Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Pharos-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Pharos-Logs mit Bindplane in Google Security Operations aufnehmen.

Pharos ist eine lokale Plattform zur Druckverwaltung, mit der Druckaktivitäten in Unternehmensumgebungen nachverfolgt, gesteuert und geprüft werden können. Pharos Blueprint Enterprise speichert Druckauftragsdaten, Nutzeraktivitäten und Geräteereignisse in einer SQL Server-Datenbank.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Windows Server 2016 oder höher
Netzwerkverbindung zwischen dem Bindplane-Agent und dem Pharos Blueprint-Server
Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
Administratorzugriff auf den Pharos Blueprint-Server
Zugriff auf die Pharos SQL Server-Datenbank oder die Blueprint Administrator-Berichtskonsole

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Hinweis :Diese JSON-Datei enthält Anmeldedaten für die Authentifizierung des Bindplane-Agents bei Google SecOps.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Profile auf.
Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

Hinweis :Die Kunden-ID ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Warte, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sc query observiq-otel-collector
```

Der Dienst sollte als RUNNING angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsleitfaden für den Bindplane-Agent.

Bindplane-Agenten zum Erfassen von Logs und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

receivers:
    filelog:
        include:
            - 'C:\Pharos\Exports\*.csv'
        start_at: beginning
        poll_interval: 5s

exporters:
    chronicle/pharos:
        compression: gzip
        creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: PHAROS
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/pharos_to_chronicle:
            receivers:
                - filelog
            exporters:
                - chronicle/pharos

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

Empfängerkonfiguration:
- include: Pfade zu Pharos-Exportdateien:
  - Windows: C:\Pharos\Exports\*.csv
  - Pfad anpassen, je nachdem, wo Sie Pharos-Druckaktivitätsberichte exportieren
- start_at: Auf beginning setzen, um vorhandene Logs zu lesen, oder auf end, um nur neue Einträge zu lesen.
- poll_interval: Wie oft nach neuen Logdaten gesucht werden soll (Standard: 5s)
Exporter-Konfiguration:
- pharos: Aussagekräftiger Name für den Exportvorgang
- creds_file_path: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme:
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <customer_id>: Kunden-ID aus dem vorherigen Schritt
- endpoint: Regionale Endpunkt-URL:
  - USA: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Eine vollständige Liste finden Sie unter Regionale Endpunkte.
- PHAROS: Logtyp, genau wie er in Chronicle angezeigt wird
- ingestion_labels: Optionale Labels im YAML-Format (z. B. env: production)
Pipelinekonfiguration:
- pharos_to_chronicle: Aussagekräftiger Name für die Pipeline

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:
- Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

So starten Sie den Bindplane-Agent unter Windows neu:

Wählen Sie eine der folgenden Optionen aus:
- Eingabeaufforderung oder PowerShell als Administrator:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Services Console:
  1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
  2. Suchen Sie nach observIQ OpenTelemetry Collector.
  3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.
Prüfen Sie, ob der Dienst ausgeführt wird:
```
sc query observiq-otel-collector
```

Logs auf Fehler prüfen:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Pharos-Druckaktivitätsprotokolle exportieren

Pharos Blueprint Enterprise speichert Druckauftragsdaten in einer SQL Server-Datenbank. Sie müssen die Daten in CSV-Dateien exportieren, die vom Bindplane-Agent gelesen werden können.

Druckaktivitätsdaten aus der Pharos-SQL-Datenbank exportieren

Stellen Sie auf dem Pharos Blueprint-Server mit SQL Server Management Studio oder einem Befehlszeilentool eine Verbindung zur Pharos SQL-Datenbank her.
Datensätze für Druckaktivitäten mit einer SQL-Abfrage exportieren:
```
sqlcmd -S <sql_server> -d Pharos -Q "SELECT * FROM PrintJobLog WHERE JobDate >= DATEADD(day, -1, GETDATE())" -o "C:\Pharos\Exports\pharos_print_jobs.csv" -s "," -W
```
Hinweis :Ersetzen Sie <sql_server> durch den SQL Server-Hostnamen. Passen Sie die Abfrage- und Tabellennamen an Ihr Pharos-Datenbankschema an.
Planen Sie die regelmäßige Ausführung dieses Befehls (z. B. stündlich) mit der Windows-Aufgabenplanung, damit der Bindplane-Agent kontinuierlich neue Exportdateien abruft.

Alternative: Berichte aus der Blueprint-Admin-Konsole exportieren

Öffnen Sie die Pharos Blueprint Administrator-Konsole.
Rufen Sie Statistiken > „Berichte“ auf.
Wählen Sie den gewünschten Berichtstyp aus, z. B. „Druckaktivität“, „Nutzeraktivität“ oder „Geräteaktivität“.
Konfigurieren Sie den Zeitraum und die Filter.
Exportieren Sie den Bericht als CSV-Datei in das Exportverzeichnis (z. B. „C:\Pharos\Exports“).

Hinweis :Pharos Cloud-Kunden können über das Pharos Cloud-Dashboard unter Statistiken > Berichte auf Druckaktivitätsdaten zugreifen und Berichte für den gewünschten Zeitraum herunterladen.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
msg.Building, msg.DataSource, msg.FactSubType, msg.FactType, msg.JobId, msg.JobName, msg.JobTimeutc, msg.PostalCode, msg.VpnConnected, mtd.customer, mtd.slt.node, mtd.slt.pipeline, mtd.source.database, mtd.timestamp.producer_process	additional.fields	Mit Building_label zusammengeführt, wenn msg.Building nicht leer ist, datasource_label, wenn msg.DataSource nicht leer ist, factsubtype_label, wenn msg.FactSubType nicht leer ist, facttype_label, wenn msg.FactType nicht leer ist, jobid_label, wenn msg.JobId nicht leer ist, jobname_label, wenn msg.JobName nicht leer ist, jobtimeutc_label, wenn msg.JobTimeutc nicht leer ist, postalcode_label, wenn msg.PostalCode nicht in ["", "Unknown"] ist, vpnconnected_label, wenn msg.VpnConnected nicht leer ist, customer_label, wenn mtd.customer nicht leer ist, node_label, wenn mtd.slt.node nicht leer ist, pipeline_label, wenn mtd.slt.pipeline nicht leer ist, database_label, wenn mtd.source.database nicht leer ist, producer_process_label, wenn mtd.timestamp.producer_process nicht leer ist
	metadata.event_type	Auf „STATUS_UPDATE“ festgelegt, wenn „has_principal“ auf „true“ gesetzt ist, andernfalls „GENERIC_EVENT“
msg.Application	principal.application	Wert wird direkt kopiert, wenn er nicht leer ist
msg.HostName	principal.asset.hostname	Wert wird direkt kopiert, wenn er nicht leer ist
msg.IPAddress	principal.asset.ip	Der Wert wird direkt kopiert, wenn er nicht in ["", "Unknown"] enthalten ist.
msg.City	principal.location.city	Der Wert wird direkt kopiert, wenn er nicht in ["", "Unknown"] enthalten ist.
msg.Country	principal.location.country_or_region	Der Wert wird direkt kopiert, wenn er nicht in ["", "Unknown"] enthalten ist.
msg.State	principal.location.state	Der Wert wird direkt kopiert, wenn er nicht in ["", "Unknown"] enthalten ist.
msg.HostName	principal.hostname	Wert wird direkt kopiert, wenn er nicht leer ist
msg.IPAddress	principal.ip	Der Wert wird direkt kopiert, wenn er nicht in ["", "Unknown"] enthalten ist.
msg.UserDisplayName	principal.user.user_display_name	Wert wird direkt kopiert, wenn er nicht leer ist
mtd.source.host	src.hostname	Wert wird direkt kopiert, wenn er nicht leer ist
mtd.source.port	src.port	Wert wird direkt kopiert, wenn er nicht in ["", "n/a"] enthalten ist.
mtd.source.type	src.resource.attribute.labels	Wird mit „sourcetype_label“ zusammengeführt, wenn nicht leer
	metadata.product_name	Auf „PHAROS“ festgelegt
	metadata.vendor_name	Auf „PHAROS“ festgelegt

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten