Mengumpulkan log HP Linux

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log sistem operasi HP-UX ke Google Security Operations menggunakan agen Bindplane.

HP-UX adalah sistem operasi UNIX perusahaan untuk server HP Integrity dan PA-RISC. Log sistem HP-UX mencatat peristiwa autentikasi, eksekusi proses, data audit keamanan, dan aktivitas sistem umum. File syslog disimpan secara lokal di /var/adm/syslog/.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan server HP-UX
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa (root) ke server HP-UX

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai active (running).

Referensi penginstalan tambahan

Untuk mengetahui opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen Bindplane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan Bindplane collector v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/hp_linux:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: HP_LINUX
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/hpux_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/hp_linux
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • udplog: Jenis penerima berdasarkan protokol:
    • udplog untuk syslog UDP
    • tcplog untuk syslog TCP
  • 0.0.0.0: IP address to listen on:
    • 0.0.0.0 untuk memproses semua antarmuka (direkomendasikan)
    • Alamat IP tertentu untuk memproses permintaan di satu antarmuka
  • 514: Nomor port yang akan diproses (misalnya, 514, 1514, 6514)

• Konfigurasi pengekspor:

  • hp_linux: Nama deskriptif untuk eksportir
  • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <customer_id>: ID Pelanggan dari langkah sebelumnya
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap tetapkan ke chronicle.googleapis.com.
  • HP_LINUX: Jenis log persis seperti yang muncul di Chronicle
  • ingestion_labels: Label opsional dalam format YAML (misalnya, env: production)

• Konfigurasi pipeline:

  • hpux_to_chronicle: Nama deskriptif untuk pipeline

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/hp_linux:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: HP_LINUX
      raw_log_field: body
      ingestion_labels:
        env: production
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Menyimpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol layanan:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Restart.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi penerusan syslog HP-UX

1. Login ke server HP-UX dengan hak istimewa root.

2. Edit file konfigurasi syslog:

   vi /etc/syslog.conf
   

3. Tambahkan baris berikut untuk meneruskan semua pesan syslog ke agen Bindplane:

   *.* @<BINDPLANE_AGENT_IP>
   

   • Ganti <BINDPLANE_AGENT_IP> dengan alamat IP host agen Bindplane.
   • Awalan @ mengirimkan log melalui UDP. Syslog HP-UX menggunakan UDP secara default.

4. Untuk meneruskan fasilitas tertentu saja, gunakan baris terpisah:

   auth.*  @<BINDPLANE_AGENT_IP>
   kern.*  @<BINDPLANE_AGENT_IP>
   *.err   @<BINDPLANE_AGENT_IP>
   

5. Simpan dan tutup file tersebut.

6. Mulai ulang daemon syslog untuk menerapkan perubahan:

   /sbin/init.d/syslogd stop
   /sbin/init.d/syslogd start
   

7. Pastikan pesan syslog diterima dengan memeriksa log agen Bindplane.

   Catatan: HP-UX menyimpan data syslog dalam file seperti /var/adm/syslog/syslog.log, /var/adm/syslog/mail.log, dan file log yang dirotasi di /var/adm/syslog/. File /var/adm/btmp dan /var/adm/wtmp masing-masing mencatat upaya login yang gagal dan catatan login/logout.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
audit_type_label	additional.fields	Digabung
auth_failures_label	additional.fields	Digabung
ctladdr_label	additional.fields	Digabung
da_instance_label	additional.fields	Digabung
delay_label	additional.fields	Digabung
dsn_label	additional.fields	Digabung
event_code_label	additional.fields	Digabung
mailer_label	additional.fields	Digabung
msg_id_label	additional.fields	Digabung
pri_label	additional.fields	Digabung
raw_severity_label	additional.fields	Digabung
ssh_version_label	additional.fields	Digabung
stat_label	additional.fields	Digabung
suite_label	additional.fields	Digabung
syslog_priority_label	additional.fields	Digabung
to_label	additional.fields	Digabung
tty_label	additional.fields	Digabung
xdelay_label	additional.fields	Digabung
process	extensions.auth.type	Dipetakan: "sshd", "login" → AUTHTYPE_UNSPECIFIED
msg	metadata.description	Dipetakan secara langsung
ts	metadata.event_timestamp	Diurai sebagai MMM d HH:mm:ss
utc	metadata.event_timestamp	Diurai sebagai UNIX_MS
event_type	metadata.event_type	Dipetakan secara langsung
action_type	metadata.product_event_type	Dipetakan secara langsung
centrifyEventID	metadata.product_log_id	Dipetakan secara langsung
version	metadata.product_version	Dipetakan secara langsung
message	network.application_protocol	Dipetakan: (?i)ssh → SSH
proto	network.ip_protocol	Dipetakan: tcp → TCP
DASessID	network.session_id	Dipetakan secara langsung
process	principal.application	Dipetakan secara langsung
host	principal.asset.hostname	Dipetakan secara langsung
src_ip	principal.asset.ip	Digabung
host	principal.hostname	Dipetakan secara langsung
src_ip	principal.ip	Digabung
src_port	principal.port	Dipetakan secara langsung
p_id	principal.process.pid	Dipetakan secara langsung
principal_user	principal.user.userid	Dipetakan secara langsung
user	principal.user.userid	Dipetakan secara langsung
security_result_action	security_result.action	Digabung
ruleset	security_result.rule_name	Dipetakan secara langsung
log_level	security_result.severity	Dipetakan: INFO → INFORMATIONAL
sev	security_result.severity	Dipetakan: (?i)ERROR → ERROR
log_level	security_result.severity_details	Dipetakan secara langsung
t_domain	target.administrative_domain	Dipetakan secara langsung
t_app	target.application	Dipetakan secara langsung
t_hostname	target.asset.hostname	Dipetakan secara langsung
target_hostname	target.asset.hostname	Dipetakan secara langsung
t_hostname	target.hostname	Dipetakan secara langsung
target_hostname	target.hostname	Dipetakan secara langsung
target_user	target.user.userid	Dipetakan secara langsung
user	target.user.userid	Dipetakan secara langsung
T/A	extensions.auth.type	Konstanta: AUTHTYPE_UNSPECIFIED
T/A	metadata.product_name	Konstanta: HP Linux
T/A	metadata.vendor_name	Konstanta: HP Linux
T/A	network.application_protocol	Konstanta: SSH
T/A	network.ip_protocol	Konstanta: TCP
T/A	security_result.severity	Konstanta: INFORMATIONAL

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.