Logs der Ribbon Analytics Platform erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Logs der Ribbon Analytics Platform mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Die Ribbon Analytics Platform ist eine Plattform für Netzwerkanalysen und Session Border Controller zur Überwachung von Sprach- und Datenkommunikation. Es werden Syslog-Nachrichten für Anrufdetaildatensätze, Sitzungsereignisse und Informationen zum Systemstatus generiert.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Netzwerkverbindung zwischen dem Bindplane-Agent und der Ribbon Analytics-Plattform
• Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Berechtigter Zugriff auf die Verwaltungsoberfläche der Ribbon Analytics Platform

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.

4. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

   Hinweis :Diese JSON-Datei enthält Anmeldedaten für die Authentifizierung des Bindplane-Agents bei Google SecOps.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profile auf.

3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

   Hinweis :Die Kunden-ID ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

   Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

   Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agent.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/ribbon_analytics:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: RIBBON_ANALYTICS_PLATFORM
          raw_log_field: body
  
  service:
      pipelines:
          logs/ribbon_analytics_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/ribbon_analytics
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration:

  • listen_address: IP-Adresse und Port, auf die gewartet werden soll:
    • 0.0.0.0, um auf allen Schnittstellen zuzuhören (empfohlen)
    • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

• Exporter-Konfiguration:

  • creds_file_path: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: Die Kundennummer, die aus der Google SecOps Console kopiert wurde
  • endpoint: Regionale Endpunkt-URL:
    • USA: malachiteingestion-pa.googleapis.com
    • Europa: europe-malachiteingestion-pa.googleapis.com
    • Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Eine vollständige Liste finden Sie unter Regionale Endpunkte.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

  sudo systemctl restart observiq-otel-collector
  

  1. Prüfen Sie, ob der Dienst ausgeführt wird:

     sudo systemctl status observiq-otel-collector
     

  2. Logs auf Fehler prüfen:

     sudo journalctl -u observiq-otel-collector -f
     

• Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Dienstkonsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.
    3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

       sc query observiq-otel-collector
       

    5. Logs auf Fehler prüfen:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Syslog-Weiterleitung für die Ribbon Analytics Platform konfigurieren

