Raccogli i log di MicroStrategy

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di MicroStrategy in Google Security Operations utilizzando Bindplane.

MicroStrategy è una piattaforma di business intelligence e analisi. Genera audit log per l'esecuzione dei report, le sessioni utente, l'accesso ai dati e le operazioni di amministrazione. Il parser estrae i campi dai messaggi di log di MicroStrategy e li mappa al modello UDM (Unified Data Model), acquisendo l'identità dell'utente, i dettagli della sessione, le informazioni sul server e i metadati di sicurezza.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Windows Server 2016 o versioni successive o host Linux con systemd
• Connettività di rete tra l'agente Bindplane e MicroStrategy Intelligence Server
• Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
• Accesso con privilegi a MicroStrategy Intelligence Server (ruolo di amministratore o accesso al file system del server)

Recupera le credenziali Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuove implementazioni: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino al ritiro dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla Google Cloud console e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Editor Chronicle.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul tuo computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) oppure aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica di passare all'opzione 1 prima di questa data.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.

3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

   Nota: l'ID cliente è obbligatorio per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

Il servizio dovrebbe essere visualizzato come RUNNING.

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sudo systemctl status observiq-otel-collector
   

Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

• Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/microstrategy:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: MICROSTRATEGY
      raw_log_field: body
  
  service:
    pipelines:
      logs/microstrategy:
        receivers:
          - tcplog
        exporters:
          - chronicle/microstrategy
  

Parametri di configurazione

Sostituisci i seguenti segnaposto:

• Configurazione del ricevitore:

  • tcplog: il tipo di ricevitore in base al protocollo:
    • udplog per UDP Syslog
    • tcplog per syslog TCP
    • syslog per syslog RFC 3164/5424
  • 0.0.0.0: indirizzo IP su cui ascoltare:
    • 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
    • Indirizzo IP specifico da ascoltare su un'interfaccia
  • 514: il numero di porta su cui ascoltare (ad esempio 514, 1514, 6514)

• Configurazione dell'esportatore:

  • <customer_id>: l'ID cliente del passaggio precedente
  • location: sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore aggiunge chronicle.googleapis.com come prefisso a questo valore. Per l'elenco completo, consulta Endpoint regionali.
  • project: sostituisci <PROJECT_NUMBER> con il numero di progetto da IAM e amministrazione > Impostazioni.
  • endpoint: mantieni l'impostazione chronicle.googleapis.com.
  • Modifica creds_file_path in base al percorso del file della chiave JSON del account di servizio (opzione 1), a seconda della piattaforma:
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

Esportatore dell'API di importazione precedente

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/microstrategy:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: MICROSTRATEGY
      raw_log_field: body
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Salva il file di configurazione

• Dopo la modifica, salva il file:
  • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
  • Windows: fai clic su File > Salva

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux:

1. Esegui questo comando:

   sudo systemctl restart observiq-otel-collector
   

2. Verifica che il servizio sia in esecuzione:

   sudo systemctl status observiq-otel-collector
   

3. Controlla i log per individuare eventuali errori:

   sudo journalctl -u observiq-otel-collector -f
   

Per riavviare l'agente Bindplane in Windows:

1. Scegli una delle seguenti opzioni:

   • Prompt dei comandi o PowerShell come amministratore:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Console dei servizi:
     1. Premi Win+R, digita services.msc e premi Invio.
     2. Individua observIQ OpenTelemetry Collector.
     3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

2. Verifica che il servizio sia in esecuzione:

   sc query observiq-otel-collector
   

3. Controlla i log per verificare la presenza di errori:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Configura l'inoltro del syslog di MicroStrategy

MicroStrategy Intelligence Server scrive i file di log localmente nel file system. Configura l'inoltro di syslog utilizzando il daemon syslog di sistema per inviare questi log all'agente Bindplane.

1. Individua la directory dei log di MicroStrategy:

   • Windows: C:\Program Files\Common Files\MicroStrategy\Log\
   • Linux: /var/log/Strategy/
   Nota: il file di log principale è DSSErrors.log. Controlla la configurazione di MicroStrategy per la posizione effettiva della directory dei log.

2. Configura il daemon syslog di sistema per monitorare e inoltrare i file di log di MicroStrategy all'agente Bindplane.

Su Linux (rsyslog):

1. Crea un nuovo file di configurazione rsyslog:

   sudo nano /etc/rsyslog.d/microstrategy-forward.conf
   

2. Aggiungi i seguenti contenuti per inoltrare i log di MicroStrategy:

   module(load="imfile")
   input(type="imfile"
       File="/var/log/Strategy/DSSErrors.log"
       Tag="microstrategy"
       Severity="info"
       Facility="local0")
   local0.* @BINDPLANE_AGENT_IP:514
   

   Nota: sostituisci BINDPLANE_AGENT_IP con l'indirizzo IP dell'host dell'agente Bindplane. Utilizza @@ anziché @ per TCP.

3. Riavvia il servizio rsyslog:

   sudo systemctl restart rsyslog
   

Su Windows:

Utilizza un'utilità di forwarding dei log (come NXLog o Snare) per monitorare la directory dei log di MicroStrategy e inoltrare gli eventi tramite syslog all'IP e alla porta dell'agente Bindplane.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
Account_Creation_Timestamp, Account_Modification_Timestamp, Timestamp	additional.fields	Unite alle etichette create dai campi se non sono vuote
Authentication_message	metadata.description	Valore copiato direttamente
Event_start	metadata.event_timestamp	Converted using date filter with format "MMM dd HH:mm:ss"
	metadata.event_type	Impostato su "USER_UNCATEGORIZED" se has_principal e has_target, altrimenti "STATUS_UPDATE" se has_principal, altrimenti "GENERIC_EVENT"
Sessione	network.session_id	Valore copiato direttamente
Source_server	principal.application	Valore copiato direttamente
Nome host	principal.asset.hostname	Valore copiato direttamente
server_ip	principal.asset.ip	Valore copiato direttamente
Nome host	principal.hostname	Valore copiato direttamente
server_ip	principal.ip	Valore copiato direttamente
livello	principal.platform_patch_level	Valore copiato direttamente
User_Group_Name	principal.user.group_identifiers	Valore copiato direttamente
Account_Name, User	principal.user.user_display_name	Valore di Account_Name se non è vuoto, altrimenti User
id, Account_Login, Account	principal.user.userid	Valore di id se non è vuoto, altrimenti Account_Login se non è vuoto, altrimenti Account
Log_level	security_result.detection_fields	Unito all'etichetta creata dal campo se non è vuoto
Source_host	src.asset.hostname	Valore copiato direttamente
Source_host	src.hostname	Valore copiato direttamente
modulo	target.application	Valore copiato direttamente
client_ip	target.asset.ip	Valore copiato direttamente
client_ip	target.ip	Valore copiato direttamente
PID	target.process.pid	Valore copiato direttamente
Thread_ID, SID, method, Account_Status_DESC	target.resource.attribute.labels	Unite alle etichette create dai campi se non sono vuote
OID	target.resource.id	Valore copiato direttamente
Object_Owner_Name	target.resource.name	Valore copiato direttamente
utente	target.user.user_display_name	Valore copiato direttamente
UID	target.user.userid	Valore copiato direttamente
	metadata.product_name	Imposta su "MICROSTRATEGY"
	metadata.vendor_name	Impostato su "MICROSTRATEGY"
Hostname	principal.hostname, principal.asset.hostname	Mappato dal log delle modifiche
Source_host	src.hostname, src.asset.hostname	Mappato dal log delle modifiche
server_ip	principal.ip, principal.asset.ip	Mappato dal log delle modifiche
client_ip	target.ip, target.asset.ip	Mappato dal log delle modifiche
Account_Creation_Timestamp	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
Account_Modification_Timestamp	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
Timestamp	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.