收集 iBoss Web 代理日志

支持范围：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将 iBoss Web 代理日志注入 Google Security Operations。

iBoss 是一个云原生零信任安全访问服务边缘 (SASE) 平台，可提供安全的互联网访问、安全 Web 网关 (SWG)、CASB、ZTNA 和 DLP 功能。它通过其云基础架构路由流量，无论用户身在何处，都能为用户强制执行一致的安全政策和威胁防护。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
• Bindplane 代理与 iBoss 云平台之间的网络连接
• 如果通过代理运行，请确保防火墙端口根据 Bindplane 代理要求处于打开状态
• 对 iBoss 门户具有管理员访问权限，并具有配置集成 Marketplace 的权限

获取 Bindplane 代理的 Google SecOps 凭据

如需对 Bindplane 代理进行 Google SecOps 身份验证，请选择以下方法之一：

• 新部署：使用 Chronicle API（方法 1）。
• 旧版部署：继续使用注入身份验证文件（方法 2），直到注入 API 于 2027 年 7 月 20 日停用为止。

方法 1：为 Chronicle API 创建服务帐号（推荐）

1. 登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
2. 依次前往 IAM 和管理 > 服务账号。
3. 点击创建服务账号 。
4. 提供以下配置详细信息：
   • 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
   • 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
5. 点击创建并继续 。
6. 在向此服务帐号授予对项目的访问权限 部分，点击选择角色 ，然后选择 Chronicle Editor 。
7. 点击继续 ，然后点击完成 。
8. 点击您创建的服务帐号，然后前往密钥 标签页。
9. 点击添加密钥 > 创建新密钥。
10. 选择 JSON ，然后点击创建 。密钥文件会下载到您的计算机上。
11. 将密钥文件另存为 Bindplane 收集器目录中的 ingestion-auth.json（在 Linux 上为 /opt/observiq-otel-collector/ingestion-auth.json，在 Windows 上为 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json），或者更新 creds_file_path 在 config.yaml 中以与您保存该文件的路径匹配。
12. 依次前往 IAM 和管理 > 设置 ，然后复制项目编号 。您需要此编号进行导出器配置。

注意： JSON 密钥是一种凭据。请限制对 Bindplane 主机上文件的访问权限，并根据贵组织的政策轮换密钥。

方法 2：下载注入身份验证文件（旧版）

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载注入身份验证文件 。
4. 将该文件安全地保存在将安装 Bindplane 代理的系统上。

注意 ：此文件会对代理进行旧版注入 API (malachiteingestion-pa.googleapis.com) 身份验证，Google 已计划于 2027 年 7 月 20 日服务终止。请计划在该日期之前迁移到方法 1。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 个人资料。
3. 从组织详细信息 部分复制并保存客户 ID 。

注意 ：配置 Bindplane 代理导出器需要客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符 或 PowerShell 。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sc query observiq-otel-collector
   

   该服务应显示为 RUNNING 。

Linux 安装

1. 使用 root 或 sudo 权限打开终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sudo systemctl status observiq-otel-collector
   

   该服务应显示为 active (running) 。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

注意： Chronicle API 导出器配置需要 Bindplane 收集器 v1.106.0 或更高版本。之前的命令会安装最新版本。如果您要更新现有安装，请先升级收集器，然后再更改配置。

配置 Bindplane 代理以注入 Syslog 并发送到 Google SecOps

找到配置文件

• Linux：

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows：

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

修改配置文件

• 将 config.yaml 的全部内容替换为以下配置：

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/iboss_webproxy:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '<CREDS_FILE_PATH>'
      customer_id: '<CUSTOMER_ID>'
      endpoint: chronicle.googleapis.com
      log_type: IBOSS_WEBPROXY
      raw_log_field: body
      ingestion_labels:
        log_source: iboss
  
  service:
    pipelines:
      logs/iboss_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/iboss_webproxy
  

配置参数

替换以下占位符：

• 接收器配置：

  • listen_address：Bindplane 代理监听传入 Syslog 消息的 IP 地址和端口。使用 0.0.0.0 监听所有接口。该端口必须与 iBoss Syslog 转发设置中配置的端口匹配。
  • 如果 iBoss 配置为通过 TCP 发送日志，请将 udplog 接收器替换为 tcplog：

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  

  注意 ：相应地更新接收器引用service.pipelines。

• 导出器配置：

  • <CREDS_FILE_PATH>：服务帐号 JSON 密钥文件的完整路径（方法 1）：
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <CUSTOMER_ID>：之前复制的 Google SecOps 客户 ID。
  • location：将 <LOCATION> 替换为 Google SecOps 实例的区域（例如 us、europe 或 asia-southeast1）。导出器会使用此值为 chronicle.googleapis.com 添加前缀。如需查看完整列表，请参阅区域级端点。
  • project：将 <PROJECT_NUMBER> 替换为 IAM 和管理 > 设置 中的项目编号。
  • endpoint：保持设置为 chronicle.googleapis.com。

旧版注入 API 导出器

• 如果您使用方法 2 中的注入身份验证文件，请将 exporters 块替换为以下内容。将 creds_file_path 设置为注入身份验证文件的路径，如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的 区域级端点（例如 europe-malachiteingestion-pa.googleapis.com）。

  exporters:
    chronicle/iboss_webproxy:
      compression: gzip
      creds_file_path: '<CREDS_FILE_PATH>'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: IBOSS_WEBPROXY
      raw_log_field: body
      ingestion_labels:
        log_source: iboss
  

注意： 当注入 API 于 2027 年 7 月 20 日停用时，此导出器将停止工作。

保存配置文件

修改后，保存文件：

• Linux：按 Ctrl+O，然后按 Enter，再按 Ctrl+X
• Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

1. 运行以下命令：

   sudo systemctl restart observiq-otel-collector
   

2. 验证服务是否正在运行：

   sudo systemctl status observiq-otel-collector
   

3. 检查日志中的错误：

   sudo journalctl -u observiq-otel-collector -f
   

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

1. 请从下列选项中选择一项：

   • 以管理员身份运行命令提示符或 PowerShell：

     net stop observiq-otel-collector && net start observiq-otel-collector
     

   • “服务”控制台：

     1. 按 Win+R，输入 services.msc，然后按 Enter 键。
     2. 找到 observIQ OpenTelemetry Collector 。
     3. 右键点击，然后选择重启 。

2. 验证服务是否正在运行：

   sc query observiq-otel-collector
   

3. 检查日志中的错误：

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

配置 iBoss Syslog 转发

1. 登录 iBoss 门户。
2. 前往集成 Marketplace ，然后从左侧菜单中选择 Log Forwarding ，并点击与 Syslog Log Forwarding widget 关联的配置 按钮。
3. 点击 Add Integration 按钮以添加 Syslog 集成。

4. 提供以下配置详细信息：

   • Forward From：从下拉菜单中选择 Reporter 。
   • Select Reporting Database：选择 Reporting Database。
   • 服务名称：输入集成的描述性名称（例如 SecOps-Bindplane）。
   • Enable Service：将此项设置为 Enabled。
   • 日志类型：从下拉菜单中选择 URL。这会捕获 Web 代理流量日志（HTTP/HTTPS 请求）。如需转发其他事件类别（例如 DLP 或 DNS），请使用相应的日志类型配置单独的集成。

   • 协议类型：从下拉菜单中选择 UDP 或 TCP 。

     注意： 协议必须与 Bindplane 代理 config.yaml 文件中配置的接收器类型匹配（UDP 为 udplog，TCP 为 tcplog）。建议在生产环境中使用 TCP，因为它提供可靠的有序传送。

   • Syslog Facility Level：从下拉菜单中选择 Facility Syslog 。

   • Reporting Group：从下拉菜单中选择 All 。

   • 主机名：输入 Bindplane 代理主机的 IP 地址或完全限定域名。

   • 端口：输入与 Bindplane 代理配置中的 listen_address 端口匹配的端口号（例如 514）。

     注意： 在 Linux 上，端口 514 是特权端口。如果 Bindplane 代理以非根用户身份运行，请使用非特权端口（例如 5514），并更新 iBoss Port 字段和 Bindplane listen_address 以进行匹配。

   • 日志格式：从下拉菜单中选择 JSON。

   • Transfer Interval：从下拉菜单中选择 Continuous 。

   • 字段分隔符：从下拉菜单中选择 SPACE 。

   • Send DLP/Web/DNS/Malware/Audit/ConnectionError Logs：根据您发送日志的偏好设置为 Enable 。

     注意 ：只有在停用 Send Web Logs 时，Send Connection Error Logs 开关才会显示在 iBoss 界面中。

   • Fields to Forward：添加除 DLP Base64 Encoded Meta Data、Base64 Encoded Meta Data 和 Chat GPT Message 之外的所有字段。

5. 点击 Add Service 。

注意： 如果您有多个报告器节点，请对每个报告器节点重复执行第 3 步和第 4 步。

UDM 映射表

日志字段	UDM 映射	逻辑
intermediary	intermediary	与事件相关的中介设备或服务的信息。
desc	metadata.description	事件的其他说明。
metadata.event_type	metadata.event_type	事件类型（例如 USER_LOGIN、NETWORK_CONNECTION）。
urlLogId	metadata.product_log_id	产品中日志条目的唯一标识符。
requestMethod	network.http.method	请求中使用的 HTTP 方法。
ref_url	network.http.referral_url	将用户引荐到当前网页的网址。
response_Code	network.http.response_code	HTTP 响应代码。
user_Agent	network.http.user_agent	HTTP 请求中的用户代理字符串。
up_stream	network.received_bytes	网络连接中收到的字节数。
down_stream	network.sent_bytes	网络连接中发送的字节数。
computerName	principal.asset.hostname	与主体关联的资产的主机名。
computer_Mac_Address	principal.asset.mac	与主体关联的资产的 MAC 地址。
filtering_Group_Name	principal.group.group_display_name	与主体关联的群组的显示名称。
computerName	principal.hostname	主体的主机名。
sourceIpAddress	principal.ip	主体的 IP 地址。
pri_ip	principal.ip
pub_ip	principal.ip
mac_address	principal.mac	主体的 MAC 地址。
src_port	principal.port	主体使用的端口号。
file_name	principal.process.file.names	与进程关联的文件的名称。
username	principal.user.userid	主体的用户 ID。
sec_res	security_result	安全分析的结果，包括操作和类别。
host	target.hostname	目标的主机名。
ipAddress	target.ip	目标的 IP 地址。
targetPort	target.port	目标的端口号。
uri_path	target.process.file.full_path	目标上文件或资源的完整路径。
url	target.url	目标的网址。
metadata.product_name	metadata.product_name	生成事件的产品的名称。
metadata.vendor_name	metadata.vendor_name	生产产品的供应商的名称。

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。