HPE iLO 로그 수집

다음에서 지원:

이 문서에서는 Bindplane 에이전트를 사용하여 HPE iLO 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

HPE iLO (Integrated Lights-Out)는 하드웨어 이벤트, 인증 시도, DNS 쿼리, 시스템 상태 변경에 대한 시스템로그 메시지를 생성하는 원격 서버 관리 프로세서입니다. 파서는 JSON 및 grok 패턴 일치를 사용하여 HP iLO 로그 형식에서 필드를 추출하고 이를 통합 데이터 모델 (UDM)에 매핑합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • Windows Server 2016 이상 또는 systemd가 있는 Linux 호스트
  • Bindplane 에이전트와 HPE iLO 관리 인터페이스 간의 네트워크 연결
  • 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
  • HPE iLO에 대한 권한 액세스

Bindplane 에이전트의 Google SecOps 사용자 인증 정보 가져오기

Bindplane 에이전트를 Google SecOps에 인증하려면 다음 방법 중 하나를 선택하세요.

  • 새 배포: Chronicle API (옵션 1)를 사용합니다.
  • 기존 배포: 수집 API가 2027년 7월 20일에 중단될 때까지 수집 인증 파일 (옵션 2)을 계속 사용합니다.
  1. Google Cloud 콘솔에 로그인하고 Google SecOps 인스턴스에 연결된 Google Cloud 프로젝트를 선택합니다.
  2. IAM 및 관리자 > 서비스 계정 으로 이동합니다.
  3. 서비스 계정 만들기 를 클릭합니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 서비스 계정 이름: 계정 이름을 입력합니다 (예: bindplane-ingest).
    • 서비스 계정 설명: 설명을 입력합니다 (예: Bindplane agent log ingestion).
  5. 만들고 계속하기 를 클릭합니다.
  6. 이 서비스 계정에 프로젝트에 대한 액세스 권한 부여 섹션에서 역할 선택 을 클릭하고 Chronicle 편집자 를 선택합니다.
  7. 계속을 클릭한 다음 완료를 클릭합니다.
  8. 만든 서비스 계정을 클릭한 다음 키 탭으로 이동합니다.
  9. 키 추가 > 새 키 만들기 를 클릭합니다.
  10. JSON 을 선택하고 만들기 를 클릭합니다. 키 파일이 컴퓨터에 다운로드됩니다.
  11. 키 파일을 Bindplane 수집기 디렉터리 (Linux의 경우 /opt/observiq-otel-collector/ingestion-auth.json 또는 Windows의 경우 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)에 ingestion-auth.json으로 저장하거나 config.yaml에서 creds_file_path를 저장하는 경로와 일치하도록 업데이트합니다.
  12. IAM 및 관리자 > 설정 으로 이동하여 프로젝트 번호 를 복사합니다. 내보내기 구성에 필요합니다.

옵션 2: 수집 인증 파일 다운로드 (기존)

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 수집 에이전트 로 이동합니다.
  3. 수집 인증 파일 을 다운로드합니다.
  4. Bindplane 에이전트가 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 프로필 로 이동합니다.

  3. 조직 세부정보 섹션에서 고객 ID 를 복사하여 저장합니다.

Bindplane 에이전트 설치

다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.

Windows 설치

  1. 관리자 권한으로 명령 프롬프트 또는 PowerShell 을 엽니다.

  2. 다음 명령어를 실행합니다.

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 설치가 완료될 때까지 기다립니다.

  4. 다음을 실행하여 설치를 확인합니다.

    sc query observiq-otel-collector

    서비스가 실행 중 으로 표시되어야 합니다.

Linux 설치

  1. 루트 또는 sudo 권한으로 터미널을 엽니다.

  2. 다음 명령어를 실행합니다.

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 설치가 완료될 때까지 기다립니다.

  4. 다음을 실행하여 설치를 확인합니다.

    sudo systemctl status observiq-otel-collector

    서비스가 활성 (실행 중) 으로 표시되어야 합니다.

추가 설치 리소스

추가 설치 옵션 및 문제 해결은 Bindplane 에이전트 설치 가이드를 참고하세요.

시스템로그를 수집하고 Google SecOps로 전송하도록 Bindplane 에이전트 구성

구성 파일 찾기

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

구성 파일 설정

  • 다음 구성으로 config.yaml의 전체 콘텐츠를 바꿉니다.

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/hpe_ilo:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: HPE_ILO
    raw_log_field: body

service:
  pipelines:
    logs/hpe_ilo_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/hpe_ilo

구성 매개변수

다음 자리표시자를 바꿉니다.

  • 수신 도구 구성:

    • listen_address: 리슨할 IP 주소 및 포트:
      • 모든 인터페이스에서 리슨하려면 0.0.0.0 (권장)
      • 포트 514는 표준 시스템로그 포트입니다 (Linux에서 루트 필요, 루트가 아닌 경우 1514 사용).

  • 내보내기 구성:

    • creds_file_path: 서비스 계정 JSON 키 파일의 전체 경로 (옵션 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Google SecOps 콘솔에서 복사한 고객 ID
    • location: <LOCATION>을 Google SecOps 인스턴스의 리전 (예: us, europe 또는 asia-southeast1)으로 바꿉니다. 내보내기는 이 값으로 chronicle.googleapis.com을 프리픽스로 지정합니다. 전체 목록은 리전 엔드포인트를 참고하세요.
    • project: <PROJECT_NUMBER>을(를) IAM 및 관리자 > 설정의 프로젝트 번호로 바꿉니다.
    • endpoint: chronicle.googleapis.com으로 설정된 상태로 유지합니다.

기존 수집 API 내보내기

  • 옵션 2의 수집 인증 파일을 사용하는 경우 exporters 블록을 다음으로 바꿉니다. creds_file_path를 수집 인증 파일의 경로로 설정하고 인스턴스가 미국 외부에 있는 경우 malachiteingestion-pa.googleapis.com을 리전 엔드포인트 (예: europe-malachiteingestion-pa.googleapis.com)로 바꿉니다.

    exporters:
  chronicle/hpe_ilo:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: HPE_ILO
    raw_log_field: body

구성 파일 저장

  • 수정 후 파일을 저장합니다.
    • Linux: Ctrl+O를 누른 다음 Enter를 누르고 Ctrl+X를 누릅니다.
    • Windows: 파일 > 저장을 클릭합니다.

Bindplane 에이전트를 다시 시작하여 변경사항 적용

  • Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

    sudo systemctl restart observiq-otel-collector

    1. 서비스가 실행 중인지 확인합니다.

      sudo systemctl status observiq-otel-collector

    2. 로그에서 오류를 확인합니다.

      sudo journalctl -u observiq-otel-collector -f

  • Windows에서 Bindplane 에이전트를 다시 시작하려면 다음 옵션 중 하나를 선택합니다.

    • 관리자 권한으로 명령 프롬프트 또는 PowerShell:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 서비스 콘솔:

      1. Win+R을 누르고 services.msc를 입력한 후 Enter를 누릅니다.
      2. observIQ OpenTelemetry Collector 를 찾습니다.
      3. 마우스 오른쪽 버튼을 클릭하고 다시 시작 을 선택합니다.

      4. 서비스가 실행 중인지 확인합니다.

        sc query observiq-otel-collector

      5. 로그에서 오류를 확인합니다.

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

HPE iLO에서 시스템로그 구성

  1. HPE iLO 웹 UI에 로그인합니다.
  2. 관리 > 원격 시스템로그 탭으로 이동합니다.
  3. iLO 원격 시스템로그 사용 설정 을 클릭합니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 원격 시스템로그 포트: Bindplane 포트 번호 (예: 514)를 입력합니다.
    • 원격 시스템로그 서버: Bindplane IP 주소를 입력합니다.
  5. 테스트 시스템로그 전송 을 클릭하고 수신되었는지 확인합니다.
  6. 적용 을 클릭합니다.

UDM 매핑 테이블

로그 필드 UDM 매핑 로직
data 이 필드는 콘텐츠에 따라 다양한 UDM 필드로 파싱되고 매핑됩니다.
data.HOSTNAME principal.hostname 'message' 필드의 첫 번째 grok 패턴이 일치하거나 'description' 필드에 'Host'가 포함된 경우 매핑됩니다. event_type이 STATUS_UPDATE인지 확인합니다.
data.HOSTNAME network.dns.questions.name 'message'에서 'DATA'와 일치하는 grok 패턴으로 채워집니다. 비어 있지 않고 '(?i)not found'가 포함되어 있지 않은 경우 dns.questions를 채우는 데 사용됩니다.
data.HOSTNAME target.user.user_display_name 'message'에서 'DATA'와 일치하는 grok 패턴으로 채워집니다.
data.IP target.ip 'message' 또는 'summary'에서 'IP'와 일치하는 grok 패턴으로 채워집니다.
data.WORD metadata.product_event_type 'message'에서 'WORD'와 일치하는 grok 패턴으로 채워집니다.
data.GREEDYDATA security_result.summary 'message'에서 'GREEDYDATA'와 일치하는 grok 패턴으로 채워집니다. 콘텐츠에 따라 network.application_protocol 및 event_type을 결정하는 데 사용됩니다.
data.TIMESTAMP_ISO8601 metadata.event_timestamp 다양한 타임스탬프 형식을 기반으로 date 플러그인으로 채워집니다.
data.MONTHNUM 매핑되지 않음
data.MONTHDAY 매핑되지 않음
data.YEAR 매핑되지 않음
data.TIME 매핑되지 않음
data.HOST principal.hostname 'message' 필드의 두 번째 grok 패턴이 일치하는 경우 매핑됩니다.
data.INT 매핑되지 않음
data.UserAgent network.http.user_agent description 필드에 User-Agent가 포함된 경우 매핑됩니다.
data.Connection security_result.description description 필드에 Connection이 포함된 경우 매핑됩니다.
해당 사항 없음 metadata.event_type 기본값은 GENERIC_EVENT입니다. data.HOSTNAME이 principal.hostname에 매핑되면 STATUS_UPDATE로 변경되고, question이 채워지면 NETWORK_DNS로 변경되며, summary에 Browser login이 포함되면 USER_LOGIN으로 변경됩니다.
해당 사항 없음 metadata.vendor_name HP로 하드코딩됩니다.
해당 사항 없음 metadata.log_type HPE_ILO로 설정됩니다.
해당 사항 없음 network.application_protocol summary에 LDAP이 포함된 경우 LDAP으로 설정되고, question이 채워지면 DNS로 설정됩니다.
해당 사항 없음 extensions.auth.type summary에 Browser login이 포함된 경우 MACHINE으로 설정됩니다.

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.