Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengumpulkan log LogonBox

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log LogonBox ke Google Security Operations menggunakan Bindplane.

LogonBox adalah platform verifikasi identitas dan pengelolaan sandi layanan mandiri. Layanan ini menghasilkan log audit untuk reset sandi, peristiwa verifikasi identitas, dan tindakan admin. Parser memetakan data audit LogonBox ke Model Data Terpadu (UDM), yang mencakup identitas pengguna, peristiwa autentikasi, modifikasi resource, dan operasi pengelolaan grup.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
Konektivitas jaringan antara agen Bindplane dan server LogonBox
Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
Akses istimewa ke konsol administrasi LogonBox

Mendapatkan file autentikasi penyerapan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Agen Pengumpulan.
Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Catatan: File JSON ini berisi kredensial untuk mengautentikasi agen Bindplane ke Google SecOps.

Mendapatkan ID pelanggan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Profil.
Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

Buka Command Prompt atau PowerShell sebagai administrator.

Jalankan perintah berikut:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Tunggu hingga penginstalan selesai.
Verifikasi penginstalan dengan menjalankan:
```
sc query observiq-otel-collector
```

Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

Buka terminal dengan hak istimewa root atau sudo.

Jalankan perintah berikut:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Tunggu hingga penginstalan selesai.

Verifikasi penginstalan dengan menjalankan:

sudo systemctl status observiq-otel-collector

Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

Linux:

sudo systemctl status observiq-otel-collector

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

Ganti seluruh konten config.yaml dengan konfigurasi berikut:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/logonbox:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: LOGONBOX
        raw_log_field: body

service:
    pipelines:
        logs/logonbox:
            receivers:
                - udplog
            exporters:
                - chronicle/logonbox

Parameter konfigurasi

Ganti placeholder berikut:

Konfigurasi penerima:
- udplog: Jenis penerima berdasarkan protokol:
  - udplog untuk syslog UDP
  - tcplog untuk syslog TCP
  - syslog untuk syslog RFC 3164/5424
- 0.0.0.0: Alamat IP yang akan didengarkan:
  - 0.0.0.0 untuk mendengarkan di semua antarmuka (direkomendasikan)
  - Alamat IP tertentu untuk memproses permintaan di satu antarmuka
- 514: Nomor port yang akan diproses (misalnya, 514, 1514, 6514)
Konfigurasi pengekspor:
- <customer_id>: ID Pelanggan dari langkah sebelumnya
- malachiteingestion-pa.googleapis.com: URL endpoint regional:
  - Amerika Serikat: malachiteingestion-pa.googleapis.com
  - Eropa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Lihat Endpoint Regional untuk mengetahui daftar lengkapnya
- Sesuaikan creds_file_path bergantung pada platform:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

Simpan file konfigurasi

Setelah mengedit, simpan file:
- Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
- Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux:

Jalankan perintah berikut:

sudo systemctl restart observiq-otel-collector

Pastikan layanan sedang berjalan:

sudo systemctl status observiq-otel-collector

Periksa log untuk mengetahui error:

sudo journalctl -u observiq-otel-collector -f

Untuk memulai ulang agen Bindplane di Windows:

Pilih salah satu opsi berikut:
- Command Prompt atau PowerShell sebagai administrator:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Konsol layanan:
  1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
  2. Cari observIQ OpenTelemetry Collector.
  3. Klik kanan, lalu pilih Mulai ulang.
Pastikan layanan sedang berjalan:
```
sc query observiq-otel-collector
```

Periksa log untuk mengetahui error:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi penerusan syslog LogonBox

