Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

IBM Security Access Manager-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie IBM Security Access Manager-Logs mit Bindplane in Google Security Operations aufnehmen.

IBM Verify Identity Access (früher IBM Security Access Manager / IBM Security Verify Access) ist eine auf Netzwerkgeräten basierende Sicherheitslösung, die Zugriffsverwaltung, Websicherheit und Authentifizierungsdienste bietet. Es erzwingt Sicherheitsrichtlinien für webbasierte Ressourcen mithilfe einer Reverse-Proxy-Architektur (WebSEAL) und generiert Audit-, Authentifizierungs-, Autorisierungs- und Systemprotokolle, die für das Sicherheitsmonitoring von entscheidender Bedeutung sind.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Windows Server 2016 oder höher oder Linux-Host mit systemd
Netzwerkverbindung zwischen dem Bindplane-Agent und der IBM Verify Identity Access-Appliance
Wenn die Ausführung hinter einem Proxy erfolgt, müssen die Firewallports geöffnet sein.
Privilegierter Zugriff auf die Local Management Interface (LMI) von IBM Verify Identity Access

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Profile auf.
Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Warte, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sc query observiq-otel-collector
```
Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Warte, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sudo systemctl status observiq-otel-collector
```
Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsleitfaden für den Bindplane-Agent.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: 'IBM_SAM'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

Empfängerkonfiguration:
- listen_address: Die IP-Adresse und der Port, an dem der Bindplane-Agent auf eingehende Syslog-Nachrichten wartet. Verwenden Sie 0.0.0.0:514, um alle Schnittstellen auf Port 514 zu überwachen. Ändern Sie den Port, wenn 514 bereits verwendet wird oder wenn Sie einen nicht privilegierten Port wie 1514 bevorzugen.
- Wenn Sie TCP anstelle von UDP verwenden möchten, ersetzen Sie udplog durch tcplog im Abschnitt receivers und im Abschnitt pipelines.
Exporter-Konfiguration:
- creds_file_path: Vollständiger Pfad zur zuvor heruntergeladenen Datei für die Authentifizierung bei der Aufnahme:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: Die zuvor kopierte Google SecOps-Kundennummer.
- endpoint: Regionale Endpunkt-URL:
  - USA: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Eine vollständige Liste finden Sie unter Regionale Endpunkte.
- log_type: Muss auf IBM_SAM festgelegt sein.

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:

Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

So starten Sie den Bindplane-Agent unter Linux neu:

Führen Sie dazu diesen Befehl aus:

sudo systemctl restart observiq-otel-collector

Prüfen Sie, ob der Dienst ausgeführt wird:

sudo systemctl status observiq-otel-collector

Logs auf Fehler prüfen:

sudo journalctl -u observiq-otel-collector -f

So starten Sie den Bindplane-Agent unter Windows neu:

Wählen Sie eine der folgenden Optionen aus:
- Eingabeaufforderung oder PowerShell als Administrator:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Dienstkonsole:
  1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
  2. Suchen Sie nach observIQ OpenTelemetry Collector.
  3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.
Prüfen Sie, ob der Dienst ausgeführt wird:
```
sc query observiq-otel-collector
```

Logs auf Fehler prüfen:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung in IBM Verify Identity Access konfigurieren

Definition eines Remote-Syslog-Servers hinzufügen

Melden Sie sich in der Local Management Interface (LMI) von IBM Verify Identity Access an.
Gehen Sie zu Monitor > Logs > Remote Syslog Forwarding (Monitoring > Logs > Remote-Syslog-Weiterleitung).
Klicken Sie auf der Seite Remote Syslog Forwarding (Remote-Syslog-Weiterleitung) auf Add (Hinzufügen).
Geben Sie die folgenden Konfigurationsdetails an:
- Server: Geben Sie die IP-Adresse oder den Hostnamen des Bindplane-Agent-Hosts ein (z. B. 192.168.1.100).
- Port: Geben Sie die Portnummer ein, an der der BindPlane-Agent auf Anfragen wartet, z. B. 514.
- Protokoll: Wählen Sie UDP aus, damit es mit dem udplog-Empfänger in der Bindplane-Agent-Konfiguration übereinstimmt. Wählen Sie TCP aus, wenn Sie den Bindplane-Agent mit tcplog konfiguriert haben.
- Format: Wählen Sie das Syslog-Nachrichtenformat aus:
  - BSD Syslog Protocol: RFC 3164-Format (empfohlen für die breiteste Kompatibilität).
  - Syslog-Protokoll: RFC 5424-Format.
- Debug: Lassen Sie das Kästchen deaktiviert, es sei denn, eine Fehlerbehebung ist erforderlich. Wenn diese Option aktiviert ist, werden zusätzliche Debugging-Informationen in die Logdatei rsyslog_forwarder geschrieben, auf die über die Seite Anwendungslogdateien ansehen zugegriffen werden kann.
Klicken Sie auf Speichern.

Logquellen für den Remote-Syslog-Server konfigurieren

Wählen Sie auf der Seite Remote Syslog Forwarding (Remote-Syslog-Weiterleitung) den von Ihnen erstellten Eintrag für den Remote-Syslog-Server aus.
Klicken Sie auf Quellen.
Klicken Sie auf Hinzufügen, um eine Protokollquelle hinzuzufügen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name: Wählen Sie eine Protokollquelle aus der Drop-down-Liste aus. Folgende Logquellen sind verfügbar:
  - LMI-Mitteilungen: Anwendungsmitteilungen für LMI
  - LMI Trace: LMI-Trace- und Debug-Logs
  - LMI Access: LMI-HTTP-Zugriffsprotokolle
  - Laufzeitmeldungen – Meldungen der Laufzeitumgebung
  - Laufzeittrace: Laufzeittrace- und Debug-Logs
  - Laufzeit-Audit: Laufzeit-Audit-Ereignisse (Authentifizierung, Autorisierung)
  - Laufzeitlogs: Anwendungslogs zur Laufzeit
  - WebSEAL: Web-Reverse-Proxy-Logs (erfordert die Auswahl eines Instanznamens und einer Logdatei)
  - Autorisierungsserver: Protokolle des Autorisierungsservers (erfordert die Auswahl eines Instanznamens und einer Protokolldatei)
  - Policy Server: Policy Server-Logs (erfordert die Auswahl einer Log-Datei)
  - Eingebettete Nutzer-Registry: Protokolle der eingebetteten LDAP-Nutzer-Registry
  - Cluster: Clusterverwaltungslogs
  - System: Protokolle auf Betriebssystemebene
  - DSC: Protokolle für den verteilten Sitzungscache
  - FELB – Front-End-Load-Balancer-Logs
- Instanzname: Dieses Feld ist nur verfügbar, wenn im Feld Name WebSEAL oder Autorisierungsserver ausgewählt ist. Wählen Sie den Instanznamen aus der Drop-down-Liste aus (z. B. default).
- Logdatei: Dieses Feld ist verfügbar, wenn im Feld Name die Option WebSEAL, Autorisierungsserver, Richtlinienserver oder Laufzeitlogs ausgewählt ist. Wählen Sie die gewünschte Logdatei aus der Drop-down-Liste aus.
- Tag: Geben Sie einen eindeutigen Tag-Namen für diese Protokollquelle ein. Das Tag darf keine Leerzeichen enthalten (z. B. WebSEAL_Audit oder RuntimeAudit).
- Einrichtung: Wählen Sie eine Syslog-Einrichtungskategorie für die weitergeleiteten Logeinträge aus, z. B. local0, local1, auth oder user.
- Schweregrad: Wählen Sie Informationen aus, um alle Logeinträge zu erfassen.
Klicken Sie auf OK.
Wenn Sie weitere Log-Quellen hinzufügen möchten, wiederholen Sie die Schritte 3 bis 5 für jede Quelle, die Sie weiterleiten möchten.

Hinweis :Für eine umfassende Sicherheitsüberwachung sollten Sie mindestens die folgenden Quellen konfigurieren: Laufzeit-Audit, WebSEAL, Autorisierungsserver und Laufzeitmeldungen.
Klicken Sie auf Speichern, um die Konfiguration der Protokollquelle anzuwenden.

Hinweis :Die Konfiguration wird erst auf dem Server gespeichert, wenn Sie auf Speichern klicken. Alle Log-Quellen müssen zusammen konfiguriert und gespeichert werden.
Klicken Sie oben auf der Seite auf Ausstehende Änderungen bereitstellen, um die Änderungen zu aktivieren. Die Syslog-Weiterleitungskonfiguration ist erst nach der Bereitstellung aktiv.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
sha256_value	additional.fields	Zusammengeführt mit der Zuordnung {key: "sha256_value", value: {string_value: sha256_value}} und der Zuordnung {key: "connection_type", value: {string_value: connection_type}}
connection_type	additional.fields
dvc_ip	intermediary.hostname	Wert wird direkt kopiert, wenn „dvc_ip“ keine gültige IP-Adresse ist
dvc_ip	intermediary.ip	Auf „dvc_ip“ setzen, wenn es sich um eine gültige IP-Adresse handelt. Zusätzliche gültige IP-Adressen aus „ip_address“ zusammenführen, die nicht gleich „src_ip“ oder „dst_ip“ sind, nicht leer sind und nicht „-“ sind.
ip_address	intermediary.ip
ts	metadata.collected_timestamp	Wird aus „ts2“ geparst, falls vorhanden, im Format „yyyy-MM-ddTHH:mm:ss“, andernfalls aus „ts“ im Format „ISO8601“, „MMM dd HH:mm:ss“, „MMM d HH:mm:ss“
ts2	metadata.collected_timestamp
Beschreibung	metadata.description	Wert direkt kopiert
timestamp	metadata.event_timestamp	Geparsed mit den Datumsformaten TT/MMM/JJJJ:SS:MM:SS Z oder JJJJ-MM-TT-SS:MM:SS.SSSZZI
src_ip	metadata.event_type	Auf „NETWORK_HTTP“ setzen, wenn Prinzipal (src_ip oder src_host) und Ziel (dst_ip oder target_hostname) und HTTP (method oder response_code) vorhanden sind, „NETWORK_CONNECTION“, wenn Prinzipal und Ziel, „STATUS_UPDATE“, wenn Prinzipal, andernfalls „GENERIC_EVENT“
src_host	metadata.event_type
dst_ip	metadata.event_type
target_hostname	metadata.event_type
method	metadata.event_type
response_code	metadata.event_type
product_event_type	metadata.product_event_type	Wert direkt kopiert
metadata.product_name	metadata.product_name	Auf „IBM_SAM“ festgelegt
metadata.vendor_name	metadata.vendor_name	Auf „IBM“ festgelegt
Proto	network.application_protocol	Wert wird direkt kopiert, wenn er in HTTP oder HTTPS enthalten ist.
Version	network.application_protocol_version	Wert direkt kopiert
method	network.http.method	Wert aus „method_value“, falls nicht leer, andernfalls „method“
method_value	network.http.method
response_code	network.http.response_code	In Ganzzahl konvertiert
ip_protocol_value	network.ip_protocol	Wert wird direkt kopiert, wenn er in TCP, UDP oder ICMP enthalten ist.
rcv_bytes	network.received_bytes	In „uinteger“ konvertiert
sent_bytes	network.sent_bytes	In „uinteger“ konvertiert
request_id	network.session_id	Wert direkt kopiert
src_application	principal.application	Wert direkt kopiert
src_host	principal.asset.hostname	Wert direkt kopiert
src_ip	principal.asset.ip	Der Wert wird direkt kopiert, wenn er nicht leer, ein Leerzeichen, null, N/A oder „-“ ist.
file_name	principal.file.full_path	Wert direkt kopiert
src_host	principal.hostname	Wert direkt kopiert
src_ip	principal.ip	Der Wert wird direkt kopiert, wenn er nicht leer, ein Leerzeichen, null, N/A oder „-“ ist.
src_port	principal.port	In Ganzzahl konvertiert
pid	principal.process.pid	Wert direkt kopiert
src_resource	principal.resource.name	Wert direkt kopiert
user_name	principal.user.userid	Der Wert wird direkt kopiert, wenn er nicht nicht authentifiziert oder leer ist.
Beschreibung	security_result.action	Auf „BLOCK“ festgelegt, wenn die Beschreibung „could not establish a secure connection“ (Es konnte keine sichere Verbindung hergestellt werden), „could not be determined“ (konnte nicht ermittelt werden) oder „have expired“ (abgelaufen) enthält.
die Ausprägung	security_result.severity	Wert direkt kopiert, wobei „WARNING“ auf „MEDIUM“ abgebildet wird
user_name	security_result.summary	Auf „unauthenticated“ festgelegt, wenn user_name == „unauthenticated“
target_hostname	target.asset.hostname	Wert direkt kopiert
dst_ip	target.asset.ip	Der Wert wird direkt kopiert, wenn er nicht leer, ein Leerzeichen, null, N/A oder „-“ ist.
target_hostname	target.hostname	Wert direkt kopiert
dst_ip	target.ip	Der Wert wird direkt kopiert, wenn er nicht leer, ein Leerzeichen, null, N/A oder „-“ ist.
URL	target.url	Zusammengeführt aus URL und URL1
url1	target.url
`ip_protocol_value`	`event.idm.read_only_udm.network.ip_protocol`	Aus dem Änderungsprotokoll zugeordnet
`method_value`	`event.idm.read_only_udm.network.http.method`	Aus dem Änderungsprotokoll zugeordnet
`sha256_value`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten