Coletar registros da MicroStrategy

Compatível com:

Este documento explica como ingerir registros do MicroStrategy no Google Security Operations usando o Bindplane.

O MicroStrategy é uma plataforma de Business Intelligence e análise. Ele gera registros de auditoria para execução de relatórios, sessões de usuários, acesso aos dados e operações de administrador. O analisador extrai campos das mensagens de registro do MicroStrategy e os mapeia para o modelo de dados unificado (UDM), capturando a identidade do usuário, detalhes da sessão, informações do servidor e metadados de segurança.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Uma instância do Google SecOps
  • Windows Server 2016 ou mais recente ou host Linux com systemd
  • Conectividade de rede entre o agente do Bindplane e o MicroStrategy Intelligence Server
  • Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
  • Acesso privilegiado ao MicroStrategy Intelligence Server (papel de administrador ou acesso ao sistema de arquivos do servidor)

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.

  3. Baixe o arquivo de autenticação de ingestão. Salve o arquivo com segurança no sistema em que o Bindplane será instalado.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.

  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o prompt de comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sc query observiq-otel-collector

O serviço vai aparecer como EM EXECUÇÃO.

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sudo systemctl status observiq-otel-collector

O serviço vai aparecer como ativo (em execução).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

Localizar o arquivo de configuração

  • Linux:

    sudo systemctl status observiq-otel-collector

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Editar o arquivo de configuração

  • Substitua todo o conteúdo de config.yaml pela seguinte configuração:

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/microstrategy:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: MICROSTRATEGY
    raw_log_field: body

service:
  pipelines:
    logs/microstrategy:
      receivers:
        - tcplog
      exporters:
        - chronicle/microstrategy

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

  • Configuração do receptor:

    • tcplog: o tipo de receptor com base no protocolo:
      • udplog para syslog UDP
      • tcplog para syslog TCP
      • syslog para syslog RFC 3164/5424
    • 0.0.0.0: endereço IP para escutar:
      • 0.0.0.0 para ouvir em todas as interfaces (recomendado)
      • Endereço IP específico para detectar em uma interface
    • 514: número da porta para escutar (por exemplo, 514, 1514, 6514)

  • Configuração do exportador:

    • <customer_id>: ID do cliente da etapa anterior
    • malachiteingestion-pa.googleapis.com: URL do endpoint regional:
      • EUA: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Ásia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Consulte a lista completa em Endpoints regionais.
    • Ajuste o creds_file_path dependendo da plataforma:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

Salvar o arquivo de configuração

  • Depois de editar, salve o arquivo:
    • Linux: pressione Ctrl+O, Enter e Ctrl+X.
    • Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças.

Para reiniciar o agente do Bindplane no Linux:

  1. Execute este comando:

    sudo systemctl restart observiq-otel-collector

  2. Verifique se o serviço está em execução:

    sudo systemctl status observiq-otel-collector

  3. Verifique se há erros nos registros:

    sudo journalctl -u observiq-otel-collector -f

Para reiniciar o agente do Bindplane em Windows:

  1. Escolha uma das seguintes opções:

    • Prompt de comando ou PowerShell como administrador:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console de serviços:
      1. Pressione Win+R, digite services.msc e pressione Enter.
      2. Localize o Coletor do OpenTelemetry da observIQ.
      3. Clique com o botão direito do mouse e selecione Reiniciar.

  2. Verifique se o serviço está em execução:

    sc query observiq-otel-collector

  3. Verifique se há erros nos registros:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurar o encaminhamento do syslog da MicroStrategy

O MicroStrategy Intelligence Server grava arquivos de registro localmente no sistema de arquivos. Configure o encaminhamento de syslog usando o daemon syslog do sistema para enviar esses registros ao agente do Bindplane.

  1. Localize o diretório de registros da MicroStrategy:

    • Windows: C:\Program Files\Common Files\MicroStrategy\Log\
    • Linux: /var/log/Strategy/

  2. Configure o daemon syslog do sistema para monitorar e encaminhar arquivos de registro do MicroStrategy ao agente do Bindplane.

No Linux (rsyslog):

  1. Crie um arquivo de configuração do rsyslog:

    sudo nano /etc/rsyslog.d/microstrategy-forward.conf

  2. Adicione o seguinte conteúdo para encaminhar os registros do MicroStrategy:

    module(load="imfile")
input(type="imfile"
    File="/var/log/Strategy/DSSErrors.log"
    Tag="microstrategy"
    Severity="info"
    Facility="local0")
local0.* @BINDPLANE_AGENT_IP:514

  3. Reinicie o serviço rsyslog:

    sudo systemctl restart rsyslog

No Windows:

Use um utilitário de encaminhamento de registros (como NXLog ou Snare) para monitorar o diretório de registros do MicroStrategy e encaminhar eventos via syslog para o IP e a porta do agente Bindplane.

Tabela de mapeamento de UDM

Campo de registro Mapeamento do UDM Lógica
Account_Creation_Timestamp, Account_Modification_Timestamp, Timestamp additional.fields Mesclado com rótulos criados com base em campos, se não estiver vazio.
Authentication_message metadata.description Valor copiado diretamente
Event_start metadata.event_timestamp Convertido usando o filtro de data com o formato "MMM dd HH:mm:ss"
metadata.event_type Definido como "USER_UNCATEGORIZED" se has_principal e has_target, caso contrário, "STATUS_UPDATE" se has_principal, caso contrário, "GENERIC_EVENT"
Sessão network.session_id Valor copiado diretamente
Source_server principal.application Valor copiado diretamente
Nome do host principal.asset.hostname Valor copiado diretamente
server_ip principal.asset.ip Valor copiado diretamente
Nome do host principal.hostname Valor copiado diretamente
server_ip principal.ip Valor copiado diretamente
level principal.platform_patch_level Valor copiado diretamente
User_Group_Name principal.user.group_identifiers Valor copiado diretamente
Account_Name, User principal.user.user_display_name Valor de Account_Name se não estiver vazio, caso contrário, User
id, Account_Login, Account principal.user.userid Valor do ID se não estiver vazio, caso contrário, Account_Login se não estiver vazio, caso contrário, Account
Log_level security_result.detection_fields Mesclado com o rótulo criado no campo, se não estiver vazio
Source_host src.asset.hostname Valor copiado diretamente
Source_host src.hostname Valor copiado diretamente
module target.application Valor copiado diretamente
client_ip target.asset.ip Valor copiado diretamente
client_ip target.ip Valor copiado diretamente
PID target.process.pid Valor copiado diretamente
Thread_ID, SID, method, Account_Status_DESC target.resource.attribute.labels Mesclado com rótulos criados com base em campos, se não estiver vazio.
OID target.resource.id Valor copiado diretamente
Object_Owner_Name target.resource.name Valor copiado diretamente
usuário target.user.user_display_name Valor copiado diretamente
UID target.user.userid Valor copiado diretamente
metadata.product_name Defina como "MICROSTRATEGY".
metadata.vendor_name Defina como "MICROSTRATEGY".
Hostname principal.hostname, principal.asset.hostname Mapeado do registro de mudanças
Source_host src.hostname, src.asset.hostname Mapeado do registro de mudanças
server_ip principal.ip, principal.asset.ip Mapeado do registro de mudanças
client_ip target.ip, target.asset.ip Mapeado do registro de mudanças
Account_Creation_Timestamp event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Account_Modification_Timestamp event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Timestamp event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.