Coletar registros do Micro Focus NetIQ Access Manager

Compatível com:

Google SecOps SIEM

Este documento explica como coletar registros do Micro Focus NetIQ Access Manager no Google Security Operations usando o Bindplane. O Micro Focus NetIQ Access Manager é uma solução de gerenciamento de identidade e acesso (IAM) projetada para proteger aplicativos e dados, oferecendo recursos de autenticação, autorização e logon único (SSO) centralizados.

Antes de começar

Verifique se você tem uma instância do Google Security Operations.
Use o Windows 2016 ou uma versão mais recente ou um host Linux com systemd.
Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas.
Verifique se você tem acesso privilegiado ao NetIQ Access Manager.

Receber o arquivo de autenticação de ingestão do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Agentes de coleta.
Baixe o arquivo de autenticação de ingestão. Salve o arquivo de forma segura no sistema em que o Bindplane será instalado.

Receber o ID de cliente do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Perfil.
Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instalação do Windows

Abra o Prompt de Comando ou o PowerShell como administrador.

Execute este comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

Abra um terminal com privilégios de root ou sudo.

Execute este comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Outros recursos de instalação

Para mais opções de instalação, consulte este guia de instalação.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

Acesse o arquivo de configuração:
1. Localize o arquivo config.yaml. Normalmente, ele fica no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
2. Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

Edite o arquivo config.yaml da seguinte forma:

receivers:
    tcplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:5252"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: SYSLOG
            namespace: netiq_access
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - tcplog
            exporters:
                - chronicle/chronicle_w_labels

Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
Substitua <customer_id> pelo ID do cliente real.
Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo na seção Receber arquivo de autenticação de ingestão do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças

Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:
```
sudo systemctl restart bindplane-agent
```
Para reiniciar o agente do Bindplane no Windows, use o console Serviços ou insira o seguinte comando:
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

Configurar eventos de auditoria do Identity Server no NetIQ Access Manager

Faça login no console de administração do NetIQ.
Selecione Dispositivos > Servidor de identidade > Servidores > Editar > Auditoria e geração de registros.
Em Geração de registros de auditoria, selecione Ativada.
Para auditar todos os eventos, selecione Selecionar tudo.
Clique em Aplicar > OK.
Clique em Servidores > Atualizar servidores.

Configurar eventos de auditoria do Access Gateway no NetIQ Access Manager

Faça login no console de administração do NetIQ.
Acesse Dispositivos > Gateways de acesso > Editar > Auditoria.
Clique em Selecionar tudo.
Clique em OK > OK.
Na página Gateways de acesso, clique em Atualizar.

Configurar o servidor de geração de registros no NetIQ Access Manager

Faça login no console de administração do NetIQ.
Clique em Auditoria.
Especifique os seguintes detalhes:

Observação: não é recomendável usar a opção de arquivo de registro em produção.
- Auditar mensagens usando syslog: selecione essa opção para enviar eventos de auditoria ao servidor de auditoria.
- Interromper o serviço em caso de falha do servidor de auditoria: deixe em branco.
- Endereço de escuta do servidor: insira o endereço IP do Bindplane.
- Porta: especifique a porta syslog usada para se conectar ao Bindplane.
- Formato: selecione CSV.
- Eventos de auditoria do console de gerenciamento: selecione Todos.
Se o syslog estiver selecionado para auditoria, faça o seguinte:
1. Em nam.conf, mude o valor SYSLOG_DAEMON para rsyslog. Isso muda o daemon syslog padrão para rsyslog.
2. Para editar o arquivo Auditlogging.cfg e definir as macros SERVERIP e SERVERPORT como vazias, execute o seguinte:
```
LOGDEST=syslog
FORMAT=JSON
SERVERIP=
SERVERPORT=
```

Para configurar o UDP, execute o seguinte:

  #$ModLoad imtcp # load TCP listener
  $InputTCPServerRun 1290
  $template ForwardFormat,"<%PRI%>%TIMESTAMP:::date-rfc3164% %HOSTNAME% %syslogtag:1:32%%msg:::sp-if-no-1st-sp%%msg%\n"
  $ModLoad imudp
  local0.* @FORWARDERIP:PORT_NUMBER;ForwardFormat

Reinicie o serviço rsyslog:

Exemplos de registros compatíveis do NetIQ Access Manager

CEF (Common Event Format)

<13>2025-11-04T17:09:32.013686-05:00 San-Host-01 CEF: 0|NetIQ|iManager|3.1.0|CEF150004|Authentication|1|
sourceServiceName=a.a.b.u.b
src=10.0.0.1
cs2Label=MimeHint cs2=0
cs6Label=host cs6=10.0.0.1
cs3Label=eventID cs3=0.0.11.0
cs4Label=eventName cs4=Authentication Session
flexString1Label=SubEvent flexString1=150004
cs5Label=CorrelationID cs5=iManager#0#DUMMY_SESSION_ID
outcome=Success

Syslog + JSON (esquema de chave curta)

{
  "syslog_header": "Mar 03 08:57:52 san-dmz-nam-01 AccessManager",
  "wrapper": "@...@",
  "payload": {
    "I": "002E0514",
    "A": "002E",
    "O": "AG\\Application Access",
    "L": "7",
    "G": "0",
    "B": "ag-DUMMY_SESSION_ID_123",
    "H": "0",
    "U": "DEMO_SITE_USER",
    "V": "0",
    "Y": "https://demo.corp.biz/EWSCWebAppJ/jsp/EWSCLogin.jsp",
    "S": "cn=DEMO_USER ou=people ou=partners ou=identities o=corp-dmz",
    "T": "DUMMY_TOKEN_STRING_XYZ?Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; gdn/adcp; managedpc; rv:11.0) like Gecko",
    "F": "PS_QA_JBOSS_C2",
    "1": "894075914",
    "2": "0",
    "3": "0",
    "M": "0",
    "D": ""
  }
}

Syslog + JSON (esquema de chave longa)

{
  "syslog_header": "Jun 04 07:01:35 san-dmz-nam-01",
  "payload": {
    "appName": "Novell Access Manager",
    "timeStamp": "Sun, 19 Jun 2025 07:01:35 +0000",
    "eventId": "002E0052",
    "subTarget": "impersonatorsessionid",
    "stringValue1": "sanitized_user",
    "stringValue2": "Impersonatee-session-ID-DUMMY",
    "stringValue3": "Description-of-the-event",
    "numericValue1": 0,
    "numericValue2": 0,
    "numericValue3": 0,
    "data": "MTAuMC4wLjE=",
    "description": null,
    "message": null,
    "component": "nidp\\impersonation",
    "originator": "esp-DUMMY_ORIGIN_ID",
    "target": "target_user"
  }
}

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.