收集 HashiCorp Vault 审核日志

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将 HashiCorp Vault 审核日志注入到 Google Security Operations。

HashiCorp Vault 是一款密钥管理和数据保护平台，可提供安全存储、动态密钥生成、数据加密和基于身份的访问权限控制。Vault 会生成审核日志，记录对 Vault 的所有请求和响应，包括身份验证、Secret 访问和政策更改。这些审核日志可以使用 syslog 转发到 SIEM，以进行安全监控和合规性检查。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例。
• Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机。
• Bindplane 代理与 HashiCorp Vault 服务器之间的网络连接。
• 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开。
• 对 HashiCorp Vault 服务器的特权访问权限（根令牌或足以启用审核设备的政策权限）。

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载数据注入身份验证文件。
4. 将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sc query observiq-otel-collector
   

该服务应显示为 正在运行。

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sudo systemctl status observiq-otel-collector
   

该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

• Linux：

  sudo nano /etc/bindplane-agent/config.yaml
  

• Windows：

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

修改配置文件

• 将 config.yaml 的全部内容替换为以下配置：

  receivers:
    tcplog:
      listen_address: "0.0.0.0:1514"
  
  exporters:
    chronicle/vault:
      compression: gzip
      creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
      customer_id: 'your-customer-id-here'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: HASHICORP
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/vault_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/vault
  

配置参数

替换以下占位符：

• 接收器配置：

  • listen_address：要监听的 IP 地址和端口。使用 0.0.0.0 可监听所有接口。建议使用端口 1514，以避免在 Linux 上需要根权限。

• 导出器配置：

  • creds_file_path：提取身份验证文件的完整路径：
    • Linux：/etc/bindplane-agent/ingestion-auth.json
    • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id：您的 Google SecOps 客户 ID。
  • endpoint：区域端点网址：
    • 美国：malachiteingestion-pa.googleapis.com
    • 欧洲：europe-malachiteingestion-pa.googleapis.com
    • 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
    • 如需查看完整列表，请参阅区域级端点。
  • ingestion_labels：采用 YAML 格式的可选标签（例如 env: production）。

保存配置文件

修改后，保存文件：

• Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
• Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

1. 运行以下命令：

   sudo systemctl restart observiq-otel-collector
   

2. 验证服务是否正在运行：

   sudo systemctl status observiq-otel-collector
   

3. 检查日志是否存在错误：

   sudo journalctl -u observiq-otel-collector -f
   

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

1. 请从下列选项中选择一项：

   • 以管理员身份运行命令提示符或 PowerShell：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • 服务控制台：
     1. 按 Win+R，输入 services.msc，然后按 Enter 键。
     2. 找到 observIQ OpenTelemetry 收集器。
     3. 右键点击并选择重新启动。

2. 验证服务是否正在运行：

   sc query observiq-otel-collector
   

3. 检查日志是否存在错误：

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

通过 syslog 配置 HashiCorp Vault 审核日志转发

保险柜审核设备会记录所有请求和响应。您可以启用 syslog 审核设备，以将审核日志转发到 Bindplane 代理。

启用 syslog 审核设备

1. 打开一个可访问 Vault CLI 和有效 Vault 令牌的终端。

2. 运行以下命令以启用 syslog 审核设备：

   vault audit enable syslog tag="vault" facility="AUTH"
   

   注意： tag 参数可为所有 Vault 审核日志消息设置 syslog 标记。facility 参数用于指定 syslog 功能（例如 AUTH、LOCAL0 至 LOCAL7）。

3. 验证审核设备是否已启用：

   vault audit list
   

输出应显示 syslog 审核设备为已启用。

配置 syslog 转发到 Bindplane 代理

启用 Vault syslog 审核设备后，配置系统 syslog 守护程序（rsyslog 或 syslog-ng），以将 Vault 审核日志转发到 Bindplane 代理。

选项 - rsyslog 配置

1. 创建新的 rsyslog 配置文件：

   sudo nano /etc/rsyslog.d/50-vault-forward.conf
   

2. 添加以下配置：

   # Forward Vault audit logs to Bindplane agent
   if $programname == 'vault' then @@BINDPLANE_IP:1514
   

   将 BINDPLANE_IP 替换为 Bindplane 代理主机 IP 地址。

   注意： @@ 指定 TCP 传输。使用 @ 进行 UDP 传输。

3. 重启 rsyslog：

   sudo systemctl restart rsyslog
   

选项 - syslog-ng 配置

1. 修改 syslog-ng 配置文件：

   sudo nano /etc/syslog-ng/conf.d/vault-forward.conf
   

2. 添加以下配置：

   destination d_bindplane {
       network("BINDPLANE_IP" port(1514) transport("tcp"));
   };
   
   filter f_vault {
       program("vault");
   };
   
   log {
       source(s_src);
       filter(f_vault);
       destination(d_bindplane);
   };
   

   将 BINDPLANE_IP 替换为 Bindplane 代理主机 IP 地址。

3. 重启 syslog-ng：

   sudo systemctl restart syslog-ng
   

替代方案 - 使用日志转发器的基于文件的审核

如果您不想使用 syslog 审核，可以启用文件审核设备并转发文件内容：

1. 启用文件审核设备：

   vault audit enable file file_path=/var/log/vault/audit.log
   

2. 配置 rsyslog 以监控和转发文件：

   sudo nano /etc/rsyslog.d/50-vault-file-forward.conf
   

   module(load="imfile")
   input(type="imfile"
       File="/var/log/vault/audit.log"
       Tag="vault-audit"
       Severity="info"
       Facility="auth")
   
   if $syslogtag == 'vault-audit' then @@BINDPLANE_IP:1514
   

   将 BINDPLANE_IP 替换为 Bindplane 代理主机 IP 地址。

3. 重启 rsyslog：

   sudo systemctl restart rsyslog
   

验证日志转发

1. 执行 Vault 操作（例如登录或读取密文）：

   vault login token=<YOUR_TOKEN>
   

2. 检查 Bindplane 代理日志，确认是否正在接收日志。

如需了解详情，请参阅 HashiCorp Vault 审核设备文档。

UDM 映射表

日志字段	UDM 映射	逻辑
auth.client_token	network.session_id	从 auth.client_token 中获取的值（已进行哈希处理）。
auth.display_name	principal.user.user_display_name	从 auth.display_name 中获取的值。
auth.metadata.role_name	principal.user.attribute.roles.name	从 auth.metadata.role_name 中获取的值。
auth.policies	principal.user.attribute.permissions.name	值取自 auth.policies 数组。
auth.token_type	additional.fields	从 auth.token_type 中获取的值，并使用键 token_type 添加。
request.id	metadata.product_log_id	从 request.id 中获取的值。
request.operation	metadata.product_event_type	从 request.operation 中获取的值。
request.path	target.resource.name	从 request.path 中获取的值。
request.remote_address	principal.ip	从 request.remote_address 中获取的值。
request.namespace.id	target.namespace	从 request.namespace.id 中获取的值。
response.auth.client_token	network.session_id	从响应 client_token 中获取的值（已哈希处理）。
type	metadata.product_event_type	附加到操作（例如 request 或 response）。
time	metadata.event_timestamp	解析为 RFC 3339 时间戳。
error	security_result.description	如果存在，则取自 error。
	metadata.vendor_name	设置为 HashiCorp。
	metadata.product_name	设置为保险柜。
	metadata.event_type	对于密钥操作，请设置为 USER_RESOURCE_ACCESS；对于身份验证操作，请设置为 USER_LOGIN；否则，请设置为 GENERIC_EVENT。
response.auth.metadata.username	event.idm.read_only_udm.target.user.userid	从变更日志映射
appname	event.idm.read_only_udm.target.application	从变更日志映射
priority	event.idm.read_only_udm.security_result.priority_details	从变更日志映射
proc_id	event.idm.read_only_udm.observer.process.pid	从变更日志映射
auth.policies	event.idm.read_only_udm.additional.fields	从变更日志映射
auth.token_policies	event.idm.read_only_udm.additional.fields	从变更日志映射
request.policy_override	event.idm.read_only_udm.target.resource.attribute.labels	从变更日志映射
response.data.admin_password	event.idm.read_only_udm.target.resource.attribute.labels	从变更日志映射
response.data.admin_token	event.idm.read_only_udm.target.resource.attribute.labels	从变更日志映射
response.data.admin_user	event.idm.read_only_udm.target.resource.attribute.labels	从变更日志映射
response.data.certificate	event.idm.read_only_udm.target.resource.attribute.labels	从变更日志映射
response.data.check_url	event.idm.read_only_udm.target.resource.attribute.labels	从变更日志映射
response.data.keystore	event.idm.read_only_udm.target.resource.attribute.labels	从变更日志映射
response.data.keystore_password	event.idm.read_only_udm.target.resource.attribute.labels	从变更日志映射
response.data.private_key	event.idm.read_only_udm.target.resource.attribute.labels	从变更日志映射
type	event.idm.read_only_udm.additional.fields	从变更日志映射
auth.identity_policies	event.idm.read_only_udm.additional.fields	从变更日志映射
request.data	event.idm.read_only_udm.additional.fields	从变更日志映射
facility	event.idm.read_only_udm.additional.fields	从变更日志映射
task	event.idm.read_only_udm.additional.fields	从变更日志映射
jsonPayload.auth.policy_results.granting_policies.type", "jsonPayload.auth.policy_results.granting_policies.name", and "jsonPayload.auth.policy_results.granting_policies.namespace_id	additional.fields	从变更日志映射
jsonPayload.request.namespace.id	target.namespace	从变更日志映射
jsonPayload.cos.googleapis.com/container_id", "jsonPayload.cos.googleapis.com/container_name", "jsonPayload.cos.googleapis.com/stream	additional.fields	从变更日志映射
resource.labels.instance_id	principal.resource.product_object_id	从变更日志映射
principal.resource.attribute.cloud.availability_zone	resource.labels.zone	从变更日志映射
logName	security_result.category_details	从变更日志映射
resource.labels.namespace_name	target.namespace	从变更日志映射
resource.labels.pod_name", "resource.labels.container_name	additional.fields	从变更日志映射
resource.labels.project_id	target.cloud.project.name	从变更日志映射
resource.labels.location	target.location.name	从变更日志映射
insertId	metadata.product_log_id	从变更日志映射
labels.k8s-pod/app_kubernetes_io/instance", "labels.k8s-pod/app_kubernetes_io/name", "labels.k8s-pod/component", "labels.k8s-pod/helm_sh/chart", "labels.k8s-pod/controller-revision-hash", "labels.k8s-pod/vault-initialized", "labels.k8s-pod/vault-version", "labels.k8s-pod/vault-sealed", "labels.k8s-pod/vault-perf-standby", and "labels.k8s-pod/vault-active	target.resource.attribute.labels	从变更日志映射
labels.compute.googleapis.com/resource_name	target.resource.name	从变更日志映射
status	network.http.response_code	从变更日志映射
runner	principal.user.userid	从变更日志映射
job_id", "job_status	additional.fields	从变更日志映射
host	observer.hostname	从变更日志映射
cluster	observer.resource.name	从变更日志映射
cluster	observer.resource.resource_type	从变更日志映射

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。