Raccogliere i log di Pharos

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di Pharos in Google Security Operations utilizzando Bindplane.

Pharos è una piattaforma di gestione della stampa on-premise per il monitoraggio, il controllo e l'audit delle attività di stampa negli ambienti aziendali. Pharos Blueprint Enterprise archivia i dati dei processi di stampa, l'attività utente e gli eventi dei dispositivi in un database SQL Server.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Windows Server 2016 o versioni successive
• Connettività di rete tra l'agente Bindplane e il server Pharos Blueprint
• Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
• Accesso amministrativo al server Pharos Blueprint
• Accesso al database SQL Server Pharos o alla console di generazione report dell'amministratore di Blueprint

Recuperare il file di autenticazione dell'importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.

3. Scarica il file di autenticazione dell'acquisizione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

   Nota :questo file JSON contiene le credenziali per l'autenticazione dell'agente Bindplane in Google SecOps.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.

3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

   Nota: l'ID cliente è necessario per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows seguendo queste istruzioni.

Installazione di Windows

1. Apri Prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare i log e inviarli a Google SecOps

• Individua il file di configurazione

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

• Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

  receivers:
      filelog:
          include:
              - 'C:\Pharos\Exports\*.csv'
          start_at: beginning
          poll_interval: 5s
  
  exporters:
      chronicle/pharos:
          compression: gzip
          creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: PHAROS
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/pharos_to_chronicle:
              receivers:
                  - filelog
              exporters:
                  - chronicle/pharos
  

Parametri di configurazione

Sostituisci i seguenti segnaposto:

• Configurazione del destinatario:

  • include: Percorsi dei file di esportazione di Pharos:
    • Windows: C:\Pharos\Exports\*.csv
    • Modifica il percorso in base alla posizione in cui esporti i report sull'attività di stampa di Pharos
  • start_at: impostalo su beginning per leggere i log esistenti o su end per leggere solo le nuove voci
  • poll_interval: La frequenza con cui controllare la presenza di nuovi dati di log (valore predefinito: 5s)

• Configurazione dell'esportatore:

  • pharos: Nome descrittivo per l'esportatore
  • creds_file_path: Percorso completo del file di autenticazione dell'acquisizione:
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <customer_id>: l'ID cliente del passaggio precedente
  • endpoint: URL dell'endpoint regionale:
    • Stati Uniti: malachiteingestion-pa.googleapis.com
    • Europa: europe-malachiteingestion-pa.googleapis.com
    • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Per l'elenco completo, consulta Endpoint regionali.
  • PHAROS: Tipo di log esattamente come appare in Chronicle
  • ingestion_labels: Etichette facoltative in formato YAML (ad esempio, env: production)

• Configurazione della pipeline:

  • pharos_to_chronicle: Nome descrittivo della pipeline

Salva il file di configurazione

• Dopo la modifica, salva il file:
  • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Windows:

1. Scegli una delle seguenti opzioni:

   • Prompt dei comandi o PowerShell come amministratore:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Console dei servizi:
     1. Premi Win+R, digita services.msc e premi Invio.
     2. Individua observIQ OpenTelemetry Collector.
     3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

2. Verifica che il servizio sia in esecuzione:

   sc query observiq-otel-collector
   

3. Controlla i log per individuare eventuali errori:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Esportare i log delle attività di stampa Pharos

Pharos Blueprint Enterprise archivia i dati dei processi di stampa in un database SQL Server. Devi esportare i dati in file CSV che l'agente Bindplane può leggere.

Esportare i dati sull'attività di stampa dal database SQL di Pharos

1. Sul server Pharos Blueprint, connettiti al database SQL Pharos utilizzando SQL Server Management Studio o uno strumento a riga di comando.

2. Esporta i record delle attività di stampa utilizzando una query SQL:

   sqlcmd -S <sql_server> -d Pharos -Q "SELECT * FROM PrintJobLog WHERE JobDate >= DATEADD(day, -1, GETDATE())" -o "C:\Pharos\Exports\pharos_print_jobs.csv" -s "," -W
   

   Nota: sostituisci <sql_server> con il nome host di SQL Server. Modifica i nomi delle query e delle tabelle in base allo schema del database Pharos.

3. Pianifica l'esecuzione di questo comando a intervalli regolari (ad esempio, ogni ora) utilizzando Utilità di pianificazione di Windows in modo che l'agente Bindplane prelevi continuamente nuovi file di esportazione.

Alternativa: esporta i report dalla console di amministrazione di Blueprint

1. Apri la console Pharos Blueprint Administrator.
2. Vai ad Approfondimenti > Report.
3. Seleziona il tipo di report che ti interessa (ad esempio, Attività di stampa, Attività utente, Attività dispositivo).
4. Configura l'intervallo di date e i filtri.

5. Esporta il report come file CSV nella directory di esportazione (ad esempio, `C:\Pharos\Exports`).

   Nota :i clienti di Pharos Cloud possono accedere ai dati sull'attività di stampa tramite la dashboard di Pharos Cloud in Approfondimenti > Report e scaricare i report per il periodo di tempo desiderato.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
msg.Building, msg.DataSource, msg.FactSubType, msg.FactType, msg.JobId, msg.JobName, msg.JobTimeutc, msg.PostalCode, msg.VpnConnected, mtd.customer, mtd.slt.node, mtd.slt.pipeline, mtd.source.database, mtd.timestamp.producer_process	additional.fields	Unito a Building_label se msg.Building non è vuoto, datasource_label se msg.DataSource non è vuoto, factsubtype_label se msg.FactSubType non è vuoto, facttype_label se msg.FactType non è vuoto, jobid_label se msg.JobId non è vuoto, jobname_label se msg.JobName non è vuoto, jobtimeutc_label se msg.JobTimeutc non è vuoto, postalcode_label se msg.PostalCode non è in ["", "Unknown"], vpnconnected_label se msg.VpnConnected non è vuoto, customer_label se mtd.customer non è vuoto, node_label se mtd.slt.node non è vuoto, pipeline_label se mtd.slt.pipeline non è vuoto, database_label se mtd.source.database non è vuoto, producer_process_label se mtd.timestamp.producer_process non è vuoto
	metadata.event_type	Impostato su "STATUS_UPDATE" se has_principal è true, altrimenti "GENERIC_EVENT"
msg.Application	principal.application	Valore copiato direttamente se non è vuoto
msg.HostName	principal.asset.hostname	Valore copiato direttamente se non è vuoto
msg.IPAddress	principal.asset.ip	Valore copiato direttamente se non è in ["", "Sconosciuto"]
msg.City	principal.location.city	Valore copiato direttamente se non è in ["", "Sconosciuto"]
msg.Country	principal.location.country_or_region	Valore copiato direttamente se non è in ["", "Sconosciuto"]
msg.State	principal.location.state	Valore copiato direttamente se non è in ["", "Sconosciuto"]
msg.HostName	principal.hostname	Valore copiato direttamente se non è vuoto
msg.IPAddress	principal.ip	Valore copiato direttamente se non è in ["", "Sconosciuto"]
msg.UserDisplayName	principal.user.user_display_name	Valore copiato direttamente se non è vuoto
mtd.source.host	src.hostname	Valore copiato direttamente se non è vuoto
mtd.source.port	src.port	Valore copiato direttamente se non presente in ["", "n/a"]
mtd.source.type	src.resource.attribute.labels	Unito a sourcetype_label se non è vuoto
	metadata.product_name	Impostato su "PHAROS"
	metadata.vendor_name	Impostato su "PHAROS"

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.