Mengumpulkan log Epic Systems

Versi Parser: 4.0

Didukung di:

Dokumen ini menjelaskan cara menyerap log Epic Systems ke Google Security Operations menggunakan agen Bindplane.

Epic Systems adalah platform Catatan Kesehatan Elektronik (EHR) yang menghasilkan pesan syslog CEF untuk peristiwa audit, login/logout pengguna, akses pasien, dan operasi file. Parser mengekstrak key-value pair dan memetakannya ke Model Data Terpadu (UDM).

Sebelum memulai

  • Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps

  • Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd

  • Konektivitas jaringan antara agen Bindplane dan server Epic Systems

  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane

  • Akses istimewa ke Epic Systems

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan.

  4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.

  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sc query observiq-otel-collector

    Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sudo systemctl status observiq-otel-collector

    Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

  • Ganti seluruh konten config.yaml dengan konfigurasi berikut:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/epic:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: EPIC
        raw_log_field: body

service:
    pipelines:
        logs/epic_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/epic

Parameter konfigurasi

Ganti placeholder berikut:

  • Konfigurasi penerima:

    • listen_address: Alamat IP dan port yang akan diproses:
      • 0.0.0.0 untuk mendengarkan di semua antarmuka (direkomendasikan)
      • Port 514 adalah port syslog standar (memerlukan root di Linux; gunakan 1514 untuk non-root)

  • Konfigurasi pengekspor:

    • creds_file_path: Jalur lengkap ke file autentikasi penyerapan:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID Pelanggan yang disalin dari konsol Google SecOps
    • endpoint: URL endpoint regional:
      • Amerika Serikat: malachiteingestion-pa.googleapis.com
      • Eropa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Lihat Endpoint Regional untuk mengetahui daftar lengkapnya

Simpan file konfigurasi

  • Setelah mengedit, simpan file:
    • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
    • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart observiq-otel-collector

    1. Pastikan layanan sedang berjalan:

      sudo systemctl status observiq-otel-collector

    2. Periksa log untuk mengetahui error:

      sudo journalctl -u observiq-otel-collector -f

  • Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

    • Command Prompt atau PowerShell sebagai administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Konsol layanan:

      1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
      2. Cari observIQ OpenTelemetry Collector.
      3. Klik kanan, lalu pilih Mulai ulang.

      4. Pastikan layanan sedang berjalan:

        sc query observiq-otel-collector

      5. Periksa log untuk mengetahui error:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi layanan SendSIEMSyslogAudit

  1. Login ke konsol Epic Systems.
  2. Buka Start > Epic > Interconnect > <your instance> > Configuration editor.
  3. Pilih formulir Layanan bisnis.
  4. Di tab Service category, pilih SendSIEMSyslogAudit.
  5. Klik Simpan.

Mengonfigurasi Epic Systems untuk mengekspor syslog

  1. Buka Epic system definitions > Security > Auditing options > SIEM syslog settings.
  2. Berikan detail konfigurasi berikut:
    • Host: Masukkan alamat IP agen Bindplane.
    • Port: Masukkan nomor port agen Bindplane.
    • Format SIEM: Pilih CEF (Common Event Format).
    • Karakter akhir Syslog: Pilih Baris Baru "\n".
  3. Dari menu SIEM syslog settings, pilih SIEM syslog.
  4. Klik Aktif.

Tabel pemetaan UDM

Kolom log Pemetaan UDM Logika
APIID read_only_udm.additional.fields.api.value.string_value Nilai diambil dari kolom APIID di log mentah
APPLICATIONID read_only_udm.additional.fields.application_id.value.string_value Nilai diambil dari kolom APPLICATIONID di log mentah
APP read_only_udm.target.application Nilai diambil dari kolom APP di log mentah
SESI AUDIT read_only_udm.network.session_id Nilai diambil dari kolom SESI AUDIT di log mentah
AUTH_SOURCE Kolom ini tidak dipetakan ke UDM
BCAPCS read_only_udm.target.application Nilai diambil dari kolom BCAPCS di log mentah
BTGEXPLANATION read_only_udm.security_result.description Nilai diambil dari kolom BTGEXPLANATION di log mentah
BTGNOACCESSREAS read_only_udm.security_result.summary Nilai diambil dari kolom BTGNOACCESSREAS di log mentah
BTGREASON read_only_udm.security_result.summary Nilai diambil dari kolom BTGREASON dalam log mentah
CLIENTNAME read_only_udm.principal.hostname Nilai diambil dari kolom CLIENTNAME di log mentah
CSISESS_TOKEN read_only_udm.network.session_id Nilai diambil dari kolom CSISESS_TOKEN di log mentah
CTXT read_only_udm.metadata.description Nilai diambil dari kolom CTXT di log mentah
CVG read_only_udm.additional.fields.cvg.value.string_value Nilai diambil dari kolom CVG di log mentah
DAT Kolom ini tidak dipetakan ke UDM
DEP read_only_udm.principal.user.department Nilai diambil dari kolom DEP di log mentah. Jika kolom NEWDEPARTMENT dan PREVDEPARTMENT ada dalam log mentah, nilainya adalah PREVDEPARTMENT:-{PREVDEPARTMENT}, NEWDEPARTMENT:-{NEWDEPARTMENT}. Jika hanya NEWDEPARTMENT yang ada, nilainya adalah PREVDEPARTMENT:-NONE, NEWDEPARTMENT:{NEWDEPARTMENT}. Jika hanya PREVDEPARTMENT yang ada, nilainya adalah PREVDEPARTMENT:{PREVDEPARTMENT}, NEWDEPARTMENT:-NONE
devTime read_only_udm.metadata.event_timestamp Nilai diambil dari kolom devTime di log mentah dan dikonversi menjadi detik sejak epoch
devTimeFormat Kolom ini tidak dipetakan ke UDM
E3MID read_only_udm.network.session_id Nilai diambil dari kolom E3MID di log mentah
DIENKRIPSI read_only_udm.additional.fields.encrypt.value.string_value Nilai diambil dari kolom ENCRYPTED di log mentah
ERRMSG read_only_udm.security_result.summary Nilai diambil dari kolom ERRMSG dalam log mentah
eventCnt Kolom ini tidak dipetakan ke UDM
FILENAME read_only_udm.target.file.full_path Nilai diambil dari kolom FILENAME di log mentah dan semua kemunculan \\\\ diganti dengan \
flag read_only_udm.security_result.description Nilai diambil dari kolom tanda di log mentah dan semua - di awal dan akhir dihapus
HKUAPVER read_only_udm.metadata.product_version Nilai diambil dari kolom HKUAPVER di log mentah
HKUDVCID read_only_udm.principal.asset_id Nilai diambil dari kolom HKUDVCID di log mentah dan diformat sebagai Device ID:{HKUDVCID}
HKUOSNAM read_only_udm.principal.platform Nilai diambil dari kolom HKUOSNAM dalam log mentah dan dipetakan ke WINDOWS, MAC, LINUX, atau UNKNOWN_PLATFORM berdasarkan nilai
HKUOSVER read_only_udm.principal.platform_version Nilai diambil dari kolom HKUOSVER di log mentah
INSTANCEURN read_only_udm.intermediary.hostname Nilai diambil dari kolom INSTANCEURN di log mentah
IP read_only_udm.target.ip Nilai diambil dari kolom IP di log mentah. Jika nilai berisi /, nilai tersebut akan dibagi menjadi dua alamat IP. Jika nilai berisi ,, nilai tersebut akan dibagi menjadi beberapa alamat IP.
LOGINERROR read_only_udm.security_result.summary Nilai diambil dari kolom LOGINERROR di log mentah
LOGIN_CONTEXT read_only_udm.metadata.description Nilai diambil dari kolom LOGIN_CONTEXT di log mentah
LOGIN_DEVICE read_only_udm.additional.fields.login_device.value.string_value Nilai diambil dari kolom LOGIN_DEVICE di log mentah
LOGIN_LDAP_ID read_only_udm.principal.user.userid Nilai diambil dari kolom LOGIN_LDAP_ID dalam log mentah
LOGIN_REASON read_only_udm.security_result.summary Nilai diambil dari kolom LOGIN_REASON di log mentah
LOGIN_REVAL read_only_udm.additional.fields.login_reval.value.string_value Nilai diambil dari kolom LOGIN_REVAL di log mentah
MASKMODE read_only_udm.additional.fields.masked_mode.value.string_value Nilai diambil dari kolom MASKMODE dalam log mentah
MYCACCT read_only_udm.principal.user.userid Nilai diambil dari kolom MYCACCT di log mentah
NEWDEPARTMENT read_only_udm.principal.user.department Lihat logika untuk kolom DEP
NEWUSER Kolom ini tidak dipetakan ke UDM
NSC read_only_udm.additional.fields.nsc.value.string_value Nilai diambil dari kolom NSC di log mentah
OSUSR read_only_udm.target.user.userid Nilai diambil dari kolom OSUSR di log mentah
PASIEN read_only_udm.target.user.userid Nilai diambil dari kolom PATIENT di log mentah
PREVDEPARTMENT read_only_udm.principal.user.department Lihat logika untuk kolom DEP
PREVPROVIDER Kolom ini tidak dipetakan ke UDM
PREVUSER read_only_udm.principal.resource.attribute.labels.prev_user.value Nilai diambil dari kolom PREVUSER di log mentah
PWREASON read_only_udm.metadata.description Nilai diambil dari kolom PWREASON dalam log mentah
PERAN read_only_udm.principal.user.attribute.roles.name Nilai diambil dari kolom ROLE di log mentah
resource read_only_udm.target.hostname Nilai diambil dari kolom resource di log mentah
SERVICEID read_only_udm.additional.fields.service_id.value.string_value Nilai diambil dari kolom SERVICEID dalam log mentah
SERVICECATEGORY read_only_udm.additional.fields.service_category.value.string_value Nilai diambil dari kolom SERVICECATEGORY dalam log mentah
SERVICEMSGID Kolom ini tidak dipetakan ke UDM
SERVICENAME read_only_udm.target.resource.name Nilai diambil dari kolom SERVICENAME dalam log mentah
SERVICETYPE read_only_udm.target.resource.type Nilai diambil dari kolom SERVICETYPE dalam log mentah. Jika event_id adalah PHI_CLIENT_FILE, nilai ditetapkan ke FILE
SERVICE_USER read_only_udm.target.user.userid Nilai diambil dari kolom SERVICE_USER di log mentah
SERVICE_USERTYP read_only_udm.additional.fields.service_user_type.value.string_value Nilai diambil dari kolom SERVICE_USERTYP di log mentah
sev read_only_udm.security_result.severity Nilai diambil dari kolom sev di log mentah dan dipetakan ke LOW, HIGH, atau CRITICAL berdasarkan nilai
shost read_only_udm.target.resource.attribute.labels.workstation_type.value Nilai diambil dari kolom shost di log mentah
SUMBER read_only_udm.additional.fields.login_source.value.string_value Nilai diambil dari kolom SOURCE di log mentah
BERHASIL read_only_udm.additional.fields.success_yes_no.value.string_value Nilai diambil dari kolom SUCCESS di log mentah
WAKTU TUNGGU HABIS read_only_udm.additional.fields.time_out.value.string_value Nilai diambil dari kolom TIMEOUT di log mentah
UID read_only_udm.principal.user.userid Nilai diambil dari kolom UID dalam log mentah
USERJOB Kolom ini tidak dipetakan ke UDM
usrName read_only_udm.principal.user.userid, read_only_udm.principal.user.user_display_name Jika kolom UID atau LOGIN_LDAP_ID ada di log mentah, usrName digunakan untuk read_only_udm.principal.user.user_display_name dan kolom lainnya digunakan untuk read_only_udm.principal.user.userid. Jika tidak, usrName digunakan untuk read_only_udm.principal.user.userid
WEBLGAPP read_only_udm.target.application Nilai diambil dari kolom WEBLGAPP di log mentah
read_only_udm.extensions.auth.type Nilai disetel ke SSO jika LOGIN_LDAP_ID tidak kosong. Jika tidak, nilai ditetapkan ke AUTHTYPE_UNSPECIFIED.
read_only_udm.intermediary.ip Nilai ditetapkan ke alamat IP sumber log.
read_only_udm.metadata.event_type Nilai ditetapkan ke RESOURCE_READ jika event_id adalah salah satu dari IC_SERVICE_AUDIT, AC_BREAK_THE_GLASS_FAILED_ACCESS, AC_BREAK_THE_GLASS_INAPPROPRIATE_ATTEMPT, AC_BREAK_THE_GLASS_ACCESS, atau MCMEMEDISA dan target_ip_set adalah true atau resource tidak kosong. Nilai ditetapkan ke USER_LOGIN jika event_id adalah salah satu dari FAILEDLOGIN, LOGIN, ROVER_FAILED_LOGIN, SWITCHUSER, AUTHENTICATION, EW_LOGIN, ROVER_LOGIN, CTO_FAILED_LOGIN, CTO_LOGIN, HKU_FAILED_LOGIN, HKU_LOGIN, WPSEC_SEC_AUTH_OPT_OUT, WPSEC_SEC_AUTH_OPT_IN, BCA_LOGIN_FAILURE, BCA_LOGIN_SUCCESS, BCA_USER_LOCKED, WPSEC_LOGIN_FAIL, atau WPSEC_LOGIN_SUCCESS dan setidaknya salah satu dari target_ip_set, resource, SERVICENAME, SERVICETYPE, atau shost tidak kosong. Nilai ditetapkan ke USER_CHANGE_PASSWORD jika event_id adalah salah satu dari E_ADMINPASSWORDCHANGE, E_FAILEDPASSWORDCHANGE, E_SELFPASSWORDCHANGE, WPSEC_USER_PASSWORD_CHANGE_FAIL, atau WPSEC_USER_PASSWORD_CHANGE. Nilai ditetapkan ke USER_UNCATEGORIZED jika event_id adalah CONTEXTCHANGE. Nilai ditetapkan ke USER_RESOURCE_ACCESS jika event_id adalah salah satu dari SECURE, UNSECURE, MASKED_DATA_DISPLAY, atau MASKED_DATA_PRINTING. Nilai ditetapkan ke USER_RESOURCE_UPDATE_CONTENT jika event_id adalah PHI_CLIENT_FILE. Nilai disetel ke STATUS_UPDATE jika CLIENTNAME tidak kosong. Nilai ditetapkan ke USER_UNCATEGORIZED jika prin_usr_id tidak kosong. Jika tidak, nilai ditetapkan ke GENERIC_EVENT.
read_only_udm.metadata.log_type Nilai ditetapkan ke EPIC.
read_only_udm.metadata.product_name Nilai ditetapkan ke Epic Systems.
read_only_udm.metadata.vendor_name Nilai ditetapkan ke EPIC.
read_only_udm.network.ip_protocol Nilai berasal dari kolom proto dalam log mentah dan dipetakan ke nama protokol IP yang sesuai.
read_only_udm.principal.resource.attribute.labels.workstation_type.key Nilai ditetapkan ke Workstation ID/Type.
read_only_udm.principal.resource.attribute.labels.prev_user.key Nilai ditetapkan ke Prev User.
read_only_udm.security_result.action Nilai ditetapkan ke BLOCK jika kolom ERRMSG atau LOGINERROR ada dalam log mentah.
REMOTEIP event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
CLIENTTYPE event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
INTERNETAREA event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
LOGINCLIENTID event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
LOGINCONTEXT event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
PERIMAUTHST event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
HYPACCESSID event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
UNRECDEVICE event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.