收集 Fortra Powertech SIEM Agent 記錄

支援的國家/地區：

Google SecOps SIEM

注意： 這項功能受《Google Security Operations 服務專屬條款》的《正式發布前產品條款》規範。正式發布前的功能或許只提供部分支援，而且這類功能的變更可能與其他正式發布前版本不相容。詳情請參閱《Google SecOps 技術支援服務指南》和《Google SecOps 服務專屬條款》。

本指南說明如何使用 Bindplane 代理程式，將 Fortra Powertech SIEM Agent for IBM i 記錄檔擷取至 Google Security Operations。

Powertech SIEM Agent for IBM i (舊稱 Powertech Interact) 會監控 IBM i 記錄檔和訊息佇列，找出重要系統訊息和稽核項目，並透過 UDP、TCP、TLS、訊息佇列或串流檔案 (IFS) 傳輸訊息，然後根據 Micro Focus ArcSight Common Event Format (CEF) v25 格式，設定 Syslog 封包的 MSG 部分。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體。
• Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機。
• Bindplane 代理程式與執行 Powertech SIEM 代理程式的 IBM i 系統之間必須建立網路連線。
• 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟。
• 有權設定 Powertech SIEM Agent 的 IBM i 系統特殊存取權 (具有 *ALLOBJ 特殊授權的使用者設定檔，或 PTADMIN 授權清單的成員)。
• 在 IBM i 系統上安裝並授權 Powertech SIEM Agent for IBM i。

取得 Google SecOps 擷取驗證檔案

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 按一下「下載」即可下載擷取驗證檔案。

4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。

   注意： 這個 JSON 檔案包含驗證 Bindplane 代理程式與 Google SecOps 的憑證。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「設定檔」。

3. 複製並儲存「機構詳細資料」專區中的客戶 ID。

   注意： 設定 Bindplane 代理程式匯出工具時，必須提供客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 等待安裝完成。

4. 執行下列指令來驗證安裝：

   sc query observiq-otel-collector
   

   服務應顯示為「RUNNING」(執行中)。

Linux 安裝

1. 開啟具有根層級或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 等待安裝完成。

4. 執行下列指令來驗證安裝：

   sudo systemctl status observiq-otel-collector
   

   服務應顯示為啟用 (執行中)。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

Linux：

sudo nano /etc/bindplane-agent/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的所有內容替換為下列設定：

receivers:
    udplog:
    listen_address: "0.0.0.0:514"

exporters:
    chronicle/powertech_siem:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: FORTRA_POWERTECH_SIEM_AGENT
    raw_log_field: body
    ingestion_labels:
        env: production

service:
    pipelines:
    logs/powertech_to_chronicle:
        receivers:
        - udplog
        exporters:
        - chronicle/powertech_siem

設定參數

請替換下列預留位置：

接收器設定：

• listen_address：要接聽的 IP 位址和通訊埠。使用 0.0.0.0:514 在通訊埠 514 上監聽所有介面，或將通訊埠變更為 1514 或其他值 (如果通訊埠 514 需要根權限或已在使用中)。

匯出工具設定：

• creds_file_path：擷取驗證檔案的完整路徑：
  • Linux：/etc/bindplane-agent/ingestion-auth.json
  • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
• YOUR_CUSTOMER_ID：請替換為您的 Google SecOps 客戶 ID。
• endpoint：區域端點網址。請為 Google SecOps 執行個體使用適當的端點：
  • 美國：malachiteingestion-pa.googleapis.com
  • 歐洲：europe-malachiteingestion-pa.googleapis.com
  • 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
  • 如需完整清單，請參閱「區域端點」。
• ingestion_labels：YAML 格式的選用標籤 (例如 env: production、source: ibm_i)。

儲存設定檔

編輯完成後，請儲存檔案：

• Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
• Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

• Linux

  sudo systemctl restart observiq-otel-collector
  

  1. 確認服務正在執行：

     sudo systemctl status observiq-otel-collector
     

  2. 檢查記錄中是否有錯誤：

     sudo journalctl -u observiq-otel-collector -f
     

• Windows

  選擇下列其中一個選項：

  • 以管理員身分使用命令提示字元或 PowerShell：

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • 使用服務控制台：

    1. 按下 Win+R 鍵，輸入 services.msc，然後按下 Enter 鍵。
    2. 找出 observIQ OpenTelemetry Collector。

    3. 按一下滑鼠右鍵，然後選取「重新啟動」。

    4. 確認服務正在執行：

       sc query observiq-otel-collector
       

    5. 檢查記錄中是否有錯誤：

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

設定 Powertech SIEM 代理程式系統記錄檔轉送

在 IBM i 指令列中輸入 POWERTECH 開啟 Powertech 主選單，然後選擇選項 6 開啟 SIEM 代理程式主選單。

設定系統記錄格式

在 SIEM 代理程式主選單中，選擇選項 2 開啟「Work with Formats」面板。系統預設會納入 CEF、JSON、LEEF、MODERN 和 SYSLOG 格式。

1. 在 SYSLOG 旁邊輸入 2，然後按 Enter 鍵。
2. 在「Message Style」欄位中輸入 *SYSLOG。
3. 在「Header specification」欄位中輸入 RFC3164。
4. 確認「Use Header Format Compatibility」設為「Y」，然後儲存設定。

5. 按兩次 F3 鍵，返回主選單。

   注意： Format 物件會指定系統記錄標頭的相容性等級：RFC3164 或 RFC541。建議採用 RFC 5424 標頭規格。

建立網路輸出

在主選單中選擇選項 3「Work with Outputs」，然後按 F6 建立新輸出內容。

1. 輸入下列選項：
   • 名稱：CHRONICLE (或描述性名稱)
   • 說明：Chronicle Bindplane 輸出內容
   • 有效：1
   • 格式：SYSLOG
   • 類型：*NETWORK
2. 按下 Enter 鍵。
3. 在後續畫面中輸入下列選項：
   • 位置：輸入安裝 Bindplane 代理程式的機器 IP 位址
   • 通訊埠：514 (或在 Bindplane 代理程式中設定的通訊埠)
   • 通訊協定：UDP

4. 按下 Enter 鍵儲存變更，然後按下 F12 鍵關閉視窗。

   注意： 網路位置規格可以是 IP 位址、DNS 定義的名稱，或完全不同的內容，只要名稱可由網路設定解析即可。通訊協定選項包括 UDP、TCP 或 TLS。

將輸出內容附加至事件來源

選擇選項 1「Work with Event Sources」，然後在 AUDIT 旁邊輸入 2 並按下 Enter 鍵。

1. 按下 F8 鍵「維護輸出」，然後按下 F6 鍵「附加」，即可附加最近建立的輸出內容。在 CHRONICLE (或輸出名稱) 旁邊輸入 1，然後按下 Enter 鍵。
2. 按 F3 鍵返回主選單。

啟用活動說明

在 SIEM 代理程式主選單中選擇選項 1，然後輸入 9 做為事件來源。系統會顯示「處理事件說明」面板。使用選項 6 啟用要處理的事件。

注意： 如果是日誌事件，請使用選項 8 啟用所需子類型。

提交設定變更

在主選單中選擇選項 82「Work with Utilities」，然後選取選項 1「Commit configuration changes」。

開始監控 SIEM 代理程式

如果 SIEM 代理程式尚未執行，請啟動監控作業：

1. 在 IBM i 指令列中輸入：

   CALL PTSTARTUP
   

2. 這些指令會在 PTWRKMGT 子系統中啟動必要的中央管理和 SIEM 代理程式監控工作。

確認記錄是否已傳送

1. 查看 Bindplane 代理程式記錄，確認記錄是否已傳送至 Bindplane 代理程式 (如需記錄位置，請參閱上方的重新啟動一節)。
2. 確認記錄是否顯示在 Google SecOps 控制台中 (初始擷取作業需要 5 到 10 分鐘)。
3. 視需要指派訊息佇列，記錄 SIEM 代理程式傳送的所有訊息，確認已傳送的訊息。

UDM 對應表

記錄欄位	UDM 對應	邏輯
principal_ip	principal.ip	主體的 IP 位址。
dst_ip	target.ip	目標的 IP 位址。
sourceTranslatedAddress	principal.nat_ip	主體的 NAT IP 位址。
destinationTranslatedAddress	target.nat_ip	目標的 NAT IP 位址。
dvc	about.ip	資產的 IP 位址。
deviceTranslatedAddress	about.nat_ip	資產的 NAT IP 位址。
smac	principal.mac	主體的 MAC 位址。
dmac	target.mac	目標的 MAC 位址。
dvcmac	about.mac	資產的 MAC 位址。
spriv	principal.user.attribute.roles	與主體使用者相關聯的角色。
dpriv	target.user.attribute.roles	與目標使用者相關聯的角色。
oldFilePermission	src.resource.attribute.permissions	來源資源的權限。
filePermission	about.resource.attribute.permissions	資源的權限。
cat	security_result.category_details	安全性結果類別的其他詳細資料。
device_vendor、device_product、deviceExternalId	about.asset.asset_id	資產的專屬 ID。
out	network.sent_bytes	網路連線中傳送的位元組數。
在	network.received_bytes	網路連線中接收的位元組數。
fsize	about.file.size	檔案大小。
oldFileSize	src.file.size	來源檔案的大小。
destinationTranslatedPort	target.nat_port	目標的 NAT 通訊埠。
dpt	target.port	目標的通訊埠號碼。
sourceTranslatedPort	principal.nat_port	主體的 NAT 埠。
spt	principal.port	主體的連接埠號碼。
rt	metadata.event_timestamp	事件發生的時間戳記。
嚴重性	security_result.severity	安全結果的嚴重程度。
app_protocol_src	network.application_protocol	網路連線中使用的應用程式通訊協定。
proto	network.ip_protocol	網路連線中使用的 IP 通訊協定。
deviceDirection	network.direction	網路流量的方向。
act	security_result.action	保全系統採取的動作。
outcome、categoryOutcome、cs2	security_result.action	保全系統採取的動作。
msg_data_2	security_result.description	安全性結果的說明。
msg	metadata.description	活動說明。
destinationServiceName	target.application	與目標相關聯的應用程式。
dntdom	target.administrative_domain	目標的管理網域。
oldFilePath	src.file.full_path	來源檔案的完整路徑。
requestClientApplication	network.http.user_agent	HTTP 要求的 User-Agent 字串。
requestMethod	network.http.method	要求中使用的 HTTP 方法。
filePath	about.file.full_path	檔案的完整路徑。
dvchost	about.hostname	資產的主機名稱。
deviceNtDomain	about.administrative_domain	資產的管理網域。
dvcpid	about.process.pid	資產的程序 ID。
deviceProcessName	about.process.command_line	資產上程序的指令列。
_hash	about.file.sha256	檔案的 SHA256 雜湊值。
externalId	metadata.product_log_id	產品專屬記錄 ID。
security_result.action_details	security_result.action_details	安全性動作的其他詳細資料。
device_version	metadata.product_version	產生事件的產品版本。
temp_dhost	target.hostname	目標的主機名稱。
要求	target.url	與目標相關聯的網址。
temp_duser	target.user.user_display_name	目標使用者的顯示名稱。
temp_duid	target.user.userid	目標使用者的使用者 ID。
Device_name	principal.hostname	主體的主機名稱。
Enhetsnavn	principal.hostname	主體的主機名稱。
網域	principal.administrative_domain	主體的管理網域。
Domene	principal.administrative_domain	主體的管理網域。
Group_name	principal.group.group_display_name	主體群組的顯示名稱。
Gruppenavn	principal.group.group_display_name	主體群組的顯示名稱。
Received, Mottatt	metadata.collected_timestamp	收集事件時的時間戳記。
Generated, Generert	metadata.event_timestamp	事件發生的時間戳記。
主旨	about.process.command_line	程序的指令列。
Emne	about.process.command_line	程序的指令列。
路徑	about.process.command_line	程序的指令列。
類型	security_result.description	安全性結果的說明。
Scan_Type	security_result.description	安全性結果的說明。
使用者	target.user.userid	目標使用者的使用者 ID。
Bruker	target.user.userid	目標使用者的使用者 ID。
CustomerName	target.user.user_display_name	目標使用者的顯示名稱。
File_name、Object、Objekt、Infected_Resource	target.process.file.full_path	與目標程序相關聯的檔案完整路徑。
Action_Taken	security_result.action_details	安全性動作的其他詳細資料。
Spyware、Virus_Malware_Name、Unknown_Threat	security_result.threat_name	偵測到的威脅名稱。
shost	principal.hostname	主體的主機名稱。
shost	principal.ip	主體的 IP 位址。
sntdom	principal.administrative_domain	主體的管理網域。
sourceServiceName	principal.application	與主體相關聯的應用程式。
spid	principal.process.pid	主體的程序 ID。
sproc	principal.process.command_line	主要程序的指令列。
suid	principal.user.userid	主要使用者的使用者 ID。
suser	principal.user.user_display_name	主體使用者的顯示名稱。
dpid	target.process.pid	目標程序的程序 ID。
dproc	target.process.command_line	目標程序的指令列。
原因	security_result.summary	安全結果摘要。
event_name、device_event_class_id	metadata.product_event_type	產品專屬的事件類型。
fileHash	about.file.sha256	檔案的 SHA256 雜湊值。
關於	關於	事件的其他資訊。
mwProfile	security_result.rule_name	觸發安全結果的規則名稱。
appcategory	security_result.summary	安全結果摘要。
結果	security_result.summary	安全結果摘要。
eventid	additional.fields	活動的其他欄位。
eventId	additional.fields	活動的其他欄位。
devicePayloadId	additional.fields	活動的其他欄位。
fname	additional.fields	活動的其他欄位。
cs1、cs1Label	additional.fields	活動的其他欄位。
cs2、cs2Label	additional.fields	活動的其他欄位。
cs3、cs3Label	additional.fields	活動的其他欄位。
cs4、cs4Label	additional.fields	活動的其他欄位。
cs5、cs5Label	additional.fields	活動的其他欄位。
cs6、cs6Label	additional.fields	活動的其他欄位。
cs7、cs7Label	additional.fields	活動的其他欄位。
flexString1、flexString1Label	additional.fields	活動的其他欄位。
cn1、cn1Label	additional.fields	活動的其他欄位。
cn2、cn2Label	additional.fields	活動的其他欄位。
cn3、cn3Label	additional.fields	活動的其他欄位。
cfp1、cfp1Label	additional.fields	活動的其他欄位。
cfp2、cfp2Label	additional.fields	活動的其他欄位。
cfp3、cfp3Label	additional.fields	活動的其他欄位。
cfp4、cfp4Label	additional.fields	活動的其他欄位。
作業	security_result.detection_fields	用於偵測威脅的欄位。
Operasjon	security_result.detection_fields	用於偵測威脅的欄位。
權限	security_result.detection_fields	用於偵測威脅的欄位。
Tillatelse	security_result.detection_fields	用於偵測威脅的欄位。
Infection_Channel	security_result.detection_fields	用於偵測威脅的欄位。
IPv6_Address	target.ip	目標的 IP 位址。
Resource_Type	target.resource.attribute.labels	目標資源屬性的標籤。
Spyware_Grayware_Type	security_result.detection_fields	用於偵測威脅的欄位。
Threat_Probability	security_result.detection_fields	用於偵測威脅的欄位。
security_result	security_result	活動的安全結果。
主機	principal.hostname	主體的主機名稱。
失敗	metadata.description	活動說明。
已變更	metadata.description	活動說明。
log_version	additional.fields	活動的其他欄位。
cnt	additional.fields	活動的其他欄位。
fileType	target.file.mime_type	目標檔案的 MIME 類型。
fname	target.file.names	目標檔案的名稱。
ip	principal.ip	主體的 IP 位址。
metadata.event_type	metadata.event_type	事件類型。
principal_hostname	principal.asset.hostname	主要資產的主機名稱。
principal_asset_hostname	principal.asset.hostname	主要資產的主機名稱。
target_hostname	target.asset.hostname	目標資產的主機名稱。
target_asset_hostname	target.asset.hostname	目標資產的主機名稱。
device_vendor	metadata.vendor_name	產品的供應商名稱。
device_product	metadata.product_name	產品名稱。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。