Login ke konsol administrasi LogonBox sebagai administrator.
Buka Laporan > Log Audit.
Konfigurasi setelan ekspor syslog:
- Server Syslog: Masukkan alamat IP host agen BindPlane (misalnya, 192.168.1.100).
- Port: Masukkan 514 (harus cocok dengan port penerima Bindplane).
- Protocol: Pilih UDP (harus cocok dengan jenis penerima Bindplane).
Pilih kategori peristiwa yang akan diteruskan (misalnya, reset sandi, verifikasi identitas, pengelolaan pengguna dan grup).
Klik Simpan.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
	additional.fields	Digabungkan dari attr_associatedPrincipals_label, sAMAccountName_label, attr_local_label, msDS-PrincipalName_label, attr_realmType_label, attr_selfCreated_label, attr_administrative_label berdasarkan kondisi
attr_principalDesc, desc	metadata.description	Nilai dari attr_principalDesc jika product_event_type cocok dengan changePassword\|SessionService, atau dari attr_principalDesc jika tidak kosong, atau dari desc
event_type	metadata.event_type	Nilai disalin langsung dari event_type setelah logika bersyarat menetapkannya berdasarkan product_event_type dan tanda kehadiran
product_event_type	metadata.product_event_type	Nilai disalin secara langsung
	metadata.product_name	Setel ke "LogonBox"
	metadata.vendor_name	Tetapkan ke "LOGONBOX"
	network.application_protocol	Setel ke "DNS" jika product_event_type cocok dengan AnswerService dan kondisi terpenuhi
dns_answer	network.dns.answers	Digabungkan dari dns_answer
dns_question	network.dns.questions	Digabungkan dari dns_question
attr_userAgent, attr_userAgentVersion	network.http.parsed_user_agent	Digabungkan dari attr_userAgent dan attr_userAgentVersion jika keduanya ada, atau dari attr_userAgent, lalu dikonversi ke parseduseragent dan diganti namanya
attr_userAgent, attr_userAgentVersion	network.http.user_agent	Digabungkan dari attr_userAgent dan attr_userAgentVersion jika keduanya ada, atau dari attr_userAgent
hostname	principal.asset.hostname	Nilai disalin secara langsung
attr_ipAddress	principal.asset.ip	Nilai disalin secara langsung
hostname	principal.hostname	Nilai disalin secara langsung
attr_ipAddress	principal.ip	Nilai disalin secara langsung
attr_os	principal.platform	Huruf besar dan ditetapkan jika cocok (?i)LINUX\|MAC\|WINDOWS
attr_osVersion	principal.platform_version	Nilai disalin langsung jika tidak cocok (?i)unknown
attr_principalRealm_label, attr_unassignedRoles_label, attr_assignedRoles_label, attr_oldResourceName_label, attr_roles_label, attr_resumedPrincipalName_label, attr_resumedPrincipalRealm_label, attr_resumedPrincipal_label, attr_module_label, reconcile_map_label, users_map_label, groups_map_label, createUser_map_label, user_map_label, mobile_map_label	principal.resource.attribute.labels	Digabungkan dari berbagai label yang dibuat dari attr_principalRealm, attr_unassignedRoles, attr_assignedRoles, attr_oldResourceName, attr_roles, attr_resumedPrincipalName, attr_resumedPrincipalRealm, attr_resumedPrincipal, attr_module, dan peta dari reconcile, users, groups, createUser, user, mobile berdasarkan kondisi
attr_resourceName	principal.resource.name	Nilai disalin secara langsung
attr_resourceId	principal.resource.product_object_id	Nilai disalin secara langsung
mail	principal.user.email_addresses	Digabungkan jika email adalah email yang valid
ImmutableID, attr_uuid	principal.user.product_object_id	Nilai dari ImmutableID jika product_event_type cocok dengan changePassword\|userUpdated\|userCreated\|setPassword\|answer\|accountUnlockNoSuspension, atau dari attr_uuid
attr_scheme	principal.user.role_name	Nilai disalin secara langsung
attr_principalDesc	principal.user.user_display_name	Nilai disalin secara langsung jika product_event_type cocok dengan changePassword\|SessionService
attr_principalName	principal.user.userid	Nilai disalin secara langsung
authy_code_length_label, authy_window_length_label, authy_step_size_label, msauthenticator_code_length_label, msauthenticator_window_length_label, msauthenticator_step_size_label, googleUser_code_length_label, googleUser_window_length_label, googleUser_step_size_label	security_result.detection_fields	Digabungkan dari label yang dibuat dari authy.code.length, authy.window.length, authy.step.size, msauthenticator.code.length, msauthenticator.window.length, msauthenticator.step.size, googleUser.code.length, googleUser.window.length, googleUser.step.size jika ada
cn	target.resource.attribute.labels	Digabungkan dari full_name_label yang dibuat dari cn, dan attr_disabledRealm_label dari attr_disabledRealm
attr_lastModified	target.resource.attribute.last_update_time	Tanggal yang diuraikan dari attr_lastModified menggunakan ISO8601 atau d MMM yyyy HH:mm:ss
attr_created	target.resource.attribute.creation_time	Tanggal yang diuraikan dari attr_created menggunakan ISO8601 atau d MMM yyyy HH:mm:ss
givenName	target.user.first_name	Nilai disalin secara langsung
ou	target.user.group_identifiers	Digabungkan dari ou jika product_event_type cocok dengan userUpdated\|userCreated\|changePassword\|setPassword\|answer\|accountUnlockNoSuspension
sn	target.user.last_name	Nilai disalin secara langsung
attr_uuid, attr_disabledPrincipal	target.user.product_object_id	Nilai dari attr_uuid jika product_event_type cocok dengan userUpdated\|userCreated\|changePassword\|setPassword\|answer\|accountUnlockNoSuspension atau groupCreated\|groupUpdated atau attr_group atau group, atau dari attr_disabledPrincipal jika accountDisabled
displayName, description	target.user.user_display_name	Nilai dari displayName jika tidak kosong, atau dari description jika product_event_type cocok dengan userUpdated\|userCreated\|changePassword\|setPassword\|answer\|accountUnlockNoSuspension
userPrincipalName, attr_user, attr_associatedPrincipals, attr_disabledPrincipalName	target.user.userid	Nilai dari userPrincipalName jika product_event_type cocok dengan userUpdated\|userCreated\|changePassword\|setPassword\|answer\|accountUnlockNoSuspension, jika tidak, attr_user jika tidak ditetapkan, jika tidak, attr_associatedPrincipals jika groupCreated\|groupUpdated atau attr_group, jika tidak, attr_user jika grup, jika tidak, attr_disabledPrincipalName jika accountDisabled
attr_group	target.group.group_display_name	Nilai disalin langsung jika product_event_type cocok dengan groupCreated\|groupUpdated atau attr_group ada
attr_uuid	target.group.product_object_id	Nilai disalin langsung jika product_event_type cocok dengan groupCreated\|groupUpdated atau attr_group ada

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.