Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengumpulkan log Intel Endpoint Management Assistant (Intel EMA)

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Intel Endpoint Management Assistant (Intel EMA) ke Google Security Operations menggunakan Bindplane.

Intel Endpoint Management Assistant (Intel EMA) adalah aplikasi software yang menyediakan pengelolaan jarak jauh perangkat berbasis platform Intel vPro di cloud, baik di dalam maupun di luar firewall. Intel EMA memungkinkan administrator IT mengonfigurasi dan mengelola endpoint Intel Active Management Technology (Intel AMT) dari jarak jauh, melakukan operasi di luar band dan dalam band, serta memantau aktivitas endpoint melalui logging peristiwa audit.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
Konektivitas jaringan antara agen Bindplane dan server Intel EMA
Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
Akses administrator ke server Intel EMA dengan izin untuk mengubah file konfigurasi NLog
Server Intel EMA versi 1.10 atau yang lebih baru telah diinstal dan beroperasi

Mendapatkan file autentikasi penyerapan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Agen Pengumpulan.
Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Profil.
Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

Buka Command Prompt atau PowerShell sebagai administrator.

Jalankan perintah berikut:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Tunggu hingga penginstalan selesai.
Verifikasi penginstalan dengan menjalankan:
```
sc query observiq-otel-collector
```
Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

Buka terminal dengan hak istimewa root atau sudo.

Jalankan perintah berikut:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Tunggu hingga penginstalan selesai.
Verifikasi penginstalan dengan menjalankan:
```
sudo systemctl status observiq-otel-collector
```
Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

Ganti seluruh konten config.yaml dengan konfigurasi berikut:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/intel_ema:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: INTEL_EMA
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/intel_ema_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/intel_ema

Parameter konfigurasi

Ganti placeholder berikut:

Konfigurasi penerima:
- listen_address: Setel ke 0.0.0.0:514 untuk memproses semua antarmuka di port UDP 514. Anda dapat menggunakan port lain seperti 1514 jika berjalan sebagai non-root di Linux.
Konfigurasi pengekspor:
- creds_file_path: Jalur lengkap ke file autentikasi penyerapan:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: Ganti YOUR_CUSTOMER_ID dengan ID pelanggan Anda dari langkah sebelumnya.
- endpoint: URL endpoint regional:
  - Amerika Serikat: malachiteingestion-pa.googleapis.com
  - Eropa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Lihat Endpoint Regional untuk mengetahui daftar lengkapnya
- log_type: Tetapkan ke INTEL_EMA persis seperti yang ditunjukkan.
- ingestion_labels: Label opsional dalam format YAML (misalnya, env: production).

Simpan file konfigurasi

Setelah mengedit, simpan file:

Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux, lakukan hal berikut:

Jalankan perintah berikut:

sudo systemctl restart observiq-otel-collector

Pastikan layanan sedang berjalan:

sudo systemctl status observiq-otel-collector

Periksa log untuk mengetahui error:

sudo journalctl -u observiq-otel-collector -f

Untuk memulai ulang agen Bindplane di Windows, lakukan langkah berikut:

Pilih salah satu opsi berikut:
- Command Prompt atau PowerShell sebagai administrator:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Konsol layanan:
  1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
  2. Cari observIQ OpenTelemetry Collector.
  3. Klik kanan, lalu pilih Mulai ulang.
  4. Pastikan layanan sedang berjalan:
```
sc query observiq-otel-collector
```
  5. Periksa log untuk mengetahui error:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Mengonfigurasi penerusan syslog Intel EMA

Intel EMA menggunakan framework logging NLog. Untuk meneruskan log melalui syslog ke agen Bindplane, Anda harus menambahkan target jaringan syslog ke file konfigurasi NLog Intel EMA.

Menginstal ekstensi target Syslog NLog

Login ke server Intel EMA sebagai administrator lokal.
Buka PowerShell sebagai administrator.
Buka direktori aplikasi web Intel EMA:
```
cd C:\inetpub\wwwroot
```
Instal paket NuGet NLog.Targets.Syslog dengan menyalin file NLog.Targets.Syslog.dll ke direktori aplikasi web Intel EMA (C:\inetpub\wwwroot).

Catatan: Anda dapat mendownload paket NLog.Targets.Syslog dari Galeri NuGet. Ekstrak DLL dari paket dan tempatkan di direktori yang sama dengan file NLog.dll dan NLog.config.

Edit file konfigurasi NLog

Buka file konfigurasi NLog di editor teks:
```
notepad C:\inetpub\wwwroot\NLog.config
```
Tambahkan ekstensi syslog di dalam bagian <extensions>. Jika bagian <extensions> tidak ada, buat di dalam elemen <nlog>:
```
<extensions>
    <add assembly="NLog.Targets.Syslog" />
</extensions>
```
Tambahkan target syslog di dalam bagian <targets>:
```
<target name="syslog" xsi:type="Syslog">
    <sl:messageSend>
        <protocol>UDP</protocol>
        <udp>
            <server>BINDPLANE_AGENT_IP</server>
            <port>514</port>
        </udp>
    </sl:messageSend>
</target>
```
- Ganti BINDPLANE_AGENT_IP dengan alamat IP host yang menjalankan agen BindPlane (misalnya, 192.168.1.100).
- Ganti 514 dengan port yang dikonfigurasi di agen Bindplane jika Anda menggunakan port non-standar.
- Tetapkan protocol ke UDP atau TCP agar sesuai dengan konfigurasi penerima agen Bindplane.
Tambahkan aturan logging di dalam bagian <rules> untuk merutekan semua pesan log ke target syslog:
```
<logger name="*" minlevel="Info" writeTo="syslog" />
```
Catatan: Setel minlevel ke Info untuk merekam peristiwa informasi, peringatan, error, dan penting. Setel ke Debug untuk logging yang lebih panjang, atau Warn untuk lebih sedikit pesan.
Simpan dan tutup file tersebut.

Contoh NLog.config dengan target syslog

Berikut ini contoh bagian yang relevan yang ditambahkan ke file NLog.config:

<?xml version="1.0" encoding="utf-8"?>
<nlog xmlns="http://www.nlog-project.org/schemas/NLog.xsd"
      xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
      xmlns:sl="http://www.nlog-project.org/schemas/NLog.Targets.Syslog.xsd">
    <extensions>
        <add assembly="NLog.Targets.Syslog" />
    </extensions>
    <targets>
        <!-- Existing file targets remain here -->
        <target name="syslog" xsi:type="Syslog">
            <sl:messageSend>
                <protocol>UDP</protocol>
                <udp>
                    <server>192.168.1.100</server>
                    <port>514</port>
                </udp>
            </sl:messageSend>
        </target>
    </targets>
    <rules>
        <!-- Existing rules remain here -->
        <logger name="*" minlevel="Info" writeTo="syslog" />
    </rules>
</nlog>

Mulai ulang IIS untuk menerapkan perubahan

Buka Command Prompt atau PowerShell sebagai administrator.
Mulai ulang IIS untuk memuat ulang konfigurasi NLog:
```
iisreset
```
Pastikan aplikasi web Intel EMA berjalan dengan membuka Intel EMA Platform Manager di browser web.

Memverifikasi penerusan syslog

Lakukan tindakan di konsol Intel EMA (misalnya, login, melihat endpoint, atau mengubah konfigurasi) untuk membuat peristiwa audit.
Periksa log agen Bindplane untuk mengonfirmasi bahwa pesan syslog diterima dari server Intel EMA.

Tabel pemetaan UDM

Kolom log	Pemetaan UDM	Logika
server_type	additional.fields	Label gabungan dengan kunci server_type, server_type_id, Endpoint_count
server_type_id	additional.fields
Endpoint_count	additional.fields
Waktu	metadata.event_timestamp	Diuraikan menggunakan filter tanggal dengan format yyyy-MM-dd HH:mm:ss.SSSS, ISO8601, RFC 3339
metadata.event_type	metadata.event_type	Ditetapkan ke "GENERIC_EVENT"
version_id	metadata.product_version	Nilai disalin secara langsung
EndpointId	security_result.detection_fields	Label gabungan dengan kunci EndpointId
tingkat keseriusan,	security_result.severity	Dipetakan ke CRITICAL jika CRITICAL, ERROR jika ERROR, HIGH jika ALERT atau EMERGENCY, INFORMATIONAL jika INFO atau NOTICE, LOW jika DEBUG, MEDIUM jika WARNING, selain itu UNKNOWN_SEVERITY
Budaya	target.resource.attribute.labels	Label gabungan dengan kunci culture, public_key_token, process_name
Publickeytoken	target.resource.attribute.labels
process_name	target.resource.attribute.labels

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.