Pharos-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Pharos-Logs mit Bindplane in Google Security Operations aufnehmen.

Pharos ist eine lokale Plattform für die Druckverwaltung, mit der Druckaktivitäten in Unternehmensumgebungen verfolgt, gesteuert und geprüft werden können. Pharos Blueprint Enterprise speichert Druckjobdaten, Nutzeraktivitäten und Geräteereignisse in einer SQL Server-Datenbank.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher
• Netzwerkverbindung zwischen dem Bindplane-Agenten und dem Pharos Blueprint-Server
• Wenn Sie einen Proxy verwenden, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agenten geöffnet sein.
• Administratorzugriff auf den Pharos Blueprint-Server
• Zugriff auf die Pharos SQL Server-Datenbank oder die Blueprint Administrator-Berichtskonsole

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Aufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das erstellte Dienstkonto und dann auf den Tab Schlüssel.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml so, dass er mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporterkonfiguration.

Hinweis: Der JSON-Schlüssel ist ein Anmeldedaten. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß der Richtlinie Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der Legacy Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die am 20. Juli 2027 eingestellt wird. Planen Sie, vor diesem Datum zu Option 1 zu wechseln.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profil auf.

3. Kopieren und speichern Sie die Kundennummer aus dem Abschnitt Organisationsdetails.

   Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agenten-Exporters erforderlich.

Bindplane-Agenten installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows-Betriebssystem.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

Der Dienst sollte als RUNNING angezeigt werden.

Weitere Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsanleitung für den Bindplane-Agenten.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist der Bindplane-Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agenten so konfigurieren, dass Logs aufgenommen und an Google SecOps gesendet werden

• Konfigurationsdatei suchen

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    filelog:
      include:
        - 'C:\Pharos\Exports\*.csv'
      start_at: beginning
      poll_interval: 5s
  
  exporters:
    chronicle/pharos:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: PHAROS
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/pharos_to_chronicle:
        receivers:
          - filelog
        exporters:
          - chronicle/pharos
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration :

  • include: Pfade zu Pharos-Exportdateien:
    • Windows: C:\Pharos\Exports\*.csv
    • Passen Sie den Pfad an den Speicherort an, an dem Sie Pharos-Berichte zu Druckaktivitäten exportieren.
  • start_at: Legen Sie beginning fest, um vorhandene Logs zu lesen, oder end, um nur neue Einträge zu lesen.
  • poll_interval: Wie oft nach neuen Logdaten gesucht werden soll (Standard: 5s)

• Exporterkonfiguration :

  • pharos: Beschreibender Name für den Exporter
  • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <customer_id>: Kundennummer aus dem vorherigen Schritt
  • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz, z. B. us, europe oder asia-southeast1. Der Exporter stellt chronicle.googleapis.com mit diesem Wert voran. Die vollständige Liste finden Sie unter Regionale Endpunkte.
  • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM und Verwaltung > Einstellungen.
  • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
  • PHAROS: Logtyp genau so, wie er in Chronicle angezeigt wird
  • ingestion_labels: Optionale Labels im YAML-Format, z. B. env: production

• Pipelinekonfiguration :

  • pharos_to_chronicle: Beschreibender Name für die Pipeline

Exporter für die Legacy Ingestion API

• Wenn Sie die Authentifizierungsdatei für die Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie creds_file_path auf den Pfad zur Authentifizierungsdatei für die Aufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt, z. B. europe-malachiteingestion-pa.googleapis.com.

  exporters:
    chronicle/pharos:
      compression: gzip
      creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: PHAROS
      raw_log_field: body
      ingestion_labels:
        env: production
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Windows: Klicken Sie auf Datei > Speichern

Bindplane-Agenten neu starten, damit die Änderungen übernommen werden

So starten Sie den Bindplane-Agenten unter Windows neu:

1. Wählen Sie eine der folgenden Optionen aus:

   • Eingabeaufforderung oder PowerShell als Administrator:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Dienste-Konsole:
     1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
     2. Suchen Sie nach observIQ OpenTelemetry Collector.
     3. Rechtsklicken Sie und wählen Sie Neu starten aus.

2. Prüfen Sie, ob der Dienst ausgeführt wird:

   sc query observiq-otel-collector
   

3. Prüfen Sie die Logs auf Fehler:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Pharos-Logs zu Druckaktivitäten exportieren

Pharos Blueprint Enterprise speichert Druckjobdaten in einer SQL Server-Datenbank. Sie müssen die Daten in CSV-Dateien exportieren, die der Bindplane-Agent lesen kann.

Daten zu Druckaktivitäten aus der Pharos SQL-Datenbank exportieren

1. Stellen Sie auf dem Pharos Blueprint-Server mit SQL Server Management Studio oder einem Befehlszeilentool eine Verbindung zur Pharos SQL-Datenbank her.

2. Exportieren Sie Datensätze zu Druckaktivitäten mit einer SQL-Abfrage:

   sqlcmd -S <sql_server> -d Pharos -Q "SELECT * FROM PrintJobLog WHERE JobDate >= DATEADD(day, -1, GETDATE())" -o "C:\Pharos\Exports\pharos_print_jobs.csv" -s "," -W
   

   Hinweis: Ersetzen Sie <sql_server> durch den Hostnamen Ihres SQL-Servers. Passen Sie die Abfrage- und Tabellennamen an Ihr Pharos-Datenbankschema an.

3. Planen Sie mit der Windows-Aufgabenplanung, dass dieser Befehl in regelmäßigen Abständen ausgeführt wird, z. B. stündlich. So kann der Bindplane-Agent kontinuierlich neue Exportdateien abrufen.

Alternative: Berichte aus der Blueprint Verwaltungskonsole exportieren

1. Öffnen Sie die Konsole Pharos Blueprint Administrator.
2. Rufen Sie Insights > Berichte auf.
3. Wählen Sie den gewünschten Berichtstyp aus, z. B. „Druckaktivität“, „Nutzeraktivität“ oder „Geräteaktivität“.
4. Konfigurieren Sie den Zeitraum und die Filter.

5. Exportieren Sie den Bericht als CSV-Datei in das Exportverzeichnis, z. B. `C:\Pharos\Exports`.

   Hinweis: Pharos Cloud-Kunden können über das Pharos Cloud-Dashboard unter Insights > Berichte auf Daten zu Druckaktivitäten zugreifen und Berichte für den gewünschten Zeitraum herunterladen.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
msg.Building, msg.DataSource, msg.FactSubType, msg.FactType, msg.JobId, msg.JobName, msg.JobTimeutc, msg.PostalCode, msg.VpnConnected, mtd.customer, mtd.slt.node, mtd.slt.pipeline, mtd.source.database, mtd.timestamp.producer_process	additional.fields	Mit Building_label zusammengeführt, wenn msg.Building nicht leer ist, datasource_label, wenn msg.DataSource nicht leer ist, factsubtype_label, wenn msg.FactSubType nicht leer ist, facttype_label, wenn msg.FactType nicht leer ist, jobid_label, wenn msg.JobId nicht leer ist, jobname_label, wenn msg.JobName nicht leer ist, jobtimeutc_label, wenn msg.JobTimeutc nicht leer ist, postalcode_label, wenn msg.PostalCode nicht in ["", "Unknown"] ist, vpnconnected_label, wenn msg.VpnConnected nicht leer ist, customer_label, wenn mtd.customer nicht leer ist, node_label, wenn mtd.slt.node nicht leer ist, pipeline_label, wenn mtd.slt.pipeline nicht leer ist, database_label, wenn mtd.source.database nicht leer ist, producer_process_label, wenn mtd.timestamp.producer_process nicht leer ist
	metadata.event_type	Auf „STATUS_UPDATE“ festgelegt, wenn has_principal „true“ ist, andernfalls „GENERIC_EVENT“
msg.Application	principal.application	Wert direkt kopiert, wenn nicht leer
msg.HostName	principal.asset.hostname	Wert direkt kopiert, wenn nicht leer
msg.IPAddress	principal.asset.ip	Wert direkt kopiert, wenn nicht in ["", "Unknown"]
msg.City	principal.location.city	Wert direkt kopiert, wenn nicht in ["", "Unknown"]
msg.Country	principal.location.country_or_region	Wert direkt kopiert, wenn nicht in ["", "Unknown"]
msg.State	principal.location.state	Wert direkt kopiert, wenn nicht in ["", "Unknown"]
msg.HostName	principal.hostname	Wert direkt kopiert, wenn nicht leer
msg.IPAddress	principal.ip	Wert direkt kopiert, wenn nicht in ["", "Unknown"]
msg.UserDisplayName	principal.user.user_display_name	Wert direkt kopiert, wenn nicht leer
mtd.source.host	src.hostname	Wert direkt kopiert, wenn nicht leer
mtd.source.port	src.port	Wert direkt kopiert, wenn nicht in ["", "n/a"]
mtd.source.type	src.resource.attribute.labels	Mit sourcetype_label zusammengeführt, wenn nicht leer
	metadata.product_name	Auf „PHAROS“ festgelegt
	metadata.vendor_name	Auf „PHAROS“ festgelegt

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten