Mengumpulkan log ReviveSec

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log ReviveSec ke Google Security Operations menggunakan agen Bindplane.

ReviveSec adalah platform analisis keamanan dari Revive Security Ltd (Israel) yang mengkhususkan diri dalam pemantauan kondisi firewall Check Point, deteksi kesalahan proaktif, dan pemantauan endpoint. Platform ini men-deploy agen ringan di mesin Windows dan Linux yang memantau proses, file, koneksi jaringan, DNS, dan perangkat USB.

Sebelum memulai

• Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps

• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd

• Konektivitas jaringan antara agen Bindplane dan server ReviveSec

• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane

• Akses istimewa ke portal ReviveSec dengan izin administrator

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download File Autentikasi Penyerapan.

4. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

   Catatan: File JSON ini berisi kredensial untuk mengautentikasi agen Bindplane ke Google SecOps.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Edit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
      filelog:
          include:
              - /path/to/revivesec/logs/*.json
              - /path/to/revivesec/logs/*.csv
          start_at: beginning
  
  exporters:
      chronicle/revivesec:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: REVIVESEC
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/revivesec_to_chronicle:
              receivers:
                  - filelog
              exporters:
                  - chronicle/revivesec
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • filelog: Jenis penerima untuk mengumpulkan file log dari disk
  • include: Daftar jalur file atau pola glob yang akan dipantau:
    • Sesuaikan jalur agar cocok dengan lokasi file log ReviveSec Anda
    • Gunakan pola glob (misalnya, *.json, *.csv) untuk mencocokkan beberapa file
  • start_at: Setel ke beginning untuk membaca file log yang ada dari awal, atau end untuk hanya membaca entri baru

• Konfigurasi pengekspor:

  • revivesec: Nama deskriptif untuk eksportir
  • creds_file_path: Jalur lengkap ke file autentikasi penyerapan:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <customer_id>: ID Pelanggan dari langkah sebelumnya
  • endpoint: URL endpoint regional:
    • Amerika Serikat: malachiteingestion-pa.googleapis.com
    • Eropa: europe-malachiteingestion-pa.googleapis.com
    • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Lihat Endpoint Regional untuk mengetahui daftar lengkapnya
  • REVIVESEC: Jenis log persis seperti yang muncul di Chronicle
  • ingestion_labels: Label opsional dalam format YAML (misalnya, env: production)

• Konfigurasi pipeline:

  • revivesec_to_chronicle: Nama deskriptif untuk pipeline

Simpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol layanan:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Mulai ulang.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengekspor log ReviveSec untuk pengumpulan

1. Login ke portal administrasi ReviveSec.
2. Buka bagian Analytics atau Laporan.
3. Pilih jenis laporan yang diinginkan (pemeriksaan kondisi, kepatuhan, aktivitas endpoint, atau analisis firewall).
4. Terapkan filter rentang tanggal sesuai kebutuhan.
5. Klik Ekspor, lalu pilih format output:
   • JSON: Direkomendasikan untuk penyerapan SIEM.
   • CSV: Format tabulasi untuk data terstruktur.
6. Simpan file yang diekspor ke direktori yang dipantau oleh agen BindPlane (misalnya, /path/to/revivesec/logs/).

7. (Opsional) Konfigurasi laporan terjadwal (harian, mingguan, atau bulanan) untuk mengekspor data secara otomatis ke direktori yang dipantau. Hubungi dukungan ReviveSec untuk mengetahui detail tentang opsi ekspor otomatis dan akses API.

   Catatan: Pastikan agen Bindplane memiliki akses baca ke direktori tempat file log ReviveSec disimpan.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
country_label	additional.fields	Digabung
hit_count_label	additional.fields	Digabung
linkInfo_label	additional.fields	Digabung
proxy_label	additional.fields	Digabung
signature_label	additional.fields	Digabung
signature_status_label	additional.fields	Digabung
svc_num_label	additional.fields	Digabung
desc	metadata.description	Dipetakan secara langsung
description	metadata.description	Dipetakan secara langsung
description_gateway	metadata.description	Dipetakan secara langsung
description_signature	metadata.description	Dipetakan secara langsung
has_principal	metadata.event_type	Dipetakan: true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_user	metadata.event_type	Dipetakan: true → USER_UNCATEGORIZED
product_event	metadata.product_event_type	Dipetakan secara langsung
domain	principal.asset.hostname	Dipetakan secara langsung
info_ip	principal.asset.ip	Digabung
ipadd	principal.asset.ip	Digabung
src_ip	principal.asset.ip	Digabung
domain	principal.hostname	Dipetakan secara langsung
info_ip	principal.ip	Digabung
ipadd	principal.ip	Digabung
src_ip	principal.ip	Digabung
country_name	principal.location.country_or_region	Dipetakan secara langsung
port	principal.port	Dipetakan secara langsung
link_url	principal.url	Dipetakan secara langsung
display_name	principal.user.user_display_name	Dipetakan secara langsung
username	principal.user.userid	Dipetakan secara langsung
domain_name	target.asset.hostname	Dipetakan secara langsung
ipadd	target.asset.ip	Digabung
domain_name	target.hostname	Dipetakan secara langsung
ipadd	target.ip	Digabung
T/A	metadata.event_type	Konstanta: NETWORK_CONNECTION
T/A	metadata.product_name	Konstanta: REVIVESEC
T/A	metadata.vendor_name	Konstanta: REVIVESEC

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.