1. Melden Sie sich in der Ribbon-Verwaltungsoberfläche an.
2. Gehen Sie zu Einstellungen > Remote-Log-Server.
3. Fügen Sie einen neuen Remote-Log-Server mit der folgenden Konfiguration hinzu:
   • Host: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
   • Port: Geben Sie 514 ein.
   • Protokoll: Wählen Sie UDP aus.
4. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
type_name	about	Zugeordnet: SYSCALL → about
type_syscall_props.AUID	about.user.user_display_name	Direkt zugeordnet
type_syscall_props.auid	about.user.userid	Direkt zugeordnet
additional_delay_data	additional.fields	Zusammengeführt
additional_delays_data	additional.fields	Zusammengeführt
additional_dns_data	additional.fields	Zusammengeführt
additional_field	additional.fields	Zusammengeführt
additional_relay_data	additional.fields	Zusammengeführt
auth_realm_field	additional.fields	Zusammengeführt
log_details_label	additional.fields	Zusammengeführt
_mechanism	extensions.auth.mechanism	Zusammengeführt
audit_message	extensions.auth.type	Zugeordnet: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
msg2	extensions.auth.type	Zugeordnet: login failure → MACHINE
type_name	extensions.auth.type	Zugeordnet: USER_LOGIN → MACHINE, `"LOGIN", "USER_START", "USER_AUTH", "CRED_ACQ", "CRED_REF...
dvc	intermediary.hostname	Direkt zugeordnet
dvc	intermediary.ip	Zusammengeführt
description	metadata.description	Direkt zugeordnet
error_message	metadata.description	Direkt zugeordnet
msg2	metadata.description	Direkt zugeordnet
event_timestamp	metadata.event_timestamp	Als UNIX geparst
timestamp	metadata.event_timestamp	Als MMM d HH:mm:ss geparst
event_type	metadata.event_type	Zugeordnet: GENERIC_EVENT → STATUS_UPDATE
has_principal	metadata.event_type	Zugeordnet: true → STATUS_UPDATE
msg2	metadata.event_type	Zugeordnet: HTTP → NETWORK_HTTP, login failure → USER_LOGIN
target_user_present	metadata.event_type	Zugeordnet: true → USER_UNCATEGORIZED
type_name	metadata.event_type	Zugeordnet: SYSCALL → USER_UNCATEGORIZED
applica	metadata.product_event_type	Direkt zugeordnet
audit_message	metadata.product_event_type	Zugeordnete Werte (insgesamt 6, z.B. pam_krb5.*authentication fails for → PAM_KRB5_AUTH_ERROR, `...
eventType	metadata.product_event_type	Direkt zugeordnet
p_event_type	metadata.product_event_type	Direkt zugeordnet
type	metadata.product_event_type	Direkt zugeordnet
type_name	metadata.product_event_type	Direkt zugeordnet
jsonPayload._AUDIT_ID	metadata.product_log_id	Direkt zugeordnet
product_log_id	metadata.product_log_id	Direkt zugeordnet
audit_message	network.application_protocol	Zugeordnet: type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → SSH
auth	network.application_protocol	Zugeordnet: ssh → SSH
message	network.application_protocol	Zugeordnet: ssh/ssh2 → SSH
tty	network.application_protocol	Zugeordnet: ssh → SSH
audit_message	network.direction	Zugeordnet: type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → OUTBOUND, `type=(CRYPTO_SESSION/CRYPTO_K...
mailid	network.email.mail_id	Direkt zugeordnet
to_email	network.email.to	Zugeordnet: ^.+@.+$ → to_email
response_code	network.http.response_code	Direkt zugeordnet
audit_message	network.ip_protocol	Zugeordnet: type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → TCP
bytes_sent	network.sent_bytes	Direkt zugeordnet
type_crypto_props.ksize	network.sent_bytes	Umbenannt/zugeordnet
jsonPayload._AUDIT_SESSION	network.session_id	Direkt zugeordnet
sessionid	network.session_id	Direkt zugeordnet
type_anom_props.ses	network.session_id	Umbenannt/zugeordnet
type_syscall_props.ses	network.session_id	Direkt zugeordnet
type_crypto_props.cipher	network.tls.cipher	Direkt zugeordnet
type_crypto_props.pfs	network.tls.curve	Direkt zugeordnet
applica	principal.application	Direkt zugeordnet
jsonPayload._COMM	principal.application	Direkt zugeordnet
type_anom_props.comm	principal.application	Direkt zugeordnet
type_syscall_props.comm	principal.application	Direkt zugeordnet
type_syscall_props.terminal	principal.application	Direkt zugeordnet
%{rhost}	principal.asset.hostname	Zusammengeführt
rhost	principal.asset.hostname	Wird zugeordnet, wenn kvdata != ``
princi_ip	principal.asset.ip	Zusammengeführt
rhost	principal.asset.ip	Zusammengeführt
srcIp	principal.asset.ip	Zugeordnet: `^(?:(25[0-5]/2[0-4][0-9]/1[0-9]{2}/[1-9]?[0-9]).){3}(25[0-5]/2[0-4][0-9]/1[0-9]{2}...
%{rhost}	principal.hostname	Zusammengeführt
jsonPayload._HOSTNAME	principal.hostname	Direkt zugeordnet
principal_hostname	principal.hostname	Direkt zugeordnet
rhost	principal.hostname	Wird zugeordnet, wenn kvdata != ``
audit_message	principal.ip	Zugeordnet: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
prin_ip	principal.ip	Zusammengeführt
princi_ip	principal.ip	Zusammengeführt
rhost	