Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux Pharos

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer les journaux Pharos dans Google Security Operations à l'aide de Bindplane.

Pharos est une plate-forme de gestion des impressions sur site qui permet de suivre, de contrôler et d'auditer les activités d'impression dans les environnements d'entreprise. Pharos Blueprint Enterprise stocke les données des tâches d'impression, l'activité des utilisateurs et les événements des appareils dans une base de données SQL Server.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Une instance Google SecOps
Windows Server 2016 ou version ultérieure
Connectivité réseau entre l'agent Bindplane et le serveur Pharos Blueprint
Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
Accès administrateur au serveur Pharos Blueprint
Accès à la base de données Pharos SQL Server ou à la console de création de rapports Blueprint Administrator

Obtenir le fichier d'authentification d'ingestion Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM> Agents de collecte.
Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Remarque : Ce fichier JSON contient les identifiants permettant d'authentifier l'agent Bindplane auprès de Google SecOps.

Obtenir l'ID client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres du SIEM > Profil.
Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Remarque : L'ID client est requis pour configurer l'exportateur de l'agent Bindplane.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows en suivant les instructions ci-dessous.

Installation de Windows

Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

Exécutez la commande suivante :

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendez la fin de l'installation.
Vérifiez l'installation en exécutant la commande suivante :
```
sc query observiq-otel-collector
```

Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Autres ressources d'installation

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux et les envoyer à Google SecOps

Localiser le fichier de configuration

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

receivers:
    filelog:
        include:
            - 'C:\Pharos\Exports\*.csv'
        start_at: beginning
        poll_interval: 5s

exporters:
    chronicle/pharos:
        compression: gzip
        creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: PHAROS
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/pharos_to_chronicle:
            receivers:
                - filelog
            exporters:
                - chronicle/pharos

Paramètres de configuration

Remplacez les espaces réservés suivants :

Configuration du récepteur :
- include : chemins d'accès aux fichiers d'exportation Pharos :
  - Windows : C:\Pharos\Exports\*.csv
  - Ajustez le chemin d'accès en fonction de l'emplacement où vous exportez les rapports sur l'activité d'impression Pharos.
- start_at : définissez la valeur sur beginning pour lire les journaux existants ou sur end pour lire uniquement les nouvelles entrées.
- poll_interval : fréquence de vérification des nouvelles données de journaux (par défaut : 5s)
Configuration de l'exportateur :
- pharos : nom descriptif de l'exportateur.
- creds_file_path : chemin d'accès complet au fichier d'authentification de l'ingestion :
  - Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <customer_id> : ID client de l'étape précédente
- endpoint : URL du point de terminaison régional :
  - États-Unis : malachiteingestion-pa.googleapis.com
  - Europe : europe-malachiteingestion-pa.googleapis.com
  - Asie : asia-southeast1-malachiteingestion-pa.googleapis.com
  - Pour obtenir la liste complète, consultez Points de terminaison régionaux.
- PHAROS : type de journal tel qu'il apparaît dans Chronicle
- ingestion_labels : étiquettes facultatives au format YAML (par exemple, env: production)
Configuration du pipeline :
- pharos_to_chronicle : nom descriptif du pipeline.

Enregistrez le fichier de configuration.

Après avoir modifié le fichier, enregistrez-le :
- Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent Bindplane sous Windows :

Choisissez l'une des options suivantes :
- Invite de commande ou PowerShell en tant qu'administrateur :
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console Services :
  1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
  2. Localisez observIQ OpenTelemetry Collector.
  3. Effectuez un clic droit, puis sélectionnez Redémarrer.
Vérifiez que le service est en cours d'exécution :
```
sc query observiq-otel-collector
```

Recherchez les erreurs dans les journaux :

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Exporter les journaux d'activité d'impression Pharos

Pharos Blueprint Enterprise stocke les données des tâches d'impression dans une base de données SQL Server. Vous devez exporter les données vers des fichiers CSV que l'agent Bindplane peut lire.

Exporter les données d'activité d'impression depuis la base de données SQL Pharos

Sur le serveur Pharos Blueprint, connectez-vous à la base de données SQL Pharos à l'aide de SQL Server Management Studio ou d'un outil de ligne de commande.
Exportez les enregistrements d'activité d'impression à l'aide d'une requête SQL :
```
sqlcmd -S <sql_server> -d Pharos -Q "SELECT * FROM PrintJobLog WHERE JobDate >= DATEADD(day, -1, GETDATE())" -o "C:\Pharos\Exports\pharos_print_jobs.csv" -s "," -W
```
Remarque : Remplacez <sql_server> par le nom d'hôte de votre serveur SQL. Ajustez les noms de requête et de table en fonction du schéma de votre base de données Pharos.
Programmez l'exécution de cette commande à intervalles réguliers (par exemple, toutes les heures) à l'aide du Planificateur de tâches Windows afin que l'agent Bindplane récupère en continu les nouveaux fichiers d'exportation.

Autre solution : exporter des rapports depuis la console d'administration Blueprint

Ouvrez la console Pharos Blueprint Administrator.
Accédez à Insights > Rapports.
Sélectionnez le type de rapport souhaité (par exemple, "Activité d'impression", "Activité de l'utilisateur" ou "Activité de l'appareil").
Configurez la plage de dates et les filtres.
Exportez le rapport au format CSV dans le répertoire d'exportation (par exemple, "C:\Pharos\Exports").

Remarque : Les clients Pharos Cloud peuvent accéder aux données d'activité d'impression dans le tableau de bord Pharos Cloud, sous Insights > Rapports, et télécharger les rapports pour la période souhaitée.

Table de mappage UDM

Champ de journal	Mappage UDM	Logique
msg.Building, msg.DataSource, msg.FactSubType, msg.FactType, msg.JobId, msg.JobName, msg.JobTimeutc, msg.PostalCode, msg.VpnConnected, mtd.customer, mtd.slt.node, mtd.slt.pipeline, mtd.source.database, mtd.timestamp.producer_process	additional.fields	Fusionné avec Building_label si msg.Building n'est pas vide, datasource_label si msg.DataSource n'est pas vide, factsubtype_label si msg.FactSubType n'est pas vide, facttype_label si msg.FactType n'est pas vide, jobid_label si msg.JobId n'est pas vide, jobname_label si msg.JobName n'est pas vide, jobtimeutc_label si msg.JobTimeutc n'est pas vide, postalcode_label si msg.PostalCode n'est pas dans ["", "Unknown"], vpnconnected_label si msg.VpnConnected n'est pas vide, customer_label si mtd.customer n'est pas vide, node_label si mtd.slt.node n'est pas vide, pipeline_label si mtd.slt.pipeline n'est pas vide, database_label si mtd.source.database n'est pas vide, producer_process_label si mtd.timestamp.producer_process n'est pas vide
	metadata.event_type	Défini sur "STATUS_UPDATE" si has_principal est défini sur "true", sinon sur "GENERIC_EVENT"
msg.Application	principal.application	Valeur copiée directement si elle n'est pas vide
msg.HostName	principal.asset.hostname	Valeur copiée directement si elle n'est pas vide
msg.IPAddress	principal.asset.ip	Valeur copiée directement si elle n'est pas dans ["", "Unknown"]
msg.City	principal.location.city	Valeur copiée directement si elle n'est pas dans ["", "Unknown"]
msg.Country	principal.location.country_or_region	Valeur copiée directement si elle n'est pas dans ["", "Unknown"]
msg.State	principal.location.state	Valeur copiée directement si elle n'est pas dans ["", "Unknown"]
msg.HostName	principal.hostname	Valeur copiée directement si elle n'est pas vide
msg.IPAddress	principal.ip	Valeur copiée directement si elle n'est pas dans ["", "Unknown"]
msg.UserDisplayName	principal.user.user_display_name	Valeur copiée directement si elle n'est pas vide
mtd.source.host	src.hostname	Valeur copiée directement si elle n'est pas vide
mtd.source.port	src.port	Valeur copiée directement si elle n'est pas dans ["", "n/a"]
mtd.source.type	src.resource.attribute.labels	Fusionné avec sourcetype_label s'il n'est pas vide
	metadata.product_name	Défini sur "PHAROS"
	metadata.vendor_name	Défini sur "PHAROS"

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.