Mengumpulkan log IBM Guardium

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log IBM Guardium ke Google Security Operations menggunakan Bindplane.

IBM Guardium adalah platform pemantauan aktivitas database dan perlindungan data yang menyediakan pemantauan, audit, dan perlindungan real-time untuk database dan sistem file. Guardium menawarkan kemampuan penilaian kerentanan, penemuan dan klasifikasi data, pemantauan aktivitas database, dan pelaporan kepatuhan.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan IBM Guardium Collector
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke IBM Guardium CLI
• IBM Guardium versi 9.1 atau yang lebih baru untuk dukungan syslog terenkripsi (opsional)

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke Google Cloud konsol dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Nama akun layanan: Masukkan nama untuk akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori pengumpul Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar cocok dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen Bindplane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan pengumpul Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade pengumpul sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/guardium:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: chronicle.googleapis.com
      log_type: GUARDIUM
      raw_log_field: body
      ingestion_labels:
        log_source: guardium
  
  service:
    pipelines:
      logs/guardium_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/guardium
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • Gunakan udplog untuk syslog UDP (paling umum untuk Guardium).
  • Gunakan tcplog untuk syslog TCP jika diperlukan.
  • Alamat pemrosesan 0.0.0.0:514 memproses semua antarmuka di port 514.

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID Pelanggan dari langkah sebelumnya.
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap tetapkan ke chronicle.googleapis.com.
  • log_type: Harus GUARDIUM.
  • ingestion_labels: Label opsional dalam format YAML.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur file autentikasi penyerapan, dan jika instance Anda berada di luar Amerika Serikat, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/guardium:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: GUARDIUM
      raw_log_field: body
      ingestion_labels:
        log_source: guardium
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Menyimpan file konfigurasi

Setelah mengedit, simpan file:

• Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
• Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

       sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

       sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol layanan:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.

    3. Klik kanan, lalu pilih Restart.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi penerusan syslog IBM Guardium

Mengonfigurasi tujuan syslog melalui CLI

Untuk membuat tujuan syslog bagi peristiwa di IBM Guardium, Anda harus login ke antarmuka command line dan menentukan alamat IP untuk host agen Bindplane.

1. Dengan menggunakan SSH, login ke IBM Guardium Collector sebagai pengguna CLI.

2. Ketik perintah berikut untuk mengonfigurasi tujuan syslog:

   • Untuk syslog UDP (direkomendasikan):

     store remotelog add non_encrypted daemon.all BINDPLANE_AGENT_IP udp
     

   • Untuk syslog TCP:

     store remotelog add non_encrypted daemon.all BINDPLANE_AGENT_IP:514 tcp
     

   • Untuk tingkat keseriusan tertentu:

     store remotelog add non_encrypted daemon.alert BINDPLANE_AGENT_IP udp
     store remotelog add non_encrypted daemon.err BINDPLANE_AGENT_IP udp
     store remotelog add non_encrypted daemon.warning BINDPLANE_AGENT_IP udp
     

     • Ganti BINDPLANE_AGENT_IP dengan alamat IP host tempat agen Bindplane diinstal.

3. Verifikasi konfigurasi dengan menjalankan:

   show remotelog
   

   Output akan menampilkan tujuan syslog jarak jauh yang Anda konfigurasi.

   Catatan: Pesan aplikasi Guardium berasal dari fasilitas daemon. Tingkat prioritas (alert, err, warning) sesuai dengan tingkat keparahan yang dikonfigurasi dalam kebijakan Guardium.

Mengonfigurasi syslog terenkripsi (opsional)

Jika Anda memerlukan penerusan syslog terenkripsi, IBM Guardium versi 9.1 dan yang lebih baru mendukung enkripsi TLS melalui TCP.

1. Dapatkan sertifikat publik dalam format PEM dari certificate authority yang digunakan oleh penerima syslog jarak jauh Anda.
2. Login ke CLI di Guardium Collector.

3. Ketik perintah berikut:

   store remotelog add encrypted daemon.all BINDPLANE_AGENT_IP:6514 tcp
   

4. Saat diminta, tempel sertifikat CA dalam format PEM, termasuk baris BEGIN dan END, lalu tekan Ctrl+D.

5. Guardium menyimpan sertifikat sebagai /etc/pki/rsyslog/ca.pem.

   Catatan: Enkripsi hanya berfungsi dalam mode TCP. Tanpa parameter tcp, penerusan syslog ditetapkan secara default ke UDP, dan enkripsi tidak akan berfungsi.

Mengonfigurasi template pesan (opsional)

Guardium mendukung beberapa format pesan, termasuk CEF (Common Event Format) dan LEEF (Log Event Extended Format). Format default cocok untuk sebagian besar deployment.

Untuk menyesuaikan template pesan:

1. Login ke GUI peralatan Guardium sebagai pengguna dengan hak istimewa admin.
2. Buka konsol admin > Configuration > Global Profile.
3. Di bagian Template Pesan, edit template dengan format yang Anda inginkan.
4. Klik Simpan.

Catatan: Perubahan template pesan hanya memengaruhi pengiriman log jarak jauh dan memerlukan memulai ulang mesin inspeksi.

Mengonfigurasi kebijakan untuk mengirim pemberitahuan ke syslog

Kebijakan di IBM Guardium bertanggung jawab untuk bereaksi terhadap peristiwa dan meneruskan informasi peristiwa ke penerima syslog jarak jauh.

Mengonfigurasi tindakan pemberitahuan kebijakan

1. Login ke GUI perangkat Guardium.
2. Klik tab Alat.
3. Dari navigasi kiri, pilih Policy Builder.
4. Dari panel Pencari Kebijakan, pilih kebijakan yang ada, lalu klik Edit Aturan.
5. Klik Edit Aturan ini satu per satu.
6. Access Rule Definition akan ditampilkan.
7. Klik Add Action.
8. Dari daftar Tindakan, pilih salah satu jenis notifikasi berikut:
   • Peringatan Per Kecocokan: Notifikasi diberikan untuk setiap pelanggaran kebijakan.
   • Pemberitahuan Harian: Notifikasi diberikan saat pelanggaran kebijakan terjadi untuk pertama kalinya pada hari itu.
   • Peringatan Sekali Per Sesi: Notifikasi diberikan per pelanggaran kebijakan untuk sesi unik.
   • Alert Per Time Granularity: Notifikasi diberikan sesuai jangka waktu yang Anda pilih.
9. Dari daftar Template Pesan, pilih template yang diperlukan atau tetap gunakan Default.
10. Dari Notification Type, pilih SYSLOG.
11. Klik Tambahkan, lalu klik Terapkan.
12. Klik Simpan.
13. Ulangi proses ini untuk semua aturan dalam kebijakan yang ingin Anda teruskan ke Google SecOps.

Menginstal kebijakan

Setiap kebijakan baru atau yang diedit di IBM Guardium harus diinstal sebelum tindakan pemberitahuan atau perubahan aturan yang diperbarui dapat terjadi.

1. Klik tab Administration Console.
2. Dari navigasi sebelah kiri, pilih Konfigurasi > Penginstalan Kebijakan.
3. Dari panel Policy Installer, pilih kebijakan yang Anda ubah di langkah sebelumnya.
4. Dari menu drop-down, pilih Install and Override.
5. Konfirmasi akan ditampilkan untuk menginstal kebijakan ke semua Inspection Engine.
6. Klik Oke.

Catatan: Notifikasi yang dikirim ke server syslog dikirim dari Collector. Pastikan Anda mengonfigurasi penerusan syslog di perangkat Collector yang menghasilkan pemberitahuan.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
deviceNtDomain	about.administrative_domain	Domain administratif entitas tentang
deviceExternalId	about.asset.asset_id	ID aset
filePath, fileHash	about.file.full_path	Jalur lengkap file
_hash, fileHash	about.file.sha256	Hash SHA256 file
fsize	about.file.size	Ukuran file
dvchost	about.hostname	Nama host entitas tentang
dvc	about.ip	Alamat IP entitas yang dibahas
smac, dmac, dvcmac	about.mac	Alamat MAC entitas tentang
deviceProcessName, Subject, Emne, Path	about.process.command_line	Command line proses
dvcpid	about.process.pid	ID proses
filePermission	about.resource.attribute.permissions	Izin yang terkait dengan resource
	extensions.auth.type	Authentication type
sender_ip	intermediary.ip	Alamat IP perantara
	intermediary	Detail entitas perantara
Received, Generated, timestamp	metadata.collected_timestamp	Stempel waktu saat peristiwa dikumpulkan
msg, signature_name	metadata.description	Deskripsi peristiwa
	metadata.event_type	Jenis peristiwa (misalnya, USER_LOGIN, NETWORK_CONNECTION)
device_event_class_id, event_name, eventType	metadata.product_event_type	Jenis peristiwa khusus produk
externalId	metadata.product_log_id	ID log produk
	metadata.product_version	Versi produk
	network.application_protocol	Protokol aplikasi yang digunakan dalam koneksi jaringan
deviceDirection	network.direction	Arah traffic jaringan
requestMethod	network.http.method	Metode HTTP yang digunakan dalam permintaan
requestClientApplication	network.http.user_agent	String agen pengguna dari permintaan HTTP
proto	network.ip_protocol	Protokol IP yang digunakan
di	network.received_bytes	Jumlah byte yang diterima
keluar	network.sent_bytes	Jumlah byte yang dikirim
session_id	network.session_id	ID sesi untuk koneksi jaringan
sntdom, Domain, Domene	principal.administrative_domain	Domain administratif akun utama
sourceServiceName, source_program	principal.application	Aplikasi yang terkait dengan akun utama
prin_host, Device_name, Enhetsnavn, shost, principal_hostname, client_hostname	principal.asset.hostname	Nama host aset utama
sender_ip, src_ip, src, principal_ip, client_ip	principal.asset.ip	Alamat IP aset utama
Group_name, Gruppenavn	principal.group.group_display_name	Nama tampilan grup utama
prin_host, Device_name, Enhetsnavn, shost, principal_hostname, client_hostname	principal.hostname	Nama host principal
sender_ip, src_ip, src, principal_ip, client_ip	principal.ip	Alamat IP akun utama
smac	principal.mac	Alamat MAC akun utama
sourceTranslatedAddress	principal.nat_ip	Alamat IP NAT kepala sekolah
sourceTranslatedPort	principal.nat_port	Port NAT prinsipal
spt, client_port	principal.port	Port yang digunakan oleh kepala sekolah
sproc	principal.process.command_line	Command line dari proses utama
spid	principal.process.pid	ID proses prinsipal
spriv	principal.user.attribute.roles	Peran yang terkait dengan pengguna utama
suser, usrName, CustomerName	principal.user.user_display_name	Nama tampilan pengguna utama
dbUser, usrName, db_user, os_user, suid, db_username	principal.user.userid	ID pengguna akun utama
	security_result	Detail hasil keamanan
	security_result.action	Tindakan yang diambil dalam hasil keamanan
act, Action_Taken	security_result.action_details	Detail tindakan yang dilakukan
cat	security_result.category_details	Detail kategori hasil keamanan
msg_data_2, alert_description, Type, Scan_Type	security_result.description	Deskripsi hasil keamanan
operation_label, operasjon_label, permission_label, tillatelse_label, infection_channel_label, spyware_Grayware_Type_label, threat_probability_label	security_result.detection_fields	Kolom yang digunakan untuk deteksi dalam hasil keamanan
mwProfile, alert_name	security_result.rule_name	Nama aturan yang memicu hasil keamanan
severity, event_severity	security_result.severity	Tingkat keparahan hasil keamanan
reason, ruleDesc, appcategory, Result	security_result.summary	Ringkasan hasil keamanan
Spyware, Virus_Malware_Name, Unknown_Threat	security_result.threat_name	Nama ancaman yang terdeteksi
oldFilePath	src.file.full_path	Jalur lengkap file sumber
oldFileSize	src.file.size	Ukuran file sumber
oldFilePermission	src.resource.attribute.permissions	Izin resource sumber
os_user	src.user.userid	ID Pengguna dari pengguna sumber
dntdom	target.administrative_domain	Domain administratif target
destinationServiceName, service_name	target.application	Aplikasi yang terkait dengan target
prin_host, dest_host, server_hostname	target.asset.hostname	Nama host aset target
dst_ip, dest_ip, server_ip, IPv6_Address	target.asset.ip	Alamat IP aset target
temp_dhost, dest_host, server_hostname	target.hostname	Nama host target
dst_ip, dst, dest_ip, server_ip, IPv6_Address	target.ip	Alamat IP target
dmac	target.mac	Alamat MAC target
destinationTranslatedAddress	target.nat_ip	Alamat IP NAT target
destinationTranslatedPort	target.nat_port	Port NAT target
dpt, dstPort, dest_port, server_port	target.port	Port yang digunakan oleh target
dproc, full_sql	target.process.command_line	Command line dari proses target
File_name, Object, Objekt, Infected_Resource	target.process.file.full_path	Jalur lengkap file proses target
dpid, full_sql_id	target.process.pid	ID proses target
session_start	target.resource.attribute.creation_time	Waktu pembuatan resource target
additional_environment_name, additional_db_protocol_version, additional_dbProtocolVersion, additional_operation_name, additional_signature_id, resource_Type_label	target.resource.attribute.labels	Label yang terkait dengan resource target
session_end	target.resource.attribute.last_update_time	Waktu update terakhir resource target
db_name, database_name	target.resource.name	Nama resource target
db_type, server_type	target.resource.resource_subtype	Subjenis resource target
	target.resource.resource_type	Jenis resource target
permintaan	target.url	URL yang terkait dengan target
dpriv, roles	target.user.attribute.roles	Peran yang terkait dengan pengguna target
temp_duser, CustomerName	target.user.user_display_name	Nama tampilan pengguna target
temp_duid, User, Bruker, db_username	target.user.userid	ID pengguna target
	metadata.product_name	Nama produk
	metadata.vendor_name	Nama vendor
query	additional.fields	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.