Mengumpulkan log iBoss Web Proxy

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log iBoss Web Proxy ke Google Security Operations menggunakan Bindplane.

iBoss adalah platform Secure Access Service Edge (SASE) Zero-Trust berbasis cloud yang menyediakan akses internet yang aman, Secure Web Gateway (SWG), CASB, ZTNA, dan kemampuan DLP. Layanan ini mengarahkan traffic melalui infrastruktur cloud-nya untuk menerapkan kebijakan keamanan dan perlindungan terhadap ancaman yang konsisten bagi pengguna, di mana pun lokasinya.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan platform cloud iBoss
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses administrator ke portal iBoss dengan izin untuk mengonfigurasi Integration Marketplace

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan ganti kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Berencana beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen BindPlane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan Bindplane collector v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade pengumpul sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/iboss_webproxy:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '<CREDS_FILE_PATH>'
      customer_id: '<CUSTOMER_ID>'
      endpoint: chronicle.googleapis.com
      log_type: IBOSS_WEBPROXY
      raw_log_field: body
      ingestion_labels:
        log_source: iboss
  
  service:
    pipelines:
      logs/iboss_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/iboss_webproxy
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • listen_address: Alamat IP dan port yang diproses agen Bindplane untuk pesan syslog yang masuk. Gunakan 0.0.0.0 untuk memproses semua antarmuka. Port harus cocok dengan port yang dikonfigurasi di setelan penerusan syslog iBoss.
  • Jika iBoss dikonfigurasi untuk mengirim log melalui TCP, ganti penerima udplog dengan tcplog:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  

  Catatan: Perbarui referensi penerima di bagian service.pipelines sebagaimana mestinya.

• Konfigurasi pengekspor:

  • <CREDS_FILE_PATH>: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <CUSTOMER_ID>: ID pelanggan Google SecOps yang disalin sebelumnya.
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan menambahkan awalan chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap tetapkan ke chronicle.googleapis.com.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur file autentikasi penyerapan, dan jika instance Anda berada di luar Amerika Serikat, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/iboss_webproxy:
      compression: gzip
      creds_file_path: '<CREDS_FILE_PATH>'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: IBOSS_WEBPROXY
      raw_log_field: body
      ingestion_labels:
        log_source: iboss
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Menyimpan file konfigurasi

Setelah mengedit, simpan file:

• Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
• Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux, lakukan hal berikut:

1. Jalankan perintah berikut:

   sudo systemctl restart observiq-otel-collector
   

2. Pastikan layanan sedang berjalan:

   sudo systemctl status observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   sudo journalctl -u observiq-otel-collector -f
   

Untuk memulai ulang agen Bindplane di Windows, lakukan hal berikut:

1. Pilih salah satu opsi berikut:

   • Command Prompt atau PowerShell sebagai administrator:

     net stop observiq-otel-collector && net start observiq-otel-collector
     

   • Konsol layanan:

     1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
     2. Cari observIQ OpenTelemetry Collector.
     3. Klik kanan, lalu pilih Restart.

2. Pastikan layanan sedang berjalan:

   sc query observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Mengonfigurasi penerusan syslog iBoss

1. Login ke portal iBoss.
2. Buka Integration Marketplace, lalu pilih Log Forwarding dari menu sebelah kiri dan klik tombol Configure yang terkait dengan widget Syslog Log Forwarding.
3. Klik tombol Tambahkan Integrasi untuk menambahkan integrasi Syslog.

4. Berikan detail konfigurasi berikut:

   • Teruskan Dari: Pilih Pelapor dari dropdown.
   • Pilih Database Pelaporan: Pilih Database Pelaporan.
   • Nama Layanan: Masukkan nama deskriptif untuk integrasi (misalnya, SecOps-Bindplane).
   • Enable Service: Setel ini ke Enabled.
   • Jenis Log: Pilih URL dari dropdown. Tindakan ini akan mencatat log traffic proxy web (permintaan HTTP/HTTPS). Untuk meneruskan kategori peristiwa lain seperti DLP atau DNS, konfigurasikan integrasi terpisah dengan jenis log yang sesuai.

   • Protocol Type: Pilih UDP atau TCP dari dropdown.

     Catatan: Protokol harus cocok dengan jenis penerima yang dikonfigurasi dalam file config.yaml agen Bindplane (udplog untuk UDP, tcplog untuk TCP). TCP direkomendasikan untuk lingkungan produksi karena menyediakan pengiriman yang andal dan teratur.

   • Syslog Facility Level: Pilih Facility Syslog dari dropdown.

   • Grup Pelaporan: Pilih Semua dari dropdown.

   • Nama Host: Masukkan alamat IP atau nama domain yang sepenuhnya memenuhi syarat dari host agen Bindplane.

   • Port: Masukkan nomor port yang cocok dengan port listen_address dalam konfigurasi agen Bindplane (misalnya, 514).

     Catatan: Di Linux, port 514 adalah port istimewa. Jika agen Bindplane berjalan sebagai pengguna non-root, gunakan port yang tidak memiliki hak istimewa (misalnya, 5514) dan perbarui kolom Port iBoss dan listen_address Bindplane agar cocok.

   • Format Log: Pilih JSON dari menu drop-down.

   • Transfer Interval: Pilih Continuous dari dropdown.

   • Field Delimiter: Pilih SPACE dari dropdown.

   • Send DLP/Web/DNS/Malware/Audit/ConnectionError Logs: Tetapkan ke Enable berdasarkan preferensi Anda untuk mengirim log.

     Catatan: Tombol Kirim Log Error Koneksi hanya terlihat di UI iBoss jika Kirim Log Web dinonaktifkan.

   • Fields to Forward: Tambahkan semua kolom kecuali DLP Base64 Encoded Meta Data, Base64 Encoded Meta Data, dan Chat GPT Message.

5. Klik Add Service.

Catatan: Jika Anda memiliki beberapa node pelapor, ulangi langkah 3 dan 4 untuk setiap node pelapor.

Tabel pemetaan UDM

Kolom log	Pemetaan UDM	Logika
perantara	intermediary	Informasi tentang perangkat atau layanan perantara yang terlibat dalam peristiwa.
menurun	metadata.description	Deskripsi tambahan acara.
metadata.event_type	metadata.event_type	Jenis peristiwa (misalnya, USER_LOGIN, NETWORK_CONNECTION).
urlLogId	metadata.product_log_id	ID unik untuk entri log dari produk.
requestMethod	network.http.method	Metode HTTP yang digunakan dalam permintaan.
ref_url	network.http.referral_url	URL yang mengarahkan pengguna ke halaman saat ini.
response_Code	network.http.response_code	Kode respons HTTP.
user_Agent	network.http.user_agent	String agen pengguna dari permintaan HTTP.
up_stream	network.received_bytes	Jumlah byte yang diterima dalam koneksi jaringan.
down_stream	network.sent_bytes	Jumlah byte yang dikirim dalam koneksi jaringan.
computerName	principal.asset.hostname	Nama host aset yang terkait dengan akun utama.
computer_Mac_Address	principal.asset.mac	Alamat MAC aset yang terkait dengan akun utama.
filtering_Group_Name	principal.group.group_display_name	Nama tampilan grup yang terkait dengan akun utama.
computerName	principal.hostname	Nama host prinsipal.
sourceIpAddress	principal.ip	Alamat IP akun utama.
pri_ip	principal.ip
pub_ip	principal.ip
mac_address	principal.mac	Alamat MAC akun utama.
src_port	principal.port	Nomor port yang digunakan oleh principal.
file_name	principal.process.file.names	Nama file yang terkait dengan proses.
nama pengguna	principal.user.userid	ID pengguna prinsipal.
sec_res	security_result	Hasil analisis keamanan, termasuk tindakan dan kategori.
host	target.hostname	Nama host target.
ipAddress	target.ip	Alamat IP target.
targetPort	target.port	Nomor port target.
uri_path	target.process.file.full_path	Jalur lengkap file atau resource di target.
url	target.url	URL target.
metadata.product_name	metadata.product_name	Nama produk yang menghasilkan peristiwa.
metadata.vendor_name	metadata.vendor_name	Nama vendor yang memproduksi produk.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.