Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Logs des Intel Endpoint Management Assistant (Intel EMA) erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Logs des Intel Endpoint Management Assistant (Intel EMA) mit Bindplane in Google Security Operations aufnehmen.

Der Intel Endpoint Management Assistant (Intel EMA) ist eine Softwareanwendung, die die Remote-Verwaltung von Geräten auf Basis der Intel vPro-Plattform in der Cloud ermöglicht, sowohl innerhalb als auch außerhalb der Firewall. Mit Intel EMA können IT-Administratoren Intel Active Management Technology-Endpunkte (Intel AMT) remote konfigurieren und verwalten, Out-of-Band- und In-Band-Vorgänge ausführen und die Endpunktaktivität über die Protokollierung von Audit-Ereignissen überwachen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Windows Server 2016 oder höher oder ein Linux-Host mit systemd
Netzwerkverbindung zwischen dem Bindplane-Agenten und dem Intel EMA-Server
Wenn Sie einen Proxy verwenden, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agenten geöffnet sein.
Administratorzugriff auf den Intel EMA-Server mit Berechtigungen zum Ändern der NLog-Konfigurationsdatei
Intel EMA-Serverversion 1.10 oder höher ist installiert und betriebsbereit

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Aufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
Rufen Sie IAM und Verwaltung > Dienstkonten auf.
Klicken Sie auf Dienstkonto erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
- Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
Klicken Sie auf Erstellen und fortfahren.
Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Editor aus.
Klicken Sie auf Weiter und dann auf Fertig.
Klicken Sie auf das erstellte Dienstkonto und dann auf den Tab Schlüssel.
Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Speicherort übereinstimmt.
Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporterkonfiguration.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie SIEM-Einstellungen > Erfassungs-Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie SIEM-Einstellungen > Profil auf.
Kopieren und speichern Sie die Kundennummer aus dem Abschnitt Organisationsdetails.

Bindplane-Agenten installieren

Installieren Sie den Bindplane-Agenten auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Warten Sie, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sc query observiq-otel-collector
```
Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Warten Sie, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sudo systemctl status observiq-otel-collector
```
Der Dienst sollte als active (running) angezeigt werden.

Weitere Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agenten so konfigurieren, dass Syslog aufgenommen und an Google SecOps gesendet wird

Konfigurationsdatei suchen

Linux :

sudo nano /opt/observiq-otel-collector/config.yaml

Windows :

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/intel_ema:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: INTEL_EMA
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/intel_ema_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/intel_ema

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

Empfängerkonfiguration :
- listen_address: Legen Sie 0.0.0.0:514 fest, um an allen Schnittstellen auf UDP-Port 514 zu lauschen. Wenn Sie unter Linux als Nicht-Root-Nutzer ausführen, können Sie einen anderen Port wie 1514 verwenden.
Exporterkonfiguration :
- creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
  - Linux: /opt/observiq-otel-collector/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: Ersetzen Sie YOUR_CUSTOMER_ID durch Ihre Kundennummer aus dem vorherigen Schritt.
- location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz, z. B. us, europe oder asia-southeast1. Der Exporter stellt chronicle.googleapis.com mit diesem Wert voran. Die vollständige Liste finden Sie unter Regionale Endpunkte.
- project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM und Verwaltung > Einstellungen.
- endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
- log_type: Legen Sie genau wie gezeigt INTEL_EMA fest.
- ingestion_labels: Optionale Labels im YAML-Format, z. B. env: production.

Exporter für die Legacy Ingestion API

Wenn Sie die Authentifizierungsdatei für die Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie creds_file_path auf den Pfad zur Authentifizierungsdatei für die Aufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt, z. B. europe-malachiteingestion-pa.googleapis.com.
```
exporters:
  chronicle/intel_ema:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: INTEL_EMA
    raw_log_field: body
    ingestion_labels:
      env: production
```

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:

Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
Windows: Klicken Sie auf Datei > Speichern

Bindplane-Agenten neu starten, damit die Änderungen übernommen werden

So starten Sie den Bindplane-Agenten unter Linux neu:

Führen Sie dazu diesen Befehl aus:

sudo systemctl restart observiq-otel-collector

Prüfen Sie, ob der Dienst ausgeführt wird:

sudo systemctl status observiq-otel-collector

Prüfen Sie die Logs auf Fehler:

sudo journalctl -u observiq-otel-collector -f

So starten Sie den Bindplane-Agenten unter Windows neu:

Wählen Sie eine der folgenden Optionen aus:
- Eingabeaufforderung oder PowerShell als Administrator:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Dienste-Konsole:
  1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
  2. Suchen Sie nach observIQ OpenTelemetry Collector.
  3. Rechtsklicken Sie und wählen Sie Neu starten aus.
  4. Prüfen Sie, ob der Dienst ausgeführt wird:
```
sc query observiq-otel-collector
```
  5. Prüfen Sie die Logs auf Fehler:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Syslog-Weiterleitung für Intel EMA konfigurieren

Intel EMA verwendet das NLog-Protokollierungs-Framework. Wenn Sie Logs über Syslog an den Bindplane-Agenten weiterleiten möchten, müssen Sie der NLog-Konfigurationsdatei von Intel EMA ein Syslog-Netzwerkziel hinzufügen.

NLog Syslog-Zielerweiterung installieren

Melden Sie sich als lokaler Administrator auf dem Intel EMA-Server an.
Öffnen Sie PowerShell als Administrator.
Rufen Sie das Verzeichnis der Intel EMA-Webanwendung auf:
```
cd C:\inetpub\wwwroot
```
Installieren Sie das NuGet-Paket NLog.Targets.Syslog , indem Sie die Datei NLog.Targets.Syslog.dll in das Verzeichnis der Intel EMA-Webanwendung (C:\inetpub\wwwroot) kopieren.

Hinweis: Sie können das Paket NLog.Targets.Syslog aus der NuGet Gallery herunterladen. Extrahieren Sie die DLL aus dem Paket und platzieren Sie sie im selben Verzeichnis wie die Dateien NLog.dll und NLog.config.

NLog-Konfigurationsdatei bearbeiten

Öffnen Sie die NLog-Konfigurationsdatei in einem Texteditor:
```
notepad C:\inetpub\wwwroot\NLog.config
```
Fügen Sie die Syslog-Erweiterung im Abschnitt <extensions> hinzu. Wenn der <extensions> Abschnitt nicht vorhanden ist, erstellen Sie ihn im Element <nlog>:
```
<extensions>
    <add assembly="NLog.Targets.Syslog" />
</extensions>
```
Fügen Sie im Abschnitt <targets> ein Syslog-Ziel hinzu:
```
<target name="syslog" xsi:type="Syslog">
    <sl:messageSend>
        <protocol>UDP</protocol>
        <udp>
            <server>BINDPLANE_AGENT_IP</server>
            <port>514</port>
        </udp>
    </sl:messageSend>
</target>
```
- Ersetzen Sie BINDPLANE_AGENT_IP durch die IP-Adresse des Hosts, auf dem der Bindplane-Agent ausgeführt wird, z. B. 192.168.1.100.
- Ersetzen Sie 514 durch den im Bindplane-Agenten konfigurierten Port, wenn Sie einen nicht standardmäßigen Port verwenden.
- Legen Sie das Protokoll auf UDP oder TCP fest, um der Empfängerkonfiguration des Bindplane-Agenten zu entsprechen.
Fügen Sie im Abschnitt <rules> eine Protokollierungsregel hinzu, um alle Logeinträge an das Syslog-Ziel weiterzuleiten:
```
<logger name="*" minlevel="Info" writeTo="syslog" />
```
Hinweis: Legen Sie minlevel auf Info fest, um Informations-, Warn-, Fehler- und kritische Ereignisse zu erfassen. Legen Sie Debug für eine ausführlichere Protokollierung oder Warn für weniger Meldungen fest.
Speichern und schließen Sie die Datei.

Beispiel für NLog.config mit Syslog-Ziel

Das folgende Beispiel zeigt die relevanten Abschnitte, die der Konfigurationsdatei „NLog.config“ hinzugefügt wurden:

<?xml version="1.0" encoding="utf-8"?>
<nlog xmlns="http://www.nlog-project.org/schemas/NLog.xsd"
      xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
      xmlns:sl="http://www.nlog-project.org/schemas/NLog.Targets.Syslog.xsd">
    <extensions>
        <add assembly="NLog.Targets.Syslog" />
    </extensions>
    <targets>
        <!-- Existing file targets remain here -->
        <target name="syslog" xsi:type="Syslog">
            <sl:messageSend>
                <protocol>UDP</protocol>
                <udp>
                    <server>192.168.1.100</server>
                    <port>514</port>
                </udp>
            </sl:messageSend>
        </target>
    </targets>
    <rules>
        <!-- Existing rules remain here -->
        <logger name="*" minlevel="Info" writeTo="syslog" />
    </rules>
</nlog>

IIS neu starten, damit die Änderungen übernommen werden

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.
Starten Sie IIS neu, um die NLog-Konfiguration neu zu laden:
```
iisreset
```
Prüfen Sie, ob die Intel EMA-Webanwendung ausgeführt wird, indem Sie in einem Webbrowser zum Intel EMA Platform Manager navigieren.

Syslog-Weiterleitung prüfen

Führen Sie in der Intel EMA-Konsole eine Aktion aus, z. B. anmelden, Endpunkte ansehen oder eine Konfiguration ändern, um Audit-Ereignisse zu generieren.
Prüfen Sie die Bindplane-Agenten-Logs, um zu bestätigen, dass Syslog-Meldungen vom Intel EMA-Server empfangen werden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
server_type	additional.fields	Zusammengeführte Labels mit den Schlüsseln server_type, server_type_id, Endpoint_count
server_type_id	additional.fields
Endpoint_count	additional.fields
Time	metadata.event_timestamp	Mit Datumsfilter mit den Formaten „yyyy-MM-dd HH:mm:ss.SSSS“, ISO8601, RFC 3339 geparst
metadata.event_type	metadata.event_type	Auf „GENERIC_EVENT“ festgelegt
version_id	metadata.product_version	Wert direkt kopiert
EndpointId	security_result.detection_fields	Zusammengeführtes Label mit dem Schlüssel „EndpointId“
severity	security_result.severity	CRITICAL, wenn CRITICAL, ERROR, wenn ERROR, HIGH, wenn ALERT oder EMERGENCY, INFORMATIONAL, wenn INFO oder NOTICE, LOW, wenn DEBUG, MEDIUM, wenn WARNING, andernfalls UNKNOWN_SEVERITY
Culture	target.resource.attribute.labels	Zusammengeführte Labels mit den Schlüsseln „culture“, „public_key_token“, „process_name“
Publickeytoken	target.resource.attribute.labels
process_name	target.resource.attribute.labels

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten