Oracle DB 로그 수집

다음에서 지원:

Google secops SIEM

참고: 이 기능은 Google Security Operations 서비스 특정 약관에 있는 GA 이전 서비스 약관이 적용됩니다. GA 이전 기능에서 지원이 제한될 수 있으며 GA 이전 기능의 변경사항은 다른 GA 이전 버전과 호환되지 않을 수 있습니다. 자세한 내용은 Google SecOps 기술 지원 서비스 가이드라인 및 Google SecOps 서비스 특정 약관을 참고하세요.

이 가이드에서는 Bindplane 에이전트를 사용하여 Oracle DB 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

파서는 grok 패턴과 키-값 파싱을 사용하여 여러 형식을 처리하면서 SYSLOG 메시지에서 필드를 추출합니다. 그런 다음 추출된 필드를 통합 데이터 모델 (UDM)에 매핑하여 공급업체 및 제품 이름과 같은 정적 메타데이터로 데이터를 보강하고, ACTION 및 USERID와 같은 특정 필드 값을 기반으로 이벤트 유형을 동적으로 설정합니다.

시작하기 전에

• 다음 기본 요건이 충족되었는지 확인합니다.

• Google SecOps 인스턴스

• Windows Server 2016 이상 또는 systemd가 설치된 Linux 호스트

• Bindplane 에이전트와 Oracle 데이터베이스 호스트 간의 네트워크 연결

• 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.

• Oracle 데이터베이스 인스턴스에 대한 권한 있는 액세스 (SYSDBA 또는 AUDIT_ADMIN 역할)

• 통합 감사가 사용 설정된 Oracle Database 19c 이상 (또는 Oracle 12c~18c의 혼합 모드 감사)

Google SecOps 수집 인증 파일 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 수집 에이전트로 이동합니다.

3. 수집 인증 파일을 다운로드합니다. Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.

   참고: 이 JSON 파일에는 Bindplane 에이전트를 Google SecOps에 인증하기 위한 사용자 인증 정보가 포함되어 있습니다.

Google SecOps 고객 ID 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 프로필로 이동합니다.

3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

   참고: Bindplane 에이전트 내보내기를 구성하려면 고객 ID가 필요합니다.

Bindplane 에이전트 설치

다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.

Windows 설치

1. 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.

2. 다음 명령어를 실행합니다.

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 설치가 완료될 때까지 기다립니다.

4. 다음을 실행하여 설치를 확인합니다.

   sc query observiq-otel-collector
   

서비스가 실행 중으로 표시되어야 합니다.

Linux 설치

1. 루트 또는 sudo 권한으로 터미널을 엽니다.

2. 다음 명령어를 실행합니다.

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 설치가 완료될 때까지 기다립니다.

4. 다음을 실행하여 설치를 확인합니다.

   sudo systemctl status observiq-otel-collector
   

서비스가 active (running)으로 표시되어야 합니다.

추가 설치 리소스

추가 설치 옵션 및 문제 해결은 Bindplane 에이전트 설치 가이드를 참고하세요.

syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성

구성 파일 찾기

Linux:

```bash
sudo nano /etc/bindplane-agent/config.yaml
```

Windows:

```cmd
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
```

구성 파일 설정

config.yaml의 전체 내용을 다음 구성으로 바꿉니다.

```yaml
receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/oracle_db:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: ORACLE_DB
        raw_log_field: body
        ingestion_labels:
            log_type: 'ORACLE_DB'

service:
    pipelines:
        logs/oracle_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/oracle_db
```

구성 매개변수

• 다음 자리표시자를 바꿉니다.

수신기 구성: * listen_address: 수신할 IP 주소 및 포트 - 0.0.0.0을 하나의 인터페이스에서 수신할 특정 IP 주소로 바꾸거나 모든 인터페이스에서 수신하려면 0.0.0.0로 둡니다 (권장). - 514을 Oracle syslog 전달 구성과 일치하는 포트 번호로 바꿉니다.

내보내기 도구 구성: * creds_file_path: 수집 인증 파일의 전체 경로: - Linux: /etc/bindplane-agent/ingestion-auth.json - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json * customer_id: Google SecOps 고객 ID 가져오기 섹션에서 복사한 고객 ID * endpoint: 지역 엔드포인트 URL: - 미국: malachiteingestion-pa.googleapis.com - 유럽: europe-malachiteingestion-pa.googleapis.com - 아시아: asia-southeast1-malachiteingestion-pa.googleapis.com - 전체 목록은 지역 엔드포인트를 참고하세요.

