pour le connecteur.
- Type de connecteur : sélectionnez Syslog.
- Données de streaming : sélectionnez les données que vous souhaitez exporter.
Cliquez sur Suivant.
Dans l'onglet Définition du connecteur, cliquez sur Ajouter un serveur Syslog.
Fournissez les informations de configuration suivantes :
- Serveur Syslog : saisissez l'adresse IP de l'agent Bindplane.
- Numéro de port : saisissez le numéro de port de l'agent Bindplane.
Cliquez sur Envoyer.

Remarque : Les ports personnalisés ne sont pas autorisés dans l'interface utilisateur graphique en raison de restrictions de sécurité. Bien que l'interface permette de saisir n'importe quel port, seuls les ports par défaut sont autorisés : UDP Port: 514 et TCP Port: 6514.

Table de mappage UDM

Champ de journal	Mappage UDM	Logique
AgentType	event.idm.read_only_udm.observer.application	Valeur extraite du champ `AgentType` du message de journal.
Alertid	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Alertid` du message de journal. Ce champ est mappé sous la clé `alert_id`.
Nom de l'alerte	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Alertname` du message de journal. Ce champ est mappé sous la clé `alert_name`.
Alertseverity	event.idm.read_only_udm.security_result.severity	Ce champ est utilisé pour renseigner le champ `security_result.severity` en fonction de sa valeur.
Alerttime	event.idm.read_only_udm.metadata.event_timestamp	Valeur extraite du champ `Alerttime` du message de journal et convertie en code temporel.
BackupLevel	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `BackupLevel` du message de journal. Ce champ est mappé sous la clé `backup_level`.
BackupSet	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `BackupSet` du message de journal. Ce champ est mappé sous la clé `backup_set`.
Client	event.idm.read_only_udm.principal.hostname	Valeur extraite du champ `Client` du message de journal.
CommCell	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `CommCell` du message de journal. Ce champ est mappé sous la clé `comcell_field`.
Ordinateur	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `Computer` du message de journal. Ce champ est mappé sous la clé `computer_field`.
Description	event.idm.read_only_udm.metadata.description	Valeur extraite du champ `Description` du message de journal après traitement et nettoyage.
DetectedCriteria	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `DetectedCriteria` du message de journal. Ce champ est mappé sous la clé `detected_criteria`.
DetectedTime	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `DetectedTime` du message de journal. Ce champ est mappé sous la clé `detected_time`.
Détails	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `Details` du message de journal. Ce champ est mappé sous la clé `details_field`.
Eventid	event.idm.read_only_udm.metadata.product_log_id	Valeur extraite du champ `Eventid` du message de journal.
Eventseverity	event.idm.read_only_udm.security_result.severity	Ce champ est utilisé pour renseigner le champ `security_result.severity` en fonction de sa valeur.
Échec	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Failure` du message de journal. Ce champ est mappé sous la clé `failure_filed`.
Instance	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `Instance` du message de journal. Ce champ est mappé sous la clé `instance_field`.
Jobid	event.idm.read_only_udm.principal.process.pid	Valeur extraite du champ `Jobid` du message de journal.
MonitoringCriteria	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `MonitoringCriteria` du message de journal. Ce champ est mappé sous la clé `monitoring_criteria`.
Occurencetime	event.idm.read_only_udm.metadata.event_timestamp	Valeur extraite du champ `Occurencetime` du message de journal et convertie en code temporel.
Opid	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Opid` du message de journal. Ce champ est mappé sous la clé `op_id`.
Programme	event.idm.read_only_udm.principal.application	Valeur extraite du champ `Program` du message de journal.
Niveau de gravité	event.idm.read_only_udm.security_result.severity	Valeur extraite du champ `Severitylevel` du message de journal et mise en correspondance selon une mise en correspondance prédéfinie.
StoragePoliciesUsed	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `StoragePoliciesUsed` du message de journal. Ce champ est mappé sous la clé `storage_policies_used`.
Sous-client	event.idm.read_only_udm.additional.fields.value.string_value	Valeur extraite du champ `Subclient` du message de journal. Ce champ est mappé sous la clé `subclient_field`.
Type	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Type` du message de journal. Ce champ est mappé sous la clé `alert_type`.
Nom d'utilisateur	event.idm.read_only_udm.principal.user.userid	Valeur extraite du champ `Username` du message de journal.
anomaly_type	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Description` à l'aide de modèles Grok. Ce champ est mappé sous la clé `detected_anomaly_type`.
erreurs	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Description` à l'aide de modèles Grok. Ce champ est mappé sous la clé `errors_field`.
file_name	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Description` à l'aide de modèles Grok. Ce champ est mappé sous la clé `detected_malicious_file`.
media_agent	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Description` à l'aide de modèles Grok. Ce champ est mappé sous la clé `detected_media_agent`.
no_of_files_created	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Description` à l'aide de modèles Grok. Ce champ est mappé sous la clé `no_of_files_created_field`.
no_of_files_deleted	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Description` à l'aide de modèles Grok. Ce champ est mappé sous la clé `no_of_files_deleted_field`.
no_of_files_modified	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Description` à l'aide de modèles Grok. Ce champ est mappé sous la clé `no_of_files_modified_field`.
no_of_files_renamed	event.idm.read_only_udm.security_result.detection_fields.value	Valeur extraite du champ `Description` à l'aide de modèles Grok. Ce champ est mappé sous la clé `no_of_files_renamed_field`.
URL	event.idm.read_only_udm.network.http.referral_url	Valeur extraite du champ `Description` à l'aide de modèles Grok.
	event.idm.read_only_udm.metadata.event_type	Ce champ est défini sur `STATUS_UPDATE` si le champ `Client` est présent, sinon il est défini sur `GENERIC_EVENT`.
	event.idm.read_only_udm.metadata.product_name	Ce champ est défini sur `COMMVAULT`.
	event.idm.read_only_udm.metadata.vendor_name	Ce champ est défini sur `COMMVAULT`.
	event.idm.read_only_udm.principal.user.user_role	Ce champ est défini sur `ADMINISTRATOR` si le champ `User` est `Administrator`.
`Commcellname`	`additional.fields`	Mappé à partir du journal des modifications
`Operation`	`metadata.description`	Mappé à partir du journal des modifications
`Companyname`	`principal.user.company_name`	Mappé à partir du journal des modifications
`machine_name`	`principal.hostname`	Mappé à partir du journal des modifications
`locale`	`additional.fields`	Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.