Mengumpulkan log IBM CICS

Didukung di:

Dokumen ini menjelaskan cara menyerap log IBM CICS ke Google Security Operations menggunakan agen Bindplane.

IBM CICS (Customer Information Control System) adalah platform pemrosesan transaksi untuk aplikasi mainframe. Layanan ini menghasilkan log audit untuk eksekusi transaksi, akses resource, pelanggaran keamanan, dan peristiwa sistem. Log menggunakan format LEEF dan mencatat identitas pengguna, detail transaksi, dan atribut jaringan sumber.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Konektivitas jaringan antara agen Bindplane dan host penerusan log CICS
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
  • Akses istimewa ke sistem mainframe atau region IBM CICS dengan otoritas untuk mengonfigurasi perekaman SMF dan ekspor log

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan.

  4. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.

  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sc query observiq-otel-collector

    Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sudo systemctl status observiq-otel-collector

    Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

  • Ganti seluruh konten config.yaml dengan konfigurasi berikut:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/ibm_cics:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: IBM_CICS
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/cics_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/ibm_cics

Parameter konfigurasi

Ganti placeholder berikut:

  • Konfigurasi penerima:

    • tcplog: Jenis penerima berdasarkan protokol:
      • udplog untuk syslog UDP
      • tcplog untuk syslog TCP
    • 0.0.0.0: Alamat IP yang akan didengarkan:
      • 0.0.0.0 untuk mendengarkan di semua antarmuka (direkomendasikan)
      • Alamat IP tertentu untuk memproses permintaan di satu antarmuka
    • 514: Nomor port yang akan diproses (misalnya, 514, 1514, 6514)

  • Konfigurasi pengekspor:

    • ibm_cics: Nama deskriptif untuk eksportir
    • creds_file_path: Jalur lengkap ke file autentikasi penyerapan:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <customer_id>: ID Pelanggan dari langkah sebelumnya
    • endpoint: URL endpoint regional:
      • Amerika Serikat: malachiteingestion-pa.googleapis.com
      • Eropa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Lihat Endpoint Regional untuk mengetahui daftar lengkapnya
    • IBM_CICS: Jenis log persis seperti yang muncul di Chronicle
    • ingestion_labels: Label opsional dalam format YAML (misalnya, env: production)

  • Konfigurasi pipeline:

    • cics_to_chronicle: Nama deskriptif untuk pipeline

Simpan file konfigurasi

  • Setelah mengedit, simpan file:
    • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
    • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart observiq-otel-collector

    1. Pastikan layanan sedang berjalan:

      sudo systemctl status observiq-otel-collector

    2. Periksa log untuk mengetahui error:

      sudo journalctl -u observiq-otel-collector -f

  • Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

    • Command Prompt atau PowerShell sebagai administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Konsol layanan:

      1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
      2. Cari observIQ OpenTelemetry Collector.
      3. Klik kanan, lalu pilih Mulai ulang.

      4. Pastikan layanan sedang berjalan:

        sc query observiq-otel-collector

      5. Periksa log untuk mengetahui error:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi penerusan syslog IBM CICS

IBM CICS menulis data audit dan transaksi ke rekaman SMF (System Management Facilities) di mainframe. Untuk meneruskan log ini ke agen Bindplane menggunakan syslog, gunakan penerus syslog di host middleware.

  1. Identifikasi jenis rekaman SMF yang berisi data CICS (biasanya SMF jenis 110).
  2. Gunakan utilitas mainframe seperti DFHSTUP (CICS Statistics Utility Program) atau program dump SMF untuk mengekstrak data yang relevan.
  3. Konversi rekaman SMF yang diekstrak ke format LEEF menggunakan IBM CICS Performance Analyzer, skrip REXX kustom, atau solusi ETL pihak ketiga.
  4. Konfigurasi penerus syslog di host middleware untuk mengirim log yang dikonversi ke agen Bindplane:
    • Server Syslog: Masukkan alamat IP host agen BindPlane (misalnya, 192.168.1.100).
    • Port: Masukkan 514 (harus cocok dengan port penerima agen Bindplane).
    • Protocol: Pilih TCP (direkomendasikan untuk pengiriman log mainframe yang andal).
    • Format: Pastikan format LEEF digunakan.

  5. Pastikan pesan syslog diterima dengan memeriksa log agen Bindplane.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
kv.sum metadata.description Diganti nama/dipetakan
kv.devTime metadata.event_timestamp Diuraikan sebagai yyyy-MM-ddTHH:mm:ss.SSSZ
event_type metadata.product_event_type Diganti nama/dipetakan
version metadata.product_version Diganti nama/dipetakan
kv.terminal principal.hostname Dipetakan secara langsung
kv.src principal.ip Digabung
firstname principal.user.first_name Diganti nama/dipetakan
lastname principal.user.last_name Diganti nama/dipetakan
kv.name principal.user.user_display_name Diganti nama/dipetakan
kv.usrName principal.user.userid Diganti nama/dipetakan
kv.appl target.application Diganti nama/dipetakan
kv.tran target.process.product_specific_process_id Dipetakan secara langsung
T/A metadata.event_type Konstanta: PROCESS_UNCATEGORIZED
T/A metadata.product_name Konstanta: CICS
T/A metadata.vendor_name Konstanta: IBM

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.