구성 파일 저장

• 수정 후 파일을 저장합니다.
  • Linux: Ctrl+O, Enter, Ctrl+X 순서로 누릅니다.
  • Windows: 파일 > 저장을 클릭합니다.

변경사항을 적용하려면 Bindplane 에이전트를 다시 시작하세요.

• Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

  sudo systemctl restart observiq-otel-collector
  

  1. 서비스가 실행 중인지 확인합니다.

  sudo systemctl status observiq-otel-collector
  

  1. 로그에서 오류를 확인합니다.

  sudo journalctl -u observiq-otel-collector -f
  

• Windows에서 Bindplane 에이전트를 다시 시작하려면 다음 옵션 중 하나를 선택합니다.

  • 관리자 권한으로 명령 프롬프트 또는 PowerShell:

  net stop observiq-otel-collector && net start observiq-otel-collector
  

  • 서비스 콘솔:
    1. Win+R 키를 누르고 services.msc을 입력한 다음 Enter 키를 누릅니다.
    2. observIQ OpenTelemetry Collector를 찾습니다.
    3. 마우스 오른쪽 버튼을 클릭하고 다시 시작을 선택합니다.
  1. 서비스가 실행 중인지 확인합니다.

  sc query observiq-otel-collector
  

  1. 로그에서 오류를 확인합니다.

  type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
  

Oracle Database 통합 감사 및 syslog 전달 구성

통합 감사 사용 설정

통합 감사가 아직 사용 설정되지 않은 경우 uniaud_on 옵션을 사용하여 Oracle 바이너리를 다시 연결합니다. 이렇게 하려면 Oracle 홈 (데이터베이스 인스턴스 및 리스너)에서 실행되는 모든 Oracle 프로세스를 종료해야 합니다.

1. oracle 운영체제 사용자로 Oracle 데이터베이스 호스트에 연결합니다.

2. Oracle 인스턴스와 리스너를 종료합니다.

   sqlplus / as sysdba <<EOF
   shutdown immediate;
   exit
   EOF
   lsnrctl stop
   

3. 통합 감사가 사용 설정된 Oracle 바이너리를 다시 연결합니다.

   cd $ORACLE_HOME/rdbms/lib
   make -f ins_rdbms.mk uniaud_on ioracle
   

4. 리스너와 Oracle 인스턴스를 시작합니다.

   lsnrctl start
   sqlplus / as sysdba <<EOF
   startup;
   exit
   EOF
   

5. Oracle Enterprise Manager Cloud Control이 동일한 호스트에서 실행 중인 경우 다시 시작합니다.

   cd /u01/app/oracle/product/middleware/oms
   export OMS_HOME=/u01/app/oracle/product/middleware/oms
   $OMS_HOME/bin/emctl start oms
   

6. 통합 감사가 사용 설정되어 있는지 확인합니다. SQLplus를 사용하여 Oracle 데이터베이스에 연결합니다.

   SELECT VALUE FROM V$OPTION WHERE PARAMETER = 'Unified Auditing';
   

명령어가 VALUE가 TRUE인 행 하나를 반환하는지 확인합니다.

통합 감사 syslog 출력 구성

통합 감사 레코드를 syslog에 쓰도록 UNIFIED_AUDIT_SYSTEMLOG 초기화 매개변수를 설정합니다. 이 파라미터는 Oracle 19c에서 도입되었으며 지원 중단된 AUDIT_SYSLOG_LEVEL 파라미터 (기존 감사에만 적용됨)를 대체합니다.

1. SQLplus를 사용하여 Oracle 데이터베이스에 SYSDBA로 연결합니다.

2. UNIFIED_AUDIT_SYSTEMLOG 매개변수를 설정합니다.

   • UNIX/Linux 시스템에서는 매개변수를 facility.priority 값으로 설정합니다.

   ALTER SYSTEM SET UNIFIED_AUDIT_SYSTEMLOG = 'LOCAL7.INFO' SCOPE=SPFILE;
   

   • Windows 시스템에서는 Windows 이벤트 뷰어에 쓰도록 매개변수를 TRUE로 설정합니다.

   ALTER SYSTEM SET UNIFIED_AUDIT_SYSTEMLOG = TRUE SCOPE=SPFILE;
   

3. 선택사항: CDB 루트 컨테이너에서 UNIX/Linux 시스템의 syslog로 공통 통합 감사 정책 레코드를 작성하려면 UNIFIED_AUDIT_COMMON_SYSTEMLOG 매개변수를 설정합니다.

   ALTER SYSTEM SET UNIFIED_AUDIT_COMMON_SYSTEMLOG = TRUE SCOPE=SPFILE;
   

   참고: UNIFIED_AUDIT_COMMON_SYSTEMLOG는 CDB의 루트 컨테이너에서만 설정할 수 있습니다. Windows에 상응하는 기능이 없습니다.

4. 파라미터 변경사항을 적용하려면 Oracle Database 인스턴스를 다시 시작합니다.

   SHUTDOWN IMMEDIATE;
   STARTUP;
   

Oracle 호스트에서 syslog 데몬 구성

Oracle 데이터베이스 호스트에서 감사 로그 항목을 Bindplane 에이전트로 전달하도록 syslog 데몬을 구성합니다.

1. Oracle Database 호스트에 root로 로그인합니다.

2. syslog 구성 파일을 엽니다.

   • rsyslog를 사용하는 RHEL/CentOS/Oracle Linux:

   sudo vi /etc/rsyslog.conf
   

   • 시스템로그가 있는 이전 시스템의 경우:

   sudo vi /etc/syslog.conf
   

3. UNIFIED_AUDIT_SYSTEMLOG에서 구성한 기능 및 우선순위와 일치하는 전달 규칙을 추가합니다. 예를 들어 LOCAL7.INFO을 설정하면 다음과 같이 표시됩니다.

   • UDP를 통해 전달하려면 (Bindplane udplog 수신기와 일치) 다음을 실행하세요.

   local7.info @<BINDPLANE_HOST_IP>:514
   

   • TCP를 통해 전달하려면 (Bindplane에서 tcplog 수신기를 사용하는 경우) 다음 단계를 따르세요.

   local7.info @@<BINDPLANE_HOST_IP>:514
   

<BINDPLANE_HOST_IP>을 Bindplane 에이전트를 실행하는 시스템의 IP 주소 또는 호스트 이름으로 바꿉니다.

Note: A single `@` prefix indicates UDP forwarding. A double `@@` prefix indicates TCP forwarding. Ensure this matches the receiver type in the Bindplane `config.yaml`.

1. 선택사항: 감사 로그의 로컬 사본도 보관하려면 다음 줄을 추가합니다.

   local7.info /var/log/oracle_audit.log
   

2. 파일을 저장하고 syslog 데몬을 다시 시작합니다.

   • rsyslog를 사용하는 RHEL/CentOS/Oracle Linux:

   sudo systemctl restart rsyslog
   

   • 시스템로그가 있는 이전 시스템의 경우:

   sudo service syslog restart
   

감사 로그 전달 확인

1. Oracle 데이터베이스에서 감사 가능한 작업을 실행하여 테스트 감사 이벤트를 생성합니다. 예를 들어 사용자로 연결하고 다음을 실행합니다.

   SELECT * FROM DBA_USERS WHERE ROWNUM = 1;
   

2. Bindplane 에이전트 로그에서 수신되는 syslog 메시지를 확인합니다.

   sudo journalctl -u observiq-otel-collector -f
   

3. syslog 메시지에 TYPE, DBID, SESID, DBUSER, ACTION, RETCODE와 같은 키-값 쌍이 있는 Oracle Unified Audit 태그가 포함되어 있는지 확인합니다.

   참고: 통합 감사 레코드 필드의 일부만 syslog에 기록됩니다. 전체 감사 레코드는 데이터베이스 내의 UNIFIED_AUDIT_TRAIL 뷰에 저장됩니다. Syslog 항목은 일반적으로 1,024바이트로 제한됩니다.

UDM 매핑 테이블

로그 필드	UDM 매핑	논리
ACTION	security_result.action_details	원시 로그의 ACTION 값이 이 UDM 필드에 직접 매핑됩니다. ACTION 값을 기반으로 security_result.action 및 security_result.description을 결정하기 위해 추가 로직이 적용됩니다 (예: 100이 ALLOW 및 Success에 매핑됨).
ACTION_NAME	metadata.product_event_type	직접 매핑됩니다.
ACTION_NUMBER	additional.fields[action_number].value.string_value	Source Event 키로 직접 매핑됩니다. 다른 필드와 함께 사용하여 metadata.event_type 및 metadata.product_event_type을 도출하는 데도 사용됩니다.
APPLICATION_CONTEXTS	additional.fields[application_contexts_label].value.string_value	APPLICATION_CONTEXTS 키로 직접 매핑됩니다.
AUDIT_POLICY	additional.fields[audit_policy_label].value.string_value 또는 additional.fields[AUDIT_POLICY_#].value.string_value	AUDIT_POLICY에 쉼표가 포함된 경우 AUDIT_POLICY_0, AUDIT_POLICY_1 등의 키가 있는 여러 라벨로 분할됩니다. 그렇지 않으면 키 AUDIT_POLICY로 직접 매핑됩니다.
AUDIT_TYPE	additional.fields[audit_type_label].value.string_value	AUDIT_TYPE 키로 직접 매핑됩니다.
AUTHENTICATION_TYPE	metadata.event_type, extensions.auth.type	auth_type (AUTHENTICATION_TYPE에서 추출됨)가 비어 있지 않고 다른 조건이 충족되는 경우 metadata.event_type를 USER_LOGIN로 파생하는 데 사용됩니다. extensions.auth.type이 AUTHTYPE_UNSPECIFIED로 설정됩니다.
CLIENT_ADDRESS	principal.ip, principal.port, network.ip_protocol, intermediary[host].user.userid	IP, 포트, 프로토콜은 Grok 패턴을 사용하여 추출됩니다. 사용자 이름이 CLIENT_ADDRESS 필드에 있으면 intermediary[host].user.userid에 매핑됩니다.
CLIENT_ID	target.user.userid	직접 매핑됩니다.
CLIENT_PROGRAM_NAME	additional.fields[client_program_name_label].value.string_value	CLIENT_PROGRAM_NAME 키로 직접 매핑됩니다.
CLIENT_TERMINAL	additional.fields[CLIENT_TERMINAL_label].value	CLIENT_TERMINAL 키로 직접 매핑됩니다.
CLIENT_USER	target.user.user_display_name	직접 매핑됩니다.
COMMENT$TEXT	additional.fields[comment_text_label].value.string_value	+을 :로 바꾼 후 comment_text 키와 직접 매핑됩니다.
CURRENT_USER	additional.fields[current_user_label].value.string_value	current_user 키로 직접 매핑됩니다.
CURUSER	additional.fields[current_user_label].value.string_value	current_user 키로 직접 매핑됩니다.
DATABASE_USER	principal.user.user_display_name	비어 있지 않거나 /인 경우 직접 매핑됩니다.
DBID	metadata.product_log_id	작은따옴표를 삭제한 후 직접 매핑됩니다.
DBNAME	target.resource.resource_type, target.resource.resource_subtype, target.resource.name	resource_type을 DATABASE로, resource_subtype을 Oracle Database로 설정하고 DBNAME을 name에 매핑합니다.
DBPROXY_USERRNAME	intermediary[dbproxy].user.userid	직접 매핑됩니다.
DBUSERNAME	target.user.user_display_name	직접 매핑됩니다.
ENTRYID	target.resource.attribute.labels[entry_id_label].value	Entry Id 키로 직접 매핑됩니다.
EXTERNAL_USERID	additional.fields[external_userid_label].value.string_value	EXTERNAL_USERID 키로 직접 매핑됩니다.
LENGTH	additional.fields[length_label].value.string_value	length 키로 직접 매핑됩니다.
LOGOFF$DEAD	target.resource.attribute.labels[LOGOFFDEAD_label].value	LOGOFFDEAD 키로 직접 매핑됩니다.
LOGOFF$LREAD	target.resource.attribute.labels[LOGOFFLREAD_label].value	LOGOFFLREAD 키로 직접 매핑됩니다.
LOGOFF$LWRITE	target.resource.attribute.labels[LOGOFFLWRITE_label].value	LOGOFFLWRITE 키로 직접 매핑됩니다.
LOGOFF$PREAD	target.resource.attribute.labels[LOGOFFPREAD_label].value	LOGOFFPREAD 키로 직접 매핑됩니다.
NTIMESTAMP#	metadata.event_timestamp	파싱되어 RFC 3339 또는 ISO8601 형식으로 변환됩니다.
OBJCREATOR	target.resource.attribute.labels[obj_creator_label].value	OBJ Creator 키로 직접 매핑됩니다.
OBJNAME	target.resource.attribute.labels[obj_name_label].value	OBJ Name 키로 직접 매핑됩니다.
OS_USERNAME	principal.user.user_display_name	직접 매핑됩니다.
OSUSERID	target.user.userid	직접 매핑됩니다.
PDB_GUID	principal.resource.product_object_id	직접 매핑됩니다.
PRIV$USED	additional.fields[privused_label].value.string_value	privused 키로 직접 매핑됩니다.
PRIVILEGE	principal.user.attribute.permissions.name	직접 매핑됩니다.
RETURN_CODE	security_result.summary	직접 매핑됩니다. security_result.action 및 security_result.description을 도출하기 위해 로직이 적용됩니다.
RETURNCODE	security_result.summary	직접 매핑됩니다. security_result.action 및 security_result.description을 도출하기 위해 로직이 적용됩니다.
RLS_INFO	additional.fields[rls_info_label].value.string_value	RLS_INFO 키로 직접 매핑됩니다.
SCHEMA	additional.fields[schema_label].value.string_value	schema 키로 직접 매핑됩니다.
SESSIONCPU	target.resource.attribute.labels[SESSIONCPU_label].value	SESSIONCPU 키로 직접 매핑됩니다.
SESSIONID	network.session_id	직접 매핑됩니다.
SESID	network.session_id	직접 매핑됩니다.
SQL_TEXT	target.process.command_line	직접 매핑됩니다.
SQLTEXT	target.process.command_line	직접 매핑됩니다.
STATEMENT	target.resource.attribute.labels[statement_label].value	STATEMENT 키로 직접 매핑됩니다.
STATUS	security_result.summary	직접 매핑됩니다. security_result.action 및 security_result.description을 도출하기 위해 로직이 적용됩니다.
SYSTEM_PRIVILEGE_USED	additional.fields[system_privilege_used_label].value.string_value	SYSTEM_PRIVILEGE_USED 키로 직접 매핑됩니다.
TARGET_USER	additional.fields[target_user_label].value.string_value	TARGET_USER 키로 직접 매핑됩니다.
TERMINAL	additional.fields[CLIENT_TERMINAL_label].value	CLIENT_TERMINAL 키로 직접 매핑됩니다.
TYPE	additional.fields[type_label].value.string_value	type 키로 직접 매핑됩니다.
USERHOST	principal.hostname, principal.administrative_domain	호스트 이름과 도메인은 grok 패턴을 사용하여 추출됩니다.
USERID	principal.user.userid	직접 매핑됩니다.
device_host_name	target.hostname	직접 매핑됩니다.
event_name	metadata.product_event_type	대문자로 변환한 후 직접 매핑됩니다.
file_name	target.file.full_path	직접 매핑됩니다.
hostname	principal.hostname	직접 매핑됩니다.
length	additional.fields[length_label].value.string_value	length 키로 직접 매핑됩니다.
log_source_name	principal.application	직접 매핑됩니다.
message	Various	여러 필드를 추출하기 위해 grok 파싱에 사용됩니다.
returncode	RETURNCODE	직접 매핑됩니다.
src_ip	principal.ip	직접 매핑됩니다.
t_hostname	target.hostname	직접 매핑됩니다.
(파서 로직)	metadata.vendor_name	Oracle로 하드코딩되었습니다.
(파서 로직)	metadata.product_name	Oracle DB로 하드코딩되었습니다.
(파서 로직)	metadata.event_type	ACTION, ACTION_NUMBER, source_event, OSUSERID, USERID, SQLTEXT, AUTHENTICATION_TYPE, DBUSERNAME, device_host_name, database_name 값을 기반으로 결정됩니다. 특정 조건을 충족하지 않으면 기본값은 USER_RESOURCE_ACCESS입니다.
(파서 로직)	metadata.product_event_type	ACTION, ACTION_NUMBER, source_event, p_event_type, ACTION_NAME 값을 기반으로 결정됩니다.
(파서 로직)	metadata.log_type	ORACLE_DB로 하드코딩되었습니다.
(파서 로직)	extensions.auth.mechanism	ACTION, ACTION_NUMBER, source_event, OSUSERID에 따라 특정 조건에서 USERNAME_PASSWORD로 설정됩니다.
(파서 로직)	extensions.auth.type	ACTION, ACTION_NUMBER, AUTHENTICATION_TYPE에 따라 특정 조건에서 AUTHTYPE_UNSPECIFIED로 설정됩니다.
(파서 로직)	security_result.description	RETURNCODE 또는 STATUS에서 파생됩니다.
(파서 로직)	security_result.action	RETURNCODE 또는 STATUS에서 파생됩니다.
(파서 로직)	target.resource.attribute.labels	다양한 로그 필드의 존재 여부와 값에 따라 여러 라벨이 추가됩니다.
(파서 로직)	additional.fields	다양한 로그 필드의 존재 여부와 값을 기반으로 여러 필드가 키-값 쌍으로 추가됩니다.
(파서 로직)	intermediary	DBPROXY_USERRNAME 및 CLIENT_ADDRESS의 존재 여부와 값을 기반으로 생성되고 채워집니다.
(파서 로직)	network.ip_protocol	parse_ip_protocol.include 포함 파일을 사용하여 CLIENT_ADDRESS에서 추출한 프로토콜에서 파생됩니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.