Mengumpulkan log IBM Security Access Manager

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log IBM Security Access Manager ke Google Security Operations menggunakan Bindplane.

IBM Verify Identity Access (sebelumnya IBM Security Access Manager / IBM Security Verify Access) adalah solusi keamanan berbasis peralatan jaringan yang menyediakan layanan pengelolaan akses, keamanan web, dan autentikasi. Modul ini menerapkan kebijakan keamanan untuk resource berbasis web menggunakan arsitektur proxy terbalik (WebSEAL), dan membuat log audit, autentikasi, otorisasi, dan sistem yang penting untuk pemantauan keamanan.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan peralatan IBM Verify Identity Access
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka
• Akses istimewa ke IBM Verify Identity Access Local Management Interface (LMI)

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Nama akun layanan: Masukkan nama untuk akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen BindPlane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan pengumpul Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/chronicle_w_labels:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: 'IBM_SAM'
      raw_log_field: body
      ingestion_labels:
  
  service:
    pipelines:
      logs/source0__chronicle_w_labels-0:
        receivers:
          - udplog
        exporters:
          - chronicle/chronicle_w_labels
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • listen_address: Alamat IP dan port yang diproses agen Bindplane untuk pesan syslog yang masuk. Gunakan 0.0.0.0:514 untuk memproses semua antarmuka di port 514. Ubah port jika 514 sudah digunakan atau jika Anda lebih memilih port non-privileged seperti 1514.
  • Untuk menggunakan TCP, bukan UDP, ganti udplog dengan tcplog di bagian receivers dan bagian pipelines.

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID pelanggan Google SecOps yang disalin sebelumnya.
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap disetel ke chronicle.googleapis.com.
  • log_type: Harus ditetapkan ke IBM_SAM.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: 'IBM_SAM'
      raw_log_field: body
      ingestion_labels:
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Menyimpan file konfigurasi

Setelah mengedit, simpan file:

• Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
• Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux, lakukan hal berikut:

1. Jalankan perintah berikut:

   sudo systemctl restart observiq-otel-collector
   

2. Pastikan layanan sedang berjalan:

   sudo systemctl status observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   sudo journalctl -u observiq-otel-collector -f
   

Untuk memulai ulang agen Bindplane di Windows, lakukan hal berikut:

1. Pilih salah satu opsi berikut:

   • Command Prompt atau PowerShell sebagai administrator:

     net stop observiq-otel-collector && net start observiq-otel-collector
     

   • Konsol Services:

     1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
     2. Cari observIQ OpenTelemetry Collector.
     3. Klik kanan, lalu pilih Restart.

2. Pastikan layanan sedang berjalan:

   sc query observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Mengonfigurasi penerusan syslog di IBM Verify Identity Access

Menambahkan definisi server syslog jarak jauh

1. Login ke Local Management Interface (LMI) IBM Verify Identity Access.
2. Buka Monitor > Logs > Remote Syslog Forwarding.
3. Di halaman Remote Syslog Forwarding, klik Add.
4. Berikan detail konfigurasi berikut:
   • Server: Masukkan alamat IP atau nama host dari host agen Bindplane (misalnya, 192.168.1.100).
   • Port: Masukkan nomor port yang diproses oleh agen Bindplane (misalnya, 514).
   • Protocol: Pilih UDP agar cocok dengan penerima udplog dalam konfigurasi agen Bindplane. Pilih TCP jika Anda mengonfigurasi agen Bindplane dengan tcplog.
   • Format: Pilih format pesan syslog:
     • Protokol Syslog BSD — Format RFC 3164 (direkomendasikan untuk kompatibilitas terluas).
     • Syslog Protocol — Format RFC 5424.
   • Debug: Biarkan tidak dicentang kecuali jika pemecahan masalah diperlukan. Jika diaktifkan, informasi debug tambahan akan ditulis ke file log rsyslog_forwarder yang dapat diakses dari halaman Melihat file log aplikasi.
5. Klik Simpan.

Mengonfigurasi sumber log untuk server syslog jarak jauh

1. Di halaman Remote Syslog Forwarding, pilih entri server syslog jarak jauh yang Anda buat.
2. Klik Sumber.
3. Klik Tambahkan untuk menambahkan sumber log.
4. Berikan detail konfigurasi berikut:
   • Name: Pilih sumber log dari menu drop-down. Sumber log yang tersedia adalah:
     • Pesan LMI — Pesan aplikasi LMI
     • LMI Trace — Log debug dan rekaman aktivitas LMI
     • LMI Access — Log akses HTTP LMI
     • Pesan Runtime — Pesan lingkungan runtime
     • Runtime Trace — Log debug dan trace runtime
     • Audit Runtime — Peristiwa audit runtime (autentikasi, otorisasi)
     • Log Runtime — Log aplikasi runtime
     • WebSEAL — Log reverse proxy web (memerlukan pemilihan Instance Name dan Log File)
     • Server Otorisasi — Log server otorisasi (memerlukan pemilihan Nama Instance dan File Log)
     • Server Kebijakan — Log server kebijakan (memerlukan pemilihan File Log)
     • Embedded User Registry — Log registry pengguna LDAP tersemat
     • Cluster — Log pengelolaan cluster
     • Sistem — Log tingkat sistem operasi
     • DSC — Log cache sesi terdistribusi
     • FELB — Log load balancer frontend
   • Instance Name: Kolom ini hanya tersedia jika WebSEAL atau Authorization Server dipilih di kolom Name. Pilih nama instance dari daftar drop-down (misalnya, default).
   • Log File: Kolom ini tersedia saat WebSEAL, Authorization Server, Policy Server, atau Runtime Logs dipilih di kolom Name. Pilih file log tertentu dari menu drop-down.
   • Tag: Masukkan nama tag unik untuk sumber log ini. Tag tidak boleh berisi spasi (misalnya, WebSEAL_Audit atau RuntimeAudit).
   • Facility: Pilih kategori fasilitas syslog untuk entri log yang diteruskan (misalnya, local0, local1, auth, atau user).
   • Tingkat keparahan: Pilih Informasi untuk mencatat semua entri log.
5. Klik Oke.

6. Untuk menambahkan sumber log tambahan, ulangi langkah 3 hingga 5 untuk setiap sumber yang ingin Anda teruskan.

   Catatan: Untuk pemantauan keamanan yang komprehensif, konfigurasikan minimal sumber berikut: Audit Runtime, WebSEAL, Server Otorisasi, dan Pesan Runtime.

7. Klik Save untuk menerapkan konfigurasi sumber log.

   Catatan: Konfigurasi tidak akan disimpan di server sampai Anda mengklik Save. Semua sumber log harus dikonfigurasi dan disimpan bersama.

8. Untuk mengaktifkan perubahan, buka bagian atas halaman, lalu klik Deploy Pending Changes. Konfigurasi penerusan syslog tidak akan aktif hingga di-deploy.

Tabel pemetaan UDM

Kolom log	Pemetaan UDM	Logika
sha256_value	additional.fields	Digabungkan dengan peta {key: "sha256_value", value: {string_value: sha256_value}} dan peta {key: "connection_type", value: {string_value: connection_type}}
connection_type	additional.fields
dvc_ip	intermediary.hostname	Nilai disalin langsung jika dvc_ip bukan IP yang valid
dvc_ip	intermediary.ip	Tetapkan ke dvc_ip jika IP valid; gabungkan IP tambahan dari ip_address yang valid, tidak sama dengan src_ip atau dst_ip, tidak kosong, bukan "-"
ip_address	intermediary.ip
ts	metadata.collected_timestamp	Diuraikan dari ts2 jika ada menggunakan yyyy-MM-ddTHH:mm:ss, atau dari ts menggunakan ISO8601, MMM dd HH:mm:ss, MMM d HH:mm:ss
ts2	metadata.collected_timestamp
deskripsi	metadata.description	Nilai disalin secara langsung
timestamp	metadata.event_timestamp	Diurai menggunakan format tanggal dd/MMM/yyyy:HH:mm:ss Z atau yyyy-MM-dd-HH:mm:ss.SSSZZI
src_ip	metadata.event_type	Disetel ke "NETWORK_HTTP" jika pokok (src_ip atau src_host) dan target (dst_ip atau target_hostname) serta http (method atau response_code) ada, "NETWORK_CONNECTION" jika pokok dan target ada, "STATUS_UPDATE" jika pokok ada, atau "GENERIC_EVENT" jika tidak ada
src_host	metadata.event_type
dst_ip	metadata.event_type
target_hostname	metadata.event_type
metode	metadata.event_type
response_code	metadata.event_type
product_event_type	metadata.product_event_type	Nilai disalin langsung
metadata.product_name	metadata.product_name	Tetapkan ke "IBM_SAM"
metadata.vendor_name	metadata.vendor_name	Ditetapkan ke "IBM"
proto	network.application_protocol	Nilai disalin langsung jika dalam HTTP, HTTPS
versi	network.application_protocol_version	Nilai disalin langsung
metode	network.http.method	Nilai dari method_value jika tidak kosong, atau method
method_value	network.http.method
response_code	network.http.response_code	Dikonversi ke bilangan bulat
ip_protocol_value	network.ip_protocol	Nilai disalin langsung jika dalam TCP, UDP, ICMP
rcv_bytes	network.received_bytes	Dikonversi ke uinteger
sent_bytes	network.sent_bytes	Dikonversi ke uinteger
request_id	network.session_id	Nilai disalin secara langsung
src_application	principal.application	Nilai disalin secara langsung
src_host	principal.asset.hostname	Nilai disalin secara langsung
src_ip	principal.asset.ip	Nilai disalin langsung jika tidak kosong, spasi, null, T/A, -
file_name	principal.file.full_path	Nilai disalin langsung
src_host	principal.hostname	Nilai disalin langsung
src_ip	principal.ip	Nilai disalin langsung jika tidak kosong, spasi, null, T/A, -
src_port	principal.port	Dikonversi ke bilangan bulat
pid	principal.process.pid	Nilai disalin langsung
src_resource	principal.resource.name	Nilai disalin secara langsung
user_name	principal.user.userid	Nilai disalin secara langsung jika tidak tidak diautentikasi atau kosong
deskripsi	security_result.action	Setel ke "BLOCK" jika deskripsi berisi "could not establish a secure connection" atau "could not be determined" atau "have expired"
tingkat keseriusan,	security_result.severity	Nilai disalin secara langsung, dengan PERINGATAN dipetakan ke SEDANG
user_name	security_result.summary	Setel ke "unauthenticated" jika user_name == "unauthenticated"
target_hostname	target.asset.hostname	Nilai disalin langsung
dst_ip	target.asset.ip	Nilai disalin langsung jika tidak kosong, spasi, null, T/A, -
target_hostname	target.hostname	Nilai disalin langsung
dst_ip	target.ip	Nilai disalin langsung jika tidak kosong, spasi, null, T/A, -
url	target.url	Digabungkan dari url dan url1
url1	target.url
ip_protocol_value	event.idm.read_only_udm.network.ip_protocol	Dipetakan dari log perubahan
method_value	event.idm.read_only_udm.network.http.method	Dipetakan dari log perubahan
sha256_value	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.