Mengumpulkan log OpenLDAP

Didukung di:

Dokumen ini menjelaskan cara menyerap log OpenLDAP ke Google Security Operations menggunakan Bindplane.

OpenLDAP adalah server direktori LDAP open source yang menghasilkan log akses, audit, dan replikasi. Parser mengekstrak kolom dari entri log OpenLDAP dan memetakannya ke Model Data Terpadu (UDM), yang mencatat identitas pengguna, peristiwa autentikasi, operasi LDAP, dan hasil keamanan.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Konektivitas jaringan antara agen Bindplane dan server OpenLDAP
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
  • Akses istimewa ke server OpenLDAP dengan izin root atau administratif

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.

  3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.

  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sc query observiq-otel-collector

Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sudo systemctl status observiq-otel-collector

Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

  • Linux:

    sudo systemctl status observiq-otel-collector

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

  • Ganti seluruh konten config.yaml dengan konfigurasi berikut:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/openldap:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: OPENLDAP
        raw_log_field: body

service:
    pipelines:
        logs/openldap:
            receivers:
                - udplog
            exporters:
                - chronicle/openldap

Parameter konfigurasi

Ganti placeholder berikut:

  • Konfigurasi penerima:

    • udplog: Jenis penerima berdasarkan protokol:
      • udplog untuk syslog UDP
      • tcplog untuk syslog TCP
      • syslog untuk syslog RFC 3164/5424
    • 0.0.0.0: IP address to listen on:
      • 0.0.0.0 untuk mendengarkan di semua antarmuka (direkomendasikan)
      • Alamat IP tertentu untuk memproses permintaan di satu antarmuka
    • 514: Nomor port yang akan diproses (misalnya, 514, 1514, 6514)

  • Konfigurasi pengekspor:

    • <customer_id>: ID Pelanggan dari langkah sebelumnya
    • malachiteingestion-pa.googleapis.com: URL endpoint regional:
      • Amerika Serikat: malachiteingestion-pa.googleapis.com
      • Eropa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Lihat Endpoint Regional untuk mengetahui daftar lengkapnya
    • Sesuaikan creds_file_path bergantung pada platform:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

Menyimpan file konfigurasi

  • Setelah mengedit, simpan file:
    • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
    • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux:

  1. Jalankan perintah berikut:

    sudo systemctl restart observiq-otel-collector

  2. Pastikan layanan sedang berjalan:

    sudo systemctl status observiq-otel-collector

  3. Periksa log untuk mengetahui error:

    sudo journalctl -u observiq-otel-collector -f

Untuk memulai ulang agen Bindplane di Windows:

  1. Pilih salah satu opsi berikut:

    • Command Prompt atau PowerShell sebagai administrator:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Konsol layanan:
      1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
      2. Cari observIQ OpenTelemetry Collector.
      3. Klik kanan, lalu pilih Mulai ulang.

  2. Pastikan layanan sedang berjalan:

    sc query observiq-otel-collector

  3. Periksa log untuk mengetahui error:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi penerusan syslog OpenLDAP

OpenLDAP (slapd) dapat dikonfigurasi untuk mencatat log melalui syslog. Konfigurasi daemon syslog untuk meneruskan log OpenLDAP ke agen Bindplane.

  1. Pastikan OpenLDAP dikonfigurasi untuk mencatat ke syslog. Periksa slapd.conf atau cn=config untuk menemukan direktif loglevel:

    loglevel stats conns

  2. OpenLDAP mencatat ke fasilitas syslog local4 secara default. Konfigurasi rsyslog untuk meneruskan log ini ke agen Bindplane. Buat file konfigurasi:

    sudo nano /etc/rsyslog.d/openldap-forward.conf

  3. Tambahkan konten berikut:

    local4.* @BINDPLANE_AGENT_IP:514

  4. Mulai ulang layanan rsyslog:

    sudo systemctl restart rsyslog

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
op, fd, ou, cn, dc, dc1, base1, base2, base3, scope_data, valueData, method, filter, tag_data, err, attrData, ou_2, ou_1, syslog_message, immutable_user_id, resource additional.fields Digabungkan dengan label yang dibuat dari kolom ini
extensions.auth.type Ditetapkan ke "AUTHTYPE_UNSPECIFIED"
caller_ip, proxy1_ip, proxy2_ip perantara Digabungkan dari perantara, proxy_1, proxy_2
msg1, inner_message metadata.description Nilai dari msg1 atau inner_message
metadata.event_type Awalnya ditetapkan ke "GENERIC_EVENT", lalu "STATUS_UPDATE" jika IP akun utama ada, "USER_UNCATEGORIZED" jika pengguna ada, "USER_LOGIN" jika stempel waktu atau inner_ts ada
ldap_action metadata.product_event_type Nilai dari ldap_action yang hurufnya dikecilkan
ldap_conn metadata.product_log_id Nilai dari ldap_conn setelah menghapus "conn="
user_agent network.http.user_agent Nilai disalin langsung
session_id network.session_id Nilai disalin langsung
principal_ip, prin_ip, caller_ip, r_ip_or_host, proxy_client_ip, src_ip, client_ip principal.asset.ip Digabungkan dari principal_ip (setelah mengganti - dengan .), prin_ip, caller_ip, r_ip_or_host (jika IP), proxy_client_ip, src_ip, client_ip
r_ip_or_host, src_host principal.hostname Nilai dari r_ip_or_host jika nama host, jika tidak, src_host
principal_ip, prin_ip, caller_ip, r_ip_or_host, proxy_client_ip, src_ip, client_ip principal.ip Digabungkan dari principal_ip (setelah mengganti - dengan .), prin_ip, caller_ip, r_ip_or_host (jika IP), proxy_client_ip, src_ip, client_ip
country principal.location.country_or_region Nilai disalin secara langsung
prin_port, port, src_port principal.port Nilai dari prin_port, port, atau src_port, dikonversi menjadi bilangan bulat
syslog_process principal.process.file.full_path Nilai disalin langsung
syslog_pid principal.process.pid Nilai disalin secara langsung
org_name principal.user.company_name Nilai disalin secara langsung
pengguna, cn, uid principal.user.userid Nilai dari pengguna, cn, atau uid
security_result security_result Digabungkan secara langsung
action, sec_action security_result.action Nilai dari action (berdasarkan kode err) atau sec_action (berdasarkan login_status)
resource, immutable_user_id security_result.detection_fields Digabungkan dengan label dari resource dan immutable_user_id
inner_descrption, security_description security_result.description Nilai dari inner_descrption atau security_description
tuser, username, userid target.user.userid Nilai dari tuser, username, atau userid
metadata.product_name Setel ke "OpenLDAP"
metadata.vendor_name Setel ke "OpenLDAP"
eventType event.idm.read_only_udm.metadata.product_event_type Dipetakan dari log perubahan
cn event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
sequenceId event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
dc_2 event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
dc_3 event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
dc event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
dc_1 event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
user event.idm.read_only_udm.principal.user.userid Dipetakan dari log perubahan
path event.idm.read_only_udm.principal.process.file.full_path Dipetakan dari log perubahan
ip1 principal.ip Dipetakan dari log perubahan
base", "err", "attr", "tag", "scope", and "valueData additional.fields Dipetakan dari log perubahan
security_result.action ALLOW Dipetakan dari log perubahan
security_result.action BLOCK Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.