Onapsis Platform-Logs erfassen

Unterstützt in:

Google SecOps SIEM

Hinweis: Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.
Wenn diese Funktion in Ihrer Umgebung nicht sichtbar ist, lesen Sie den Hilfeartikel Funktionen in der Vorabversion verwalten oder wenden Sie sich an Ihren Systemadministrator.

In diesem Dokument wird beschrieben, wie Sie Onapsis Platform-Logs mit Bindplane in Google Security Operations aufnehmen.

Die Onapsis Platform ist eine Cybersicherheitslösung, die auf den Schutz geschäftskritischer Anwendungen wie SAP und Oracle spezialisiert ist. Die Lösung bietet kontinuierliche Überwachung, Verwaltung von Sicherheitslücken, Compliance-Prüfung und Bedrohungserkennung für ERP-Systeme und liefert detaillierte anwendungsspezifische Informationen, mit denen Unternehmen komplexe Umgebungen vor Cyberbedrohungen, Fehlkonfigurationen und unbefugtem Zugriff schützen können.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Netzwerkverbindung zwischen dem Bindplane-Agent und der Onapsis-Plattform
• Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf die Onapsis Platform-Konsole
• Onapsis Defend-Produkt für Echtzeit-Bedrohungsüberwachung und Syslog-Exportfunktionen

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agent bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der Legacy Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profile auf.

3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

   Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

   Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

   Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Problembehebung finden Sie im Installationsanleitung für den Bindplane-Agent.

Hinweis :Für die Konfiguration des Chronicle API-Exporters ist der Bindplane-Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/onapsis:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: chronicle.googleapis.com
      log_type: ONAPSIS
      raw_log_field: body
      ingestion_labels:
        env: production
        source: onapsis_defend
  
  service:
    pipelines:
      logs/onapsis_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/onapsis
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration:

  • listen_address: Legen Sie 0.0.0.0:514 fest, um auf allen Schnittstellen an UDP-Port 51 zu lauschen. Wenn für Port 514 Root-Berechtigungen unter Linux erforderlich sind, verwenden Sie stattdessen 0.0.0.0:1514 und konfigurieren Sie Onapsis so, dass Daten an Port 1514 gesendet werden.

• Exporter-Konfiguration:

  • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • YOUR_CUSTOMER_ID: Ersetzen Sie dies durch Ihre Chronicle-Kundennummer aus dem vorherigen Schritt.
  • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
  • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM & Verwaltung > Einstellungen.
  • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
  • log_type: Auf ONAPSIS festgelegt (Chronicle-Aufnahmelabel)
  • ingestion_labels: Optionale Labels zum Kategorisieren von Logs (nach Bedarf anpassen)

Hinweis :Onapsis unterstützt sowohl UDP- als auch TCP-Syslog-Protokolle. Bei dieser Konfiguration wird UDP verwendet, um die Latenz zu verringern. Wenn Sie stattdessen TCP verwenden möchten, ersetzen Sie udplog sowohl im Abschnitt „receivers“ als auch im Abschnitt „service“ durch tcplog.

Legacy-Ingestion-API-Exporter

• Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/onapsis:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: ONAPSIS
      raw_log_field: body
      ingestion_labels:
        env: production
        source: onapsis_defend
  

Hinweis: Dieser Exporteur funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

So starten Sie den Bindplane-Agent unter Linux neu:

1. Führen Sie dazu diesen Befehl aus:

   sudo systemctl restart observiq-otel-collector
   

2. Prüfen Sie, ob der Dienst ausgeführt wird:

   sudo systemctl status observiq-otel-collector
   

3. Logs auf Fehler prüfen:

   sudo journalctl -u observiq-otel-collector -f
   

So starten Sie den Bindplane-Agent unter Windows neu:

1. Wählen Sie eine der folgenden Optionen aus:

   • Eingabeaufforderung oder PowerShell als Administrator:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Dienstkonsole:
     1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
     2. Suchen Sie nach observIQ OpenTelemetry Collector.
     3. Rechtsklicken Sie und wählen Sie Neu starten aus.

2. Prüfen Sie, ob der Dienst ausgeführt wird:

   sc query observiq-otel-collector
   

3. Prüfen Sie die Logs auf Fehler:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Syslog-Weiterleitung für Onapsis Platform konfigurieren

Konfigurieren Sie die Onapsis-Plattform so, dass sicherheitsrelevante Ereignisse und Protokolle zur Bedrohungsüberwachung über Syslog an den Bindplane-Agent weitergeleitet werden.

1. Melden Sie sich in der Onapsis Platform-Konsole an.
2. Gehen Sie zu Einstellungen > Integrationen.
3. Suchen Sie im Abschnitt Integrationen nach der Integrationsoption Syslog.
4. Klicken Sie auf Hinzufügen oder Konfigurieren, um ein neues Syslog-Ziel zu erstellen.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Syslog-Serveradresse: Geben Sie die IP-Adresse oder den Hostnamen des Bindplane-Agent-Hosts ein (z. B. 192.168.1.100).
   • Port: Geben Sie 514 ein (oder 1514, wenn Sie den Bindplane-Agenten für die Verwendung eines nicht privilegierten Ports konfiguriert haben).
   • Protokoll: Wählen Sie UDP aus (oder TCP, wenn Sie den Bindplane-Agent für die Verwendung von TCP konfiguriert haben).
   • Format: Wählen Sie Syslog (Standard-Syslog-Format) oder LEEF (Log Event Extended Format) aus, wenn Sie die Integration mit IBM QRadar-kompatiblen Systemen durchführen.
6. Klicken Sie auf Speichern oder Übernehmen, um die Syslog-Exportkonfiguration zu aktivieren.

7. Prüfen Sie, ob Logs gesendet werden, indem Sie die Bindplane-Agent-Logs prüfen:

   Linux:

   sudo journalctl -u observiq-otel-collector -f
   

   Windows:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Hinweis: Das Produkt Onapsis Defend bietet Echtzeit-Bedrohungsmonitoring und Streaming von Sicherheitsereignissen über Syslog. Achten Sie darauf, dass Onapsis Defend so konfiguriert ist, dass Benachrichtigungen für die Sicherheitsereignisse generiert werden, die Sie in Google SecOps überwachen möchten.

Hinweis: Die Syslog-Integration in der Onapsis-Plattform finden Sie normalerweise unter „Einstellungen“ > „Integrationen“. Der genaue Navigationspfad kann je nach Version der Onapsis-Plattform leicht variieren. Wenn Sie die Syslog-Konfiguration nicht finden, wenden Sie sich an Ihren Onapsis Platform-Administrator oder lesen Sie die Onapsis Platform-Dokumentation für Ihre spezifische Version.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
Bucket	additional.fields	Als Labels mit Schlüsseln hinzugefügt, die aus Quellfeldern abgeleitet wurden
task_sent	additional.fields
sub_path	additional.fields
facilityName	additional.fields
source_version	additional.fields
db_table	additional.fields
incident_type	additional.fields
incident_name	additional.fields
program_name	additional.fields
task_type	additional.fields
policy_id	additional.fields
Name	additional.fields
authentication_method	additional.fields
alarm_profile_matches	additional.fields
Client	additional.fields
db_table_pk	additional.fields
system_type	additional.fields
log_line	additional.fields
Aktion	additional.fields
task_id	additional.fields
job_name	additional.fields
job_id	additional.fields
osp_link	additional.fields
sid	additional.fields
Beschreibung	metadata.description	Wert aus der Beschreibung, wenn nicht leer, andernfalls auf „Uploading“ gesetzt, wenn „log_data“ mit „Uploading“ übereinstimmt, „Celery task sent“, wenn mit „Celery task sent“ übereinstimmt, „Calling ModuleApi.put“, wenn mit „Calling ModuleApi.put“ übereinstimmt, andernfalls aus „job_type“
log_data	metadata.description
job_type	metadata.description
created_at	metadata.event_timestamp	Konvertiert mit Datum im Format JJJJ-MM-TTTHH:mm:ss
has_principal	metadata.event_type	Auf „NETWORK_UNCATEGORIZED“ festlegen, wenn „has_principal“, „has_target“ und „has_network“ wahr sind; „STATUS_UPDATE“, wenn „has_principal“ wahr ist; andernfalls „GENERIC_EVENT“
has_target	metadata.event_type
has_network	metadata.event_type
http_method	network.http.method	Wert direkt kopiert
URL	network.http.referral_url	Wert direkt kopiert
response_code	network.http.response_code	In Ganzzahl konvertiert
Anwendung	principal.application	Wert direkt kopiert
Host	principal.hostname	Wert vom Host, falls nicht IP, andernfalls von „src“, andernfalls von „terminal_source“, falls nicht IP
src	principal.hostname
terminal_source	principal.hostname
Host	principal.ip	Zusammengeführt vom Host, wenn IP, erp_host, terminal_source, wenn IP
erp_host	principal.ip
terminal_source	principal.ip
asset_name	principal.resource.name	Wert direkt kopiert
user_type	principal.user.role_name	Wert direkt kopiert
user_name	principal.user.user_display_name	Wert aus „user_name“, zusammengeführt mit „username“
Nutzername	principal.user.user_display_name
user_id	principal.user.userid	Wert direkt kopiert
Module,	security_result.detection_fields	Zusammengeführte Labels aus der Modulzuordnung, der Sicherheitslückenzuordnung und „new_state“
vulnerabilities	security_result.detection_fields
new_state	security_result.detection_fields
severityName	security_result.severity	Auf „INFORMATIONAL“ gesetzt, wenn severityName in ["INFO", "info"]
file_name	target.file.full_path	Wert direkt kopiert
dst	target.hostname	Wert direkt kopiert
metadata.product_name	metadata.product_name	Legen Sie diesen Wert auf „ONAPSIS“ fest.
metadata.vendor_name	metadata.vendor_name	Legen Sie diesen Wert auf „ONAPSIS“ fest.
conditions.condition_id	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
conditions.eval_value.success	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
conditions.matched	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
erp_event_source	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
erp_time	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
protocol	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
confidence	event.idm.read_only_udm.security_result.confidence_details	Aus Änderungsprotokoll zugeordnet
severity	event.idm.read_only_udm.security_result.severity_details	Aus Änderungsprotokoll zugeordnet
success	event.idm.read_only_udm.security_result.action	Aus Änderungsprotokoll zugeordnet
inter_ip	event.idm.read_only_udm.intermediary.ip und event.idm.read_only_udm.intermediary.asset.ip	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten