Mengumpulkan log IBM Informix

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log IBM Informix ke Google Security Operations menggunakan agen Bindplane.

IBM Informix adalah sistem manajemen database relasional berperforma tinggi yang menyediakan kemampuan audit logging yang komprehensif melalui fasilitas audit yang aman. Fungsi Audit to Syslog (ASL) memungkinkan data audit dikirim ke daemon syslog untuk pencatatan terpusat dan integrasi SIEM.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan server IBM Informix
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses administratif ke server IBM Informix dengan peran AAO (Audit Administrator Officer)
• IBM Informix 12.10 atau yang lebih baru (fungsi ASL diperkenalkan di versi 12.10)
• Masker audit yang dikonfigurasi untuk pengguna atau peristiwa yang ingin Anda pantau

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Buat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Nama akun layanan: Masukkan nama untuk akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori pengumpul Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar cocok dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai active (running).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen BindPlane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan pengumpul Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade pengumpul sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Edit file konfigurasi

1. Ganti seluruh konten config.yaml dengan konfigurasi berikut:

   receivers:
     udplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/informix:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
       customer_id: 'YOUR_CUSTOMER_ID'
       endpoint: chronicle.googleapis.com
       log_type: INFORMIX
       raw_log_field: body
       ingestion_labels:
         env: production
         source: informix_audit
   
   service:
     pipelines:
       logs/informix_to_chronicle:
         receivers:
           - udplog
         exporters:
           - chronicle/informix
   

2. Ganti placeholder berikut:

   • Konfigurasi penerima:

     • listen_address: Alamat IP dan port yang akan diproses:

       • 0.0.0.0:514 untuk memproses semua antarmuka pada port 514 (port syslog standar)
       • Gunakan port 1514 atau yang lebih tinggi jika berjalan sebagai pengguna non-root di Linux
       • Sesuaikan nomor port agar sesuai dengan konfigurasi syslog Informix Anda

   • Konfigurasi pengekspor:

     • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1). Pastikan Anda menyimpan file kredensial sebagai ingestion-auth.json di salah satu lokasi berikut:

       • Linux: /opt/observiq-otel-collector/ingestion-auth.json
       • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

     • customer_id: Ganti YOUR_CUSTOMER_ID dengan ID pelanggan dari langkah sebelumnya

     • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.

     • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.

     • endpoint: Tetap disetel ke chronicle.googleapis.com.

     • log_type: Tetapkan ke INFORMIX

     • ingestion_labels: Label opsional untuk mengategorikan log (sesuaikan sesuai kebutuhan)

Contoh konfigurasi untuk syslog TCP

• Jika Anda lebih memilih TCP untuk pengiriman yang andal, gunakan konfigurasi ini:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/informix:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: chronicle.googleapis.com
      log_type: INFORMIX
      raw_log_field: body
  
  service:
    pipelines:
      logs/informix_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/informix
  

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/informix:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: INFORMIX
      raw_log_field: body
      ingestion_labels:
        env: production
        source: informix_audit
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Menyimpan file konfigurasi

Setelah mengedit, simpan file:

• Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
• Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux:

  1. Jalankan perintah berikut:

     sudo systemctl restart observiq-otel-collector
     

  2. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  3. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows:

  1. Pilih salah satu opsi berikut:

     • Command Prompt atau PowerShell sebagai administrator:

       net stop observiq-otel-collector && net start observiq-otel-collector
       

     • Konsol layanan:

       1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
       2. Cari observIQ OpenTelemetry Collector.
       3. Klik kanan, lalu pilih Mulai ulang.

  2. Pastikan layanan sedang berjalan:

     sc query observiq-otel-collector
     

  3. Periksa log untuk mengetahui error:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

Mengonfigurasi penerusan syslog IBM Informix

Membuat penyamaran audit

Sebelum mengaktifkan audit, Anda harus membuat mask audit untuk menentukan peristiwa mana yang akan diaudit untuk pengguna mana.

1. Hubungkan ke server IBM Informix sebagai pengguna dengan peran AAO.

2. Buat mask audit default untuk semua pengguna guna mengaudit peristiwa database umum:

   onaudit -a -u _default -e +OPDB,GRDB,CRTB,ALTB,DRTB
   

   Perintah ini membuat mask _default dan mengaudit peristiwa berikut:

   • OPDB: Open Database
   • GRDB: Memberikan Akses Database
   • CRTB: Membuat Tabel
   • ALTB: Mengubah Tabel
   • DRTB: Drop Table

3. Untuk mengaktifkan audit tingkat baris untuk modifikasi data, buat mask dengan peristiwa tingkat baris:

   onaudit -a -u _require -e +DLRW,INRW,UPRW,RDRW
   

   Perintah ini akan membuat mask dan audit _require:

   • DLRW: Menghapus Baris
   • INRW: Sisipkan Baris
   • UPRW: Memperbarui Baris
   • RDRW: Baca Baris
   Catatan: Peristiwa audit tingkat baris (DLRW, INRW, UPRW, RDRW) hanya diaudit pada tabel yang telah menetapkan tanda AUDIT. Aktifkan audit tingkat baris dengan onaudit -R 1 setelah membuat mask.

4. Untuk membuat mask untuk pengguna tertentu, ganti _default dengan nama pengguna:

   onaudit -a -u username -e +OPDB,GRDB,CRTB,ALTB,DRTB,DLRW,INRW,UPRW
   

5. Pastikan mask audit telah dibuat:

   onaudit -o
   

Mengaktifkan Audit ke Syslog (ASL)

1. Aktifkan audit ASL dan konfigurasi parameter syslog:

   onaudit -E on -F LOG_LOCAL0 -I informix_audit -P LOG_INFO
   

   Perintah ini:

   • -E on: Mengaktifkan fungsi Audit ke Syslog
   • -F LOG_LOCAL0: Menetapkan fasilitas syslog ke LOG_LOCAL0 (direkomendasikan untuk pemfilteran)
   • -I informix_audit: Menetapkan ID syslog ke informix_audit (muncul dalam pesan syslog)
   • -P LOG_INFO: Menetapkan prioritas syslog ke LOG_INFO
   Catatan: Fasilitas yang tersedia adalah LOG_USER (default), LOG_LOCAL0 hingga LOG_LOCAL7, LOG_AUTH, atau LOG_AUTHPRIV. LOG_LOCAL0 hingga LOG_LOCAL7 direkomendasikan untuk aplikasi kustom.

2. Aktifkan audit wajib untuk administrator database:

   onaudit -A on -S on
   

   Perintah ini:

   • -A on: Mengaktifkan audit wajib untuk grup DBSA (Database Server Administrator)
   • -S on: Mengaktifkan audit wajib untuk grup DBSSO (Database Security Officer)

3. Jika Anda ingin mengaktifkan audit tingkat baris untuk tabel dengan tanda AUDIT:

   onaudit -R 1
   

   Tindakan ini akan menetapkan parameter ADTROWS ke 1, sehingga mengaktifkan audit tingkat baris selektif.

4. Verifikasi konfigurasi audit:

   onaudit -c
   

   Output akan menampilkan:

   • ADT_SYSLOG_ENABLED = 1
   • ADT_SYSLOG_FACILITY = LOG_LOCAL0
   • ADT_SYSLOG_IDENTIFIER = informix_audit
   • ADT_SYSLOG_PRIORITY = LOG_INFO
   • ADT_DBSA = 1 (jika diaktifkan)
   • ADT_DBSSO = 1 (jika diaktifkan)

Mengonfigurasi daemon syslog untuk meneruskan ke agen Bindplane

Fungsi Informix ASL mengirimkan data audit ke daemon syslog lokal. Anda harus mengonfigurasi daemon syslog untuk meneruskan pesan ini ke agen BindPlane.

Untuk rsyslog (paling umum di Linux):

1. Buat file konfigurasi rsyslog baru:

   sudo nano /etc/rsyslog.d/30-informix-audit.conf
   

2. Tambahkan konfigurasi berikut untuk meneruskan log audit Informix:

   # Forward Informix audit logs to Bindplane agent
   local0.* @127.0.0.1:514
   

   Jika Anda mengonfigurasi fasilitas yang berbeda dalam perintah onaudit -F, ganti local0 dengan fasilitas Anda (misalnya, local1, local2, dll.).

   Jika agen Bindplane berada di server yang berbeda, ganti 127.0.0.1 dengan alamat IP agen Bindplane.

   Untuk penerusan TCP (lebih andal), gunakan @@, bukan @:

   local0.* @@127.0.0.1:514
   

3. Simpan file dan mulai ulang rsyslog:

   sudo systemctl restart rsyslog
   

4. Verifikasi bahwa rsyslog sedang berjalan:

   sudo systemctl status rsyslog
   

Untuk syslog-ng:

1. Edit file konfigurasi syslog-ng:

   sudo nano /etc/syslog-ng/syslog-ng.conf
   

2. Tambahkan konfigurasi berikut:

   # Define destination for Bindplane agent
   destination d_bindplane {
       udp("127.0.0.1" port(514));
   };
   
   # Filter for Informix audit logs
   filter f_informix {
       facility(local0);
   };
   
   # Log path to forward Informix logs
   log {
       source(s_src);
       filter(f_informix);
       destination(d_bindplane);
   };
   

3. Simpan file dan mulai ulang syslog-ng:

   sudo systemctl restart syslog-ng
   

Menguji konfigurasi

1. Buat peristiwa audit pengujian dengan menghubungkan ke database:

   dbaccess stores_demo
   

   Kemudian, keluar dari database.

2. Periksa log agen Bindplane untuk memverifikasi bahwa data audit diterima:

   Linux:

   sudo journalctl -u observiq-otel-collector -f | grep informix
   

   Windows:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log" | findstr informix
   

3. Anda juga dapat menggunakan utilitas onshowaudit untuk melihat catatan audit dari file syslog:

   onshowaudit -f /var/log/syslog -u your_username
   

   Catatan: Daemon syslog menambahkan informasi stempel waktu dan nama host sebelum rekaman audit Informix. Entri Informix dimulai dengan status server (misalnya, ONLN|) yang diikuti dengan kolom yang dibatasi dengan karakter pipa.

Format log audit

• Log audit Informix yang dikirim melalui syslog memiliki format berikut:

  Jan 12 11:59:21 hostname informix_audit: ONLN|2021-01-12 18:59:21.512|hostname|31055|servername|username|0:OPDB:stores_demo:0:-
  

  Formatnya meliputi:

  • Stempel waktu dan nama host syslog (ditambahkan oleh daemon syslog)
  • ID Syslog (dikonfigurasi dengan opsi -I)
  • Status server (ONLN = online)
  • Stempel waktu Informix
  • Hostname
  • ID proses
  • Nama server
  • Nama pengguna
  • Kode dan detail acara (dibatasi tanda pipa)

Opsi konfigurasi tambahan

• Untuk menyetel opsi syslog:

  onaudit -O LOG_NDELAY,LOG_PID
  

  Opsi yang tersedia:

  • LOG_NDELAY: Buka koneksi segera (default)
  • LOG_ODELAY: Menunda pembukaan koneksi (saling eksklusif dengan LOG_NDELAY)
  • LOG_PID: Menyertakan ID proses dalam pesan
  • LOG_CONS: Menulis ke konsol jika syslog tidak tersedia
  • LOG_PERROR: Menulis ke stderr serta syslog

• Untuk mengubah jalur file audit (untuk audit klasik):

  onaudit -p /path/to/audit/directory
  

• Untuk menetapkan ukuran file audit maksimum:

  onaudit -s 50000000
  

  Tindakan ini akan menetapkan ukuran maksimum menjadi 50 MB (nilai dalam byte).

• Untuk memulai file audit baru secara manual:

  onaudit -n
  

• Untuk menyetel mode penanganan error:

  onaudit -e 1
  

Mode error:

• 0: Lanjutkan pemrosesan dan catat error (default)
• 1: Menangguhkan thread hingga data audit dapat ditulis
• 3: Mematikan server

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
id, dequeue_count, RequestId	about.labels	Digabungkan dengan label untuk 'Message Id', 'Dequeue Count', 'Request Id'
timestamp	metadata.event_timestamp	Dikonversi menggunakan format: yyyy-MM-dd HH:mm:ss.SSS
jenis	metadata.event_type	Ditetapkan ke 'GENERIC_EVENT' jika type == 'ERROR', atau 'SYSTEM_AUDIT_LOG_UNCATEGORIZED'
serverName	principal.asset.asset_id	Digabungkan dari "PRODUCT_SPECIFIC_ID: " dan serverName jika type != 'ERROR'
hostName	principal.hostname	Nilai disalin langsung jika jenis != 'ERROR'
processId	principal.process.pid	Nilai disalin secara langsung jika jenis != 'ERROR'
eventOutput, eventName	principal.resource.attribute.labels	Digabungkan dengan label untuk 'Output Peristiwa', 'Nama Peristiwa'
dbName	principal.resource.name	Nilai disalin langsung jika data != ""
	principal.resource.type	Tetapkan ke "DATABASE" jika data != ""
userName	principal.user.userid	Nilai disalin secara langsung jika jenis != 'ERROR'
errorCode, type	security_result.action	Setel ke 'BLOCK' jika type == 'ERROR', atau 'ALLOW' jika errorCode == '0', atau 'BLOCK'
Pengecualian	security_result.description	Nilai disalin langsung jika kv_data_1 != ""
ErrorCode	security_result.rule_name	Nilai disalin langsung jika kv_data_1 != ""
deskripsi	security_result.summary	Nilai disalin langsung jika deskripsi != ""
blob_name, file_name	target.file.full_path	Nilai dari blob_name jika type == 'ERROR', atau file_name
	metadata.product_name	Tetapkan ke "INFORMIX"
	metadata.vendor_name	Ditetapkan ke "IBM"

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.