本頁面由 Cloud Translation API 翻譯而成。

收集 ManageEngine AD360 記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 ManageEngine AD360 記錄擷取至 Google Security Operations。剖析器會先清理及準備傳入的記錄資料，然後使用一系列 grok 模式，根據特定事件類型和訊息格式擷取相關欄位。擷取完畢後，程式碼會將擷取的欄位對應至 Unified Data Model (UDM)，處理特定資料轉換，並使用地理位置和安全性嚴重程度等其他內容來擴充資料。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
Windows 2016 以上版本，或搭載 systemd 的 Linux 主機
如果透過 Proxy 執行，防火牆通訊埠已開啟
ManageEngine AD360 的特殊存取權

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以系統管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

存取設定檔：
- 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄，或 Windows 的安裝目錄。
- 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

按照下列方式編輯 config.yaml 檔案：

receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'MANAGE_ENGINE_AD360'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

視基礎架構需求，替換通訊埠和 IP 位址。
將 <customer_id> 替換為實際的客戶 ID。
將 /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」一節中驗證檔案的儲存路徑。

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
```
sudo systemctl restart bindplane-agent
```
如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，或輸入下列指令：
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

設定 ManageEngine AD360 系統記錄檔匯出功能

登入 AD360 網頁版 UI。
依序前往「管理」>「管理」>「SIEM 整合」。
按一下「ADSelfService」元件旁的「立即設定」連結。
提供下列設定詳細資料：
- 伺服器類型：選取「Syslog」。
- 伺服器名稱/IP：輸入 Bindplane 代理程式 IP 位址。
- 「Port」(通訊埠)：輸入 Bindplane 代理程式通訊埠編號。
- 「通訊協定」：選取「UDP」。
- Syslog Standard：選取 RFC5 424。
- 按一下「進階」清單。
- 嚴重性：選取「資訊」。
按一下「設定」即可儲存。

UDM 對應表

記錄欄位	UDM 對應	邏輯
AccessControlRuleName	security_result.rule_name	如果欄位 `AccessControlRuleName` 存在，則取自該欄位，否則取自欄位 `rule_name`
ACPolicy	security_result.rule_labels.value	從「`ACPolicy`」欄位取得的值
動作	security_result.action_details	直接對應至 UDM
action_id	security_result.detection_fields.value	從「`action_id`」欄位取得的值
application_protocol	network.application_protocol	直接對應至 UDM
位元組	network.sent_bytes	直接對應至 UDM
client_ip	principal.ip	直接對應至 UDM
ConnectionID	network.session_id	如果欄位 `connection_id` 存在，則取自該欄位的值；否則取自欄位 `ConnectionID`，否則取自欄位 `ses`
destination_ip	target.ip	直接對應至 UDM
destination_port	target.port	直接對應至 UDM
DeviceUUID	target.asset_id	如果欄位 `DeviceUUID` 存在，則取自該欄位，否則取自欄位 `distinguished_name_device_id`
distinguished_name_device_id	target.asset_id	如果欄位 `DeviceUUID` 存在，則取自該欄位，否則取自欄位 `distinguished_name_device_id`
distinguished_name_user	target.user.userid	直接對應至 UDM
數位服務稅	target.ip	如果欄位 `DST` 存在，則取自該欄位，否則取自欄位 `DstIP`
DPT	target.port	如果欄位 `DPT` 存在，則取自該欄位的值；否則取自欄位 `DstPort`，否則取自欄位 `destination_port`
DstIP	target.ip	如果欄位 `DST` 存在，則取自該欄位，否則取自欄位 `DstIP`
DstPort	target.port	如果欄位 `DPT` 存在，則取自該欄位的值；否則取自欄位 `DstPort`，否則取自欄位 `destination_port`
EgressInterface	additional.fields.value.string_value	直接對應至 UDM
EgressZone	target.location.name	直接對應至 UDM
EventPriority	security_result.severity	根據 `EventPriority` 欄位的值對應至不同嚴重程度。
exe	principal.process.command_line	直接對應至 UDM
geoip.city_name	principal.location.city	直接對應至 UDM
geoip.country_name	principal.location.country_or_region	直接對應至 UDM
geoip.latitude	principal.location.region_latitude	直接對應至 UDM
geoip.longitude	principal.location.region_longitude	直接對應至 UDM
http_status	network.http.response_code	直接對應至 UDM
id	metadata.product_log_id	直接對應至 UDM
IngressInterface	additional.fields.value.string_value	直接對應至 UDM
IngressZone	principal.location.name	直接對應至 UDM
LEN	additional.fields.value.string_value	直接對應至 UDM
message_number		未對應
NAPPolicy	security_result.rule_labels.value	從「`NAPPolicy`」欄位取得的值
network_direction	network.direction	直接對應至 UDM
OUT	additional.fields.value.string_value	直接對應至 UDM
pid	target.process.pid	直接對應至 UDM
ppid	target.process.parent_process.pid	直接對應至 UDM
PREC	additional.fields.value.string_value	直接對應至 UDM
principal_hostname	principal.hostname	直接對應至 UDM
product_event_type	metadata.product_event_type	直接對應至 UDM
通訊協定	network.ip_protocol	用於填入 `PROTO` 欄位，然後使用查閱表對應至 UDM。
PROTO	network.ip_protocol	根據通訊協定號碼，使用對照表對應至 UDM。
request_method	network.http.method	直接對應至 UDM
rule_name	security_result.rule_name	如果欄位 `AccessControlRuleName` 存在，則取自該欄位，否則取自欄位 `rule_name`
ses	network.session_id	如果欄位 `connection_id` 存在，則取自該欄位的值；否則取自欄位 `ConnectionID`，否則取自欄位 `ses`
source_ip	principal.ip	直接對應至 UDM
source_port	principal.port	直接對應至 UDM
SPT	principal.port	如果欄位 `SPT` 存在，則取自該欄位的值；否則取自欄位 `SrcPort`，否則取自欄位 `source_port`
SRC	principal.ip	如果欄位 `SRC` 存在，則取自該欄位的值；否則取自欄位 `SrcIP`，否則取自欄位 `client_ip`
SrcIP	principal.ip	如果欄位 `SRC` 存在，則取自該欄位的值；否則取自欄位 `SrcIP`，否則取自欄位 `client_ip`
SrcPort	principal.port	如果欄位 `SPT` 存在，則取自該欄位的值；否則取自欄位 `SrcPort`，否則取自欄位 `source_port`
時間戳記	metadata.event_timestamp	直接對應至 UDM
TOS	additional.fields.value.string_value	直接對應至 UDM
存留時間	additional.fields.value.string_value	直接對應至 UDM
網址	target.url	直接對應至 UDM
user_agent	network.http.user_agent	直接對應至 UDM
WINDOW	additional.fields.value.string_value	直接對應至 UDM
	metadata.vendor_name	值會硬式編碼為 `MANAGE_ENGINE_AD360`
	metadata.product_name	值會硬式編碼為 `MANAGE_ENGINE_AD360`
	metadata.log_type	值會硬式編碼為 `MANAGE_ENGINE_AD360`
	metadata.event_type	如果 `SRC` 和 `DST` 欄位都存在，則值會設為 `NETWORK_CONNECTION`；如果 `SRC` 或 `principal_hostname` 存在，則值會設為 `STATUS_UPDATE`。如未符合上述任一條件，系統會預設為 `GENERIC_EVENT`。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。