Abbiamo riorganizzato la struttura di navigazione della documentazione per allinearla direttamente ai tuoi flussi di lavoro operativi. Per ulteriori informazioni, consulta le note di rilascio e il video dimostrativo.

Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Raccogliere i log HPE iLO

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log HPE iLO in Google Security Operations utilizzando l'agente Bindplane.

HPE iLO (Integrated Lights-Out) è un processore di gestione remota dei server che genera messaggi syslog per eventi hardware, tentativi di autenticazione, query DNS e modifiche dello stato del sistema. Il parser utilizza la corrispondenza dei pattern JSON e grok per estrarre i campi dai formati dei log HP iLO e li mappa al modello UDM (Unified Data Model).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

Un'istanza Google SecOps
Windows Server 2016 o versioni successive oppure host Linux con systemd
Connettività di rete tra l'agente Bindplane e l'interfaccia di gestione HPE iLO
Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
Accesso privilegiato a HPE iLO

Recuperare il file di autenticazione dell'importazione di Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Agenti di raccolta.
Scarica il file di autenticazione dell'acquisizione.
Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota :questo file JSON contiene le credenziali per l'autenticazione dell'agente Bindplane in Google SecOps.

Recuperare l'ID cliente Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Profilo.
Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Nota: l'ID cliente è necessario per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

Apri Prompt dei comandi o PowerShell come amministratore.

Esegui questo comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendi il completamento dell'installazione.
Verifica l'installazione eseguendo:
```
sc query observiq-otel-collector
```
Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

Apri un terminale con privilegi root o sudo.

Esegui questo comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Attendi il completamento dell'installazione.
Verifica l'installazione eseguendo:
```
sudo systemctl status observiq-otel-collector
```
Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/hpe_ilo:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: HPE_ILO
        raw_log_field: body

service:
    pipelines:
        logs/hpe_ilo_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/hpe_ilo

Parametri di configurazione

Sostituisci i seguenti segnaposto:

Configurazione del ricevitore:
- listen_address: Indirizzo IP e porta da ascoltare:
  - 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
  - La porta 514 è la porta syslog standard (richiede l'accesso root su Linux; utilizza 1514 per l'accesso non root)
Configurazione dell'esportatore:
- creds_file_path: percorso completo del file di autenticazione dell'acquisizione:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: ID cliente copiato dalla console Google SecOps
- endpoint: URL endpoint regionale:
  - Stati Uniti: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Per un elenco completo, vedi Endpoint regionali.

Salvare il file di configurazione

Dopo la modifica, salva il file:
- Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
- Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux, esegui questo comando:
```
sudo systemctl restart observiq-otel-collector
```
1. Verifica che il servizio sia in esecuzione:
```
sudo systemctl status observiq-otel-collector
```
2. Controlla i log per individuare eventuali errori:
```
sudo journalctl -u observiq-otel-collector -f
```
Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:
- Prompt dei comandi o PowerShell come amministratore:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console dei servizi:
  1. Premi Win+R, digita services.msc e premi Invio.
  2. Individua observIQ OpenTelemetry Collector.
  3. Fai clic con il tasto destro del mouse e seleziona Riavvia.
  4. Verifica che il servizio sia in esecuzione:
```
sc query observiq-otel-collector
```
  5. Controlla i log per individuare eventuali errori:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configurare Syslog in HPE iLO

Accedi alla UI web di HPE iLO.
Vai alla scheda Gestione > Syslog remoto.
Fai clic su Attiva iLO Remote Syslog.
Fornisci i seguenti dettagli di configurazione:
- Porta syslog remoto: inserisci il numero di porta di Bindplane (ad esempio, 514).
- Server syslog remoto: inserisci l'indirizzo IP di Bindplane.
Fai clic su Invia Syslog di test e verifica che sia stato ricevuto.
Fai clic su Applica.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
`data`		Questo campo viene analizzato e mappato a vari campi UDM in base al suo contenuto.
`data.HOSTNAME`	principal.hostname	Mappato quando la prima grok pattern nel campo "message" corrisponde o quando il campo "description" contiene "Host". Determina se event_type è STATUS_UPDATE.
`data.HOSTNAME`	network.dns.questions.name	Completato dalla corrispondenza del pattern Grok "DATA" in "message". Utilizzato per compilare dns.questions se non è vuoto e non contiene "(?i)not found".
`data.HOSTNAME`	target.user.user_display_name	Completato dalla corrispondenza del pattern Grok "DATA" in "message".
`data.IP`	target.ip	Compilato dai pattern grok corrispondenti a "IP" in "message" o "summary".
`data.WORD`	metadata.product_event_type	Compilato dalla corrispondenza del pattern grok "WORD" in "message".
`data.GREEDYDATA`	security_result.summary	Compilato dalla corrispondenza del pattern grok "GREEDYDATA" in "message". Utilizzato per determinare network.application_protocol ed event_type in base ai suoi contenuti.
`data.TIMESTAMP_ISO8601`	metadata.event_timestamp	Compilato dal plug-in della data in base a vari formati di timestamp.
`data.MONTHNUM`		Non mappato
`data.MONTHDAY`		Non mappato
`data.YEAR`		Non mappato
`data.TIME`		Non mappato
`data.HOST`	principal.hostname	Mappato quando corrisponde il secondo pattern Grok nel campo "message".
`data.INT`		Non mappato
`data.UserAgent`	network.http.user_agent	Mappato quando il campo `description` contiene `User-Agent`.
`data.Connection`	security_result.description	Mappato quando il campo `description` contiene `Connection`.
N/D	metadata.event_type	Il valore predefinito è `GENERIC_EVENT`. Modifiche a `STATUS_UPDATE` se `data.HOSTNAME` è mappato correttamente a principal.hostname, `NETWORK_DNS` se `question` è compilato o `USER_LOGIN` se `summary` contiene `Browser login`.
N/D	metadata.vendor_name	Codificato in `HP`.
N/D	metadata.log_type	Imposta su `HPE_ILO`.
N/D	network.application_protocol	Imposta su `LDAP` se `summary` contiene `LDAP` o su `DNS` se `question` è compilato.
N/D	extensions.auth.type	Imposta su `MACHINE` se `summary` contiene `Browser login`.

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.