Mengumpulkan log Epic Systems

Versi Parser: 4.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Epic Systems ke Google Security Operations menggunakan agen Bindplane.

Epic Systems adalah platform Catatan Kesehatan Elektronik (EHR) yang menghasilkan pesan syslog CEF untuk peristiwa audit, login/logout pengguna, akses pasien, dan operasi file. Parser mengekstrak key-value pair dan memetakannya ke Unified Data Model (UDM).

Sebelum memulai

• Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps

• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd

• Konektivitas jaringan antara agen Bindplane dan server Epic Systems

• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane

• Akses istimewa ke Epic Systems

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus menggunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke Google Cloud konsol dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori pengumpul Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar cocok dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Berencana beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai active (running).

Referensi penginstalan tambahan

Untuk mengetahui opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen Bindplane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan Bindplane collector v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/epic:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: EPIC
      raw_log_field: body
  
  service:
    pipelines:
      logs/epic_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/epic
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • listen_address: Alamat IP dan port untuk diproses:
    • 0.0.0.0 untuk memproses semua antarmuka (direkomendasikan)
    • Port 514 adalah port syslog standar (memerlukan root di Linux; gunakan 1514 untuk non-root)

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID Pelanggan yang disalin dari konsol Google SecOps
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap disetel ke chronicle.googleapis.com.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/epic:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: EPIC
      raw_log_field: body
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Simpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol layanan:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Restart.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi layanan SendSIEMSyslogAudit

1. Login ke konsol Epic Systems.
2. Buka Start > Epic > Interconnect > <your instance> > Configuration editor.
3. Pilih formulir Layanan bisnis.
4. Di tab Service category, pilih SendSIEMSyslogAudit.
5. Klik Simpan.

Mengonfigurasi Epic Systems untuk mengekspor syslog

1. Buka Epic system definitions > Security > Auditing options > SIEM syslog settings.
2. Berikan detail konfigurasi berikut:
   • Host: Masukkan alamat IP agen Bindplane.
   • Port: Masukkan nomor port agen Bindplane.
   • Format SIEM: Pilih CEF (Common Event Format).
   • Karakter akhir Syslog: Pilih Baris Baru "\n".
3. Dari menu Setelan syslog SIEM, pilih Syslog SIEM.
4. Klik Enabled.

Tabel pemetaan UDM

Kolom log	Pemetaan UDM	Logika
APIID	read_only_udm.additional.fields.api.value.string_value	Nilai diambil dari kolom APIID di log mentah
APPLICATIONID	read_only_udm.additional.fields.application_id.value.string_value	Nilai diambil dari kolom APPLICATIONID di log mentah
APP	read_only_udm.target.application	Nilai diambil dari kolom APP di log mentah
SESI AUDIT	read_only_udm.network.session_id	Nilai diambil dari kolom AUDIT SESSION di log mentah
AUTH_SOURCE		Kolom ini tidak dipetakan ke UDM
BCAPCS	read_only_udm.target.application	Nilai diambil dari kolom BCAPCS di log mentah
BTGEXPLANATION	read_only_udm.security_result.description	Nilai diambil dari kolom BTGEXPLANATION di log mentah
BTGNOACCESSREAS	read_only_udm.security_result.summary	Nilai diambil dari kolom BTGNOACCESSREAS di log mentah
BTGREASON	read_only_udm.security_result.summary	Nilai diambil dari kolom BTGREASON dalam log mentah
CLIENTNAME	read_only_udm.principal.hostname	Nilai diambil dari kolom CLIENTNAME di log mentah
CSISESS_TOKEN	read_only_udm.network.session_id	Nilai diambil dari kolom CSISESS_TOKEN di log mentah
CTXT	read_only_udm.metadata.description	Nilai diambil dari kolom CTXT di log mentah
CVG	read_only_udm.additional.fields.cvg.value.string_value	Nilai diambil dari kolom CVG di log mentah
DAT		Kolom ini tidak dipetakan ke UDM
DEP	read_only_udm.principal.user.department	Nilai diambil dari kolom DEP di log mentah. Jika kolom NEWDEPARTMENT dan PREVDEPARTMENT ada dalam log mentah, nilainya adalah PREVDEPARTMENT:-{PREVDEPARTMENT}, NEWDEPARTMENT:-{NEWDEPARTMENT}. Jika hanya NEWDEPARTMENT yang ada, nilainya akan menjadi PREVDEPARTMENT:-NONE, NEWDEPARTMENT:{NEWDEPARTMENT}. Jika hanya PREVDEPARTMENT yang ada, nilainya adalah PREVDEPARTMENT:{PREVDEPARTMENT}, NEWDEPARTMENT:-NONE
devTime	read_only_udm.metadata.event_timestamp	Nilai diambil dari kolom devTime di log mentah dan dikonversi menjadi detik sejak epoch
devTimeFormat		Kolom ini tidak dipetakan ke UDM
E3MID	read_only_udm.network.session_id	Nilai diambil dari kolom E3MID di log mentah
DIENKRIPSI	read_only_udm.additional.fields.encrypt.value.string_value	Nilai diambil dari kolom ENCRYPTED di log mentah
ERRMSG	read_only_udm.security_result.summary	Nilai diambil dari kolom ERRMSG dalam log mentah
eventCnt		Kolom ini tidak dipetakan ke UDM
FILENAME	read_only_udm.target.file.full_path	Nilai diambil dari kolom FILENAME di log mentah dan semua kemunculan \\\\ diganti dengan \
flag	read_only_udm.security_result.description	Nilai diambil dari kolom tanda di log mentah dan semua - di awal dan akhir dihapus
HKUAPVER	read_only_udm.metadata.product_version	Nilai diambil dari kolom HKUAPVER di log mentah
HKUDVCID	read_only_udm.principal.asset_id	Nilai diambil dari kolom HKUDVCID di log mentah dan diformat sebagai Device ID:{HKUDVCID}
HKUOSNAM	read_only_udm.principal.platform	Nilai diambil dari kolom HKUOSNAM di log mentah dan dipetakan ke WINDOWS, MAC, LINUX, atau UNKNOWN_PLATFORM berdasarkan nilai
HKUOSVER	read_only_udm.principal.platform_version	Nilai diambil dari kolom HKUOSVER di log mentah
INSTANCEURN	read_only_udm.intermediary.hostname	Nilai diambil dari kolom INSTANCEURN di log mentah
IP	read_only_udm.target.ip	Nilai diambil dari kolom IP di log mentah. Jika nilai berisi /, nilai tersebut akan dibagi menjadi dua alamat IP. Jika nilai berisi ,, nilai tersebut akan dibagi menjadi beberapa alamat IP.
LOGINERROR	read_only_udm.security_result.summary	Nilai diambil dari kolom LOGINERROR di log mentah
LOGIN_CONTEXT	read_only_udm.metadata.description	Nilai diambil dari kolom LOGIN_CONTEXT di log mentah
LOGIN_DEVICE	read_only_udm.additional.fields.login_device.value.string_value	Nilai diambil dari kolom LOGIN_DEVICE di log mentah
LOGIN_LDAP_ID	read_only_udm.principal.user.userid	Nilai diambil dari kolom LOGIN_LDAP_ID dalam log mentah
LOGIN_REASON	read_only_udm.security_result.summary	Nilai diambil dari kolom LOGIN_REASON di log mentah
LOGIN_REVAL	read_only_udm.additional.fields.login_reval.value.string_value	Nilai diambil dari kolom LOGIN_REVAL di log mentah
MASKMODE	read_only_udm.additional.fields.masked_mode.value.string_value	Nilai diambil dari kolom MASKMODE di log mentah
MYCACCT	read_only_udm.principal.user.userid	Nilai diambil dari kolom MYCACCT di log mentah
NEWDEPARTMENT	read_only_udm.principal.user.department	Lihat logika untuk kolom DEP
NEWUSER		Kolom ini tidak dipetakan ke UDM
NSC	read_only_udm.additional.fields.nsc.value.string_value	Nilai diambil dari kolom NSC di log mentah
OSUSR	read_only_udm.target.user.userid	Nilai diambil dari kolom OSUSR di log mentah
PATIENT	read_only_udm.target.user.userid	Nilai diambil dari kolom PATIENT di log mentah
PREVDEPARTMENT	read_only_udm.principal.user.department	Lihat logika untuk kolom DEP
PREVPROVIDER		Kolom ini tidak dipetakan ke UDM
PREVUSER	read_only_udm.principal.resource.attribute.labels.prev_user.value	Nilai diambil dari kolom PREVUSER di log mentah
PWREASON	read_only_udm.metadata.description	Nilai diambil dari kolom PWREASON dalam log mentah
PERAN	read_only_udm.principal.user.attribute.roles.name	Nilai diambil dari kolom ROLE di log mentah
resource	read_only_udm.target.hostname	Nilai diambil dari kolom resource di log mentah
SERVICEID	read_only_udm.additional.fields.service_id.value.string_value	Nilai diambil dari kolom SERVICEID di log mentah
SERVICECATEGORY	read_only_udm.additional.fields.service_category.value.string_value	Nilai diambil dari kolom SERVICECATEGORY di log mentah
SERVICEMSGID		Kolom ini tidak dipetakan ke UDM
SERVICENAME	read_only_udm.target.resource.name	Nilai diambil dari kolom SERVICENAME di log mentah
SERVICETYPE	read_only_udm.target.resource.type	Nilai diambil dari kolom SERVICETYPE dalam log mentah. Jika event_id adalah PHI_CLIENT_FILE, nilainya ditetapkan ke FILE
SERVICE_USER	read_only_udm.target.user.userid	Nilai diambil dari kolom SERVICE_USER di log mentah
SERVICE_USERTYP	read_only_udm.additional.fields.service_user_type.value.string_value	Nilai diambil dari kolom SERVICE_USERTYP di log mentah
sev	read_only_udm.security_result.severity	Nilai diambil dari kolom sev di log mentah dan dipetakan ke LOW, HIGH, atau CRITICAL berdasarkan nilai
shost	read_only_udm.target.resource.attribute.labels.workstation_type.value	Nilai diambil dari kolom shost di log mentah
SUMBER	read_only_udm.additional.fields.login_source.value.string_value	Nilai diambil dari kolom SOURCE di log mentah
BERHASIL	read_only_udm.additional.fields.success_yes_no.value.string_value	Nilai diambil dari kolom SUCCESS di log mentah
TIMEOUT	read_only_udm.additional.fields.time_out.value.string_value	Nilai diambil dari kolom TIMEOUT di log mentah
UID	read_only_udm.principal.user.userid	Nilai diambil dari kolom UID di log mentah
USERJOB		Kolom ini tidak dipetakan ke UDM
usrName	read_only_udm.principal.user.userid, read_only_udm.principal.user.user_display_name	Jika kolom UID atau LOGIN_LDAP_ID ada di log mentah, usrName digunakan untuk read_only_udm.principal.user.user_display_name dan kolom lainnya digunakan untuk read_only_udm.principal.user.userid. Jika tidak, usrName akan digunakan untuk read_only_udm.principal.user.userid
WEBLGAPP	read_only_udm.target.application	Nilai diambil dari kolom WEBLGAPP di log mentah
	read_only_udm.extensions.auth.type	Nilai disetel ke SSO jika LOGIN_LDAP_ID tidak kosong. Jika tidak, nilai ini akan ditetapkan ke AUTHTYPE_UNSPECIFIED.
	read_only_udm.intermediary.ip	Nilai ditetapkan ke alamat IP sumber log.
	read_only_udm.metadata.event_type	Nilai ditetapkan ke RESOURCE_READ jika event_id adalah salah satu dari IC_SERVICE_AUDIT, AC_BREAK_THE_GLASS_FAILED_ACCESS, AC_BREAK_THE_GLASS_INAPPROPRIATE_ATTEMPT, AC_BREAK_THE_GLASS_ACCESS, atau MCMEMEDISA dan target_ip_set adalah true atau resource tidak kosong. Nilai ditetapkan ke USER_LOGIN jika event_id adalah salah satu dari FAILEDLOGIN, LOGIN, ROVER_FAILED_LOGIN, SWITCHUSER, AUTHENTICATION, EW_LOGIN, ROVER_LOGIN, CTO_FAILED_LOGIN, CTO_LOGIN, HKU_FAILED_LOGIN, HKU_LOGIN, WPSEC_SEC_AUTH_OPT_OUT, WPSEC_SEC_AUTH_OPT_IN, BCA_LOGIN_FAILURE, BCA_LOGIN_SUCCESS, BCA_USER_LOCKED, WPSEC_LOGIN_FAIL, atau WPSEC_LOGIN_SUCCESS dan setidaknya salah satu dari target_ip_set, resource, SERVICENAME, SERVICETYPE, atau shost tidak kosong. Nilai ditetapkan ke USER_CHANGE_PASSWORD jika event_id adalah salah satu dari E_ADMINPASSWORDCHANGE, E_FAILEDPASSWORDCHANGE, E_SELFPASSWORDCHANGE, WPSEC_USER_PASSWORD_CHANGE_FAIL, atau WPSEC_USER_PASSWORD_CHANGE. Nilai ditetapkan ke USER_UNCATEGORIZED jika event_id adalah CONTEXTCHANGE. Nilai ditetapkan ke USER_RESOURCE_ACCESS jika event_id adalah salah satu dari SECURE, UNSECURE, MASKED_DATA_DISPLAY, atau MASKED_DATA_PRINTING. Nilai ditetapkan ke USER_RESOURCE_UPDATE_CONTENT jika event_id adalah PHI_CLIENT_FILE. Nilai disetel ke STATUS_UPDATE jika CLIENTNAME tidak kosong. Nilai ditetapkan ke USER_UNCATEGORIZED jika prin_usr_id tidak kosong. Jika tidak, nilai ini akan ditetapkan ke GENERIC_EVENT.
	read_only_udm.metadata.log_type	Nilai ditetapkan ke EPIC.
	read_only_udm.metadata.product_name	Nilai ditetapkan ke Epic Systems.
	read_only_udm.metadata.vendor_name	Nilai ditetapkan ke EPIC.
	read_only_udm.network.ip_protocol	Nilai berasal dari kolom proto dalam log mentah dan dipetakan ke nama protokol IP yang sesuai.
	read_only_udm.principal.resource.attribute.labels.workstation_type.key	Nilai ditetapkan ke Workstation ID/Type.
	read_only_udm.principal.resource.attribute.labels.prev_user.key	Nilai ditetapkan ke Prev User.
	read_only_udm.security_result.action	Nilai ditetapkan ke BLOCK jika kolom ERRMSG atau LOGINERROR ada dalam log mentah.
REMOTEIP	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
CLIENTTYPE	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
INTERNETAREA	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
LOGINCLIENTID	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
LOGINCONTEXT	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
PERIMAUTHST	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
HYPACCESSID	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
UNRECDEVICE	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.