Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Raccogli i log di IBM Informix

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log IBM Informix in Google Security Operations utilizzando l'agente Bindplane.

IBM Informix è un sistema di gestione di database relazionali ad alte prestazioni che fornisce funzionalità complete di audit logging tramite la sua funzionalità di controllo sicuro. La funzionalità Audit to Syslog (ASL) consente di inviare i record di controllo al daemon syslog per la raccolta centralizzata dei log e l'integrazione SIEM.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

Un'istanza Google SecOps
Windows Server 2016 o versioni successive oppure un host Linux con systemd
Connessione di rete tra l'agente Bindplane e il server IBM Informix
Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
Accesso amministrativo al server IBM Informix con ruolo AAO (Audit Administrator Officer)
IBM Informix 12.10 o versioni successive (la funzionalità ASL è stata introdotta nella versione 12.10)
Maschere di controllo configurate per gli utenti o gli eventi che vuoi monitorare

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

Nuovi deployment: utilizza l'API Chronicle (opzione 1).
Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (Opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
Vai a IAM e amministrazione > Service account.
Fai clic su Crea service account.
Fornisci i seguenti dettagli di configurazione:
- Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
- Descrizione service account: inserisci una descrizione (ad esempio Bindplane agent log ingestion).
Fai clic su Crea e continua.
Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Editor Chronicle.
Fai clic su Continua e poi su Fine.
Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
Fai clic su Aggiungi chiave > Crea nuova chiave.
Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul tuo computer.
Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) oppure aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
Vai a IAM e amministrazione > Impostazioni e copia il numero di progetto. Ti servirà per la configurazione dell'esportatore.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Agenti di raccolta.
Scarica il file di autenticazione dell'acquisizione.
Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Recuperare l'ID cliente Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Profilo.
Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Nota: l'ID cliente è necessario per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

Apri Prompt dei comandi o PowerShell come amministratore.

Esegui questo comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendi il completamento dell'installazione.
Verifica l'installazione eseguendo:
```
sc query observiq-otel-collector
```
Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

Apri un terminale con privilegi root o sudo.

Esegui questo comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Attendi il completamento dell'installazione.
Verifica l'installazione eseguendo:
```
sudo systemctl status observiq-otel-collector
```
Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare il syslog e inviarlo a Google SecOps

Individua il file di configurazione

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/informix:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: INFORMIX
    raw_log_field: body
    ingestion_labels:
      env: production
      source: informix_audit

service:
  pipelines:
    logs/informix_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/informix

Sostituisci i seguenti segnaposto:
- Configurazione del ricevitore:
  - listen_address: Indirizzo IP e porta su cui ascoltare:
    - 0.0.0.0:514 per ascoltare su tutte le interfacce sulla porta 514 (porta syslog standard)
    - Utilizza la porta 1514 o superiore se l'esecuzione avviene come utente non root su Linux
    - Modifica il numero di porta in modo che corrisponda alla configurazione del syslog Informix
- Configurazione dell'esportatore:
  - creds_file_path: il percorso completo del file della chiave JSON del account di servizio (opzione 1). Assicurati di salvare il file delle credenziali come ingestion-auth.json in una delle seguenti posizioni:
    - Linux: /opt/observiq-otel-collector/ingestion-auth.json
    - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  - customer_id: sostituisci YOUR_CUSTOMER_ID con l'ID cliente del passaggio precedente
  - location: sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore aggiunge chronicle.googleapis.com come prefisso a questo valore. Per l'elenco completo, consulta Endpoint regionali.
  - project: sostituisci <PROJECT_NUMBER> con il numero di progetto da IAM e amministrazione > Impostazioni.
  - endpoint: mantieni l'impostazione chronicle.googleapis.com.
  - log_type: impostato su INFORMIX
  - ingestion_labels: etichette facoltative per classificare i log (personalizza in base alle esigenze)

Configurazione di esempio per syslog TCP

Se preferisci TCP per una distribuzione affidabile, utilizza questa configurazione:

receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/informix:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: INFORMIX
    raw_log_field: body

service:
  pipelines:
    logs/informix_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/informix

Esportatore dell'API di importazione precedente

Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

exporters:
  chronicle/informix:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: INFORMIX
    raw_log_field: body
    ingestion_labels:
      env: production
      source: informix_audit

Salva il file di configurazione

Dopo la modifica, salva il file:

Linux: premi Ctrl+O, poi Enter e infine Ctrl+X
Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux:
1. Esegui questo comando:
```
sudo systemctl restart observiq-otel-collector
```
2. Verifica che il servizio sia in esecuzione:
```
sudo systemctl status observiq-otel-collector
```
3. Controlla i log per verificare la presenza di errori:
```
sudo journalctl -u observiq-otel-collector -f
```
Per riavviare l'agente Bindplane in Windows:
1. Scegli una delle seguenti opzioni:
  - Prompt dei comandi o PowerShell come amministratore:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
  - Console dei servizi:
    1. Premi Win+R, digita services.msc e premi Invio.
    2. Individua observIQ OpenTelemetry Collector.
    3. Fai clic con il tasto destro del mouse e seleziona Riavvia.
2. Verifica che il servizio sia in esecuzione:
```
sc query observiq-otel-collector
```
3. Controlla i log per verificare la presenza di errori:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configura l'inoltro del syslog IBM Informix

Crea maschere di controllo

Prima di attivare l'audit, devi creare maschere di audit per definire quali eventi controllare per quali utenti.

Connettiti al server IBM Informix come utente con ruolo AAO.
Crea una maschera di controllo predefinita per tutti gli utenti per controllare gli eventi di database comuni:
```
onaudit -a -u _default -e +OPDB,GRDB,CRTB,ALTB,DRTB
```
Questo comando crea la maschera _default e controlla i seguenti eventi:
- OPDB: Open Database
- GRDB: Grant Database Access
- CRTB: Crea tabella
- ALTB: Alter Table
- DRTB: Drop Table
Per attivare l'audit a livello di riga per le modifiche ai dati, crea una maschera con eventi a livello di riga:
```
onaudit -a -u _require -e +DLRW,INRW,UPRW,RDRW
```
Questo comando crea la maschera _require e i controlli:
- DLRW: Delete Row
- INRW: Inserisci riga
- UPRW: aggiorna riga
- RDRW: Read Row
Nota: gli eventi di controllo a livello di riga (DLRW, INRW, UPRW, RDRW) vengono controllati solo sulle tabelle con il flag AUDIT impostato. Abilita l'audit a livello di riga con onaudit -R 1 dopo aver creato le maschere.
Per creare una maschera per un utente specifico, sostituisci _default con il nome utente:
```
onaudit -a -u username -e +OPDB,GRDB,CRTB,ALTB,DRTB,DLRW,INRW,UPRW
```
Verifica che le maschere di controllo siano state create:
```
onaudit -o
```

Abilita audit in Syslog (ASL)

Abilita il controllo ASL e configura i parametri syslog:
```
onaudit -E on -F LOG_LOCAL0 -I informix_audit -P LOG_INFO
```
Questo comando:
- -E on: attiva la funzionalità Audit to Syslog
- -F LOG_LOCAL0: imposta la funzionalità syslog su LOG_LOCAL0 (consigliata per i filtri)
- -I informix_audit: imposta l'identificatore syslog su informix_audit (viene visualizzato nei messaggi syslog)
- -P LOG_INFO
Nota: le strutture disponibili sono LOG_USER (impostazione predefinita), LOG_LOCAL0-LOG_LOCAL7, LOG_AUTH o LOG_AUTHPRIV. LOG_LOCAL0 e LOG_LOCAL7 sono consigliati per le applicazioni personalizzate.
Abilita il controllo obbligatorio per gli amministratori di database:
```
onaudit -A on -S on
```
Questo comando:
- -A on: abilita l'audit obbligatorio per il gruppo DBSA (Database Server Administrator)
- -S on: abilita l'audit obbligatorio per il gruppo DBSSO (Database Security Officer)
Se vuoi attivare l'audit a livello di riga per le tabelle con il flag AUDIT:
```
onaudit -R 1
```
In questo modo, il parametro ADTROWS viene impostato su 1, abilitando l'audit selettivo a livello di riga.
Verifica la configurazione di controllo:
```
onaudit -c
```
L'output dovrebbe mostrare:
- ADT_SYSLOG_ENABLED = 1
- ADT_SYSLOG_FACILITY = LOG_LOCAL0
- ADT_SYSLOG_IDENTIFIER = informix_audit
- ADT_SYSLOG_PRIORITY = LOG_INFO
- ADT_DBSA = 1 (se abilitato)
- ADT_DBSSO = 1 (se abilitato)

Configura il daemon syslog per l'inoltro all'agente Bindplane

La funzionalità Informix ASL invia i record di controllo al daemon syslog locale. Devi configurare il daemon syslog per inoltrare questi messaggi all'agente Bindplane.

Per rsyslog (il più comune su Linux):

Crea un nuovo file di configurazione rsyslog:

sudo nano /etc/rsyslog.d/30-informix-audit.conf

Aggiungi la seguente configurazione per inoltrare gli audit log di Informix:
```
# Forward Informix audit logs to Bindplane agent
local0.* @127.0.0.1:514
```
Se hai configurato una facility diversa nel comando onaudit -F, sostituisci local0 con la tua facility (ad esempio local1, local2 e così via).

Se l'agente Bindplane si trova su un server diverso, sostituisci 127.0.0.1 con l'indirizzo IP dell'agente Bindplane.

Per l'inoltro TCP (più affidabile), utilizza @@ anziché @:
```
local0.* @@127.0.0.1:514
```
Salva il file e riavvia rsyslog:
```
sudo systemctl restart rsyslog
```
Verifica che rsyslog sia in esecuzione:
```
sudo systemctl status rsyslog
```

Per syslog-ng:

Modifica il file di configurazione di syslog-ng:
```
sudo nano /etc/syslog-ng/syslog-ng.conf
```

Aggiungi la seguente configurazione:

# Define destination for Bindplane agent
destination d_bindplane {
    udp("127.0.0.1" port(514));
};

# Filter for Informix audit logs
filter f_informix {
    facility(local0);
};

# Log path to forward Informix logs
log {
    source(s_src);
    filter(f_informix);
    destination(d_bindplane);
};

Salva il file e riavvia syslog-ng:
```
sudo systemctl restart syslog-ng
```

Testa la configurazione

Genera un evento di controllo di test connettendoti a un database:
```
dbaccess stores_demo
```
Poi esci dal database.

Controlla i log dell'agente Bindplane per verificare che i record di controllo vengano ricevuti:

Linux:

sudo journalctl -u observiq-otel-collector -f | grep informix

Windows:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log" | findstr informix

Puoi anche utilizzare l'utilità onshowaudit per visualizzare i record di controllo dai file syslog:
```
onshowaudit -f /var/log/syslog -u your_username
```
Nota: il daemon syslog aggiunge informazioni su timestamp e nome host prima del record di controllo Informix. Il record Informix inizia con lo stato del server (ad esempio, ONLN|) seguito da campi delimitati da pipe.

Formato degli audit log

Gli audit log di Informix inviati tramite syslog hanno il seguente formato:
```
Jan 12 11:59:21 hostname informix_audit: ONLN|2021-01-12 18:59:21.512|hostname|31055|servername|username|0:OPDB:stores_demo:0:-
```
Il formato include:
- Timestamp e nome host Syslog (aggiunti dal daemon syslog)
- Identificatore Syslog (configurato con l'opzione -I)
- Stato del server (ONLN = online)
- Timestamp Informix
- Nome host
- ID di processo
- Nome del server
- Nome utente
- Codice evento e dettagli (separati da una barra verticale)

Opzioni di configurazione aggiuntive

Per impostare le opzioni di syslog:
```
onaudit -O LOG_NDELAY,LOG_PID
```
Opzioni disponibili:
- LOG_NDELAY: Apri immediatamente la connessione (valore predefinito)
- LOG_ODELAY: ritarda l'apertura della connessione (si esclude a vicenda con LOG_NDELAY)
- LOG_PID: includi l'ID di processo nei messaggi
- LOG_CONS: Scrivi nella console se syslog non è disponibile
- LOG_PERROR: Scrivi su stderr e su syslog
Per modificare il percorso del file di controllo (per l'audit classico):
```
onaudit -p /path/to/audit/directory
```
Per impostare le dimensioni massime del file di controllo:
```
onaudit -s 50000000
```
In questo modo, la dimensione massima viene impostata su 50 MB (valore in byte).
Per avviare manualmente un nuovo file di controllo:
```
onaudit -n
```
Per impostare la modalità di gestione degli errori:
```
onaudit -e 1
```

Modalità di errore:

0: continua l'elaborazione e registra l'errore (impostazione predefinita)
1: sospendi il thread finché non è possibile scrivere il record di controllo
3: arresta il server

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
id, dequeue_count, RequestId	about.labels	Unito alle etichette "ID messaggio", "Conteggio rimozione dalla coda" e "ID richiesta"
timestamp	metadata.event_timestamp	Conversione eseguita utilizzando il formato: yyyy-MM-dd HH:mm:ss.SSS
tipo	metadata.event_type	Impostato su "GENERIC_EVENT" se il tipo è "ERROR", altrimenti su "SYSTEM_AUDIT_LOG_UNCATEGORIZED"
serverName	principal.asset.asset_id	Concatenato da "PRODUCT_SPECIFIC_ID: " e serverName se type != "ERROR"
hostName	principal.hostname	Valore copiato direttamente se type != 'ERROR'
processId	principal.process.pid	Valore copiato direttamente se type != 'ERROR'
eventOutput, eventName	principal.resource.attribute.labels	Unito alle etichette per "Output evento", "Nome evento"
dbName	principal.resource.name	Valore copiato direttamente se data != ""
	principal.resource.type	Impostato su "DATABASE" se data != ""
userName	principal.user.userid	Valore copiato direttamente se il tipo non è "ERROR"
errorCode, type	security_result.action	Imposta su "BLOCK" se type == "ERROR", altrimenti su "ALLOW" se errorCode == "0", altrimenti su "BLOCK"
Eccezione	security_result.description	Valore copiato direttamente se kv_data_1 != ""
ErrorCode	security_result.rule_name	Valore copiato direttamente se kv_data_1 != ""
descrizione	security_result.summary	Valore copiato direttamente se la descrizione != ""
blob_name, file_name	target.file.full_path	Valore di blob_name se type == 'ERROR', altrimenti file_name
	metadata.product_name	Imposta su "INFORMIX"
	metadata.vendor_name	Impostato su "IBM"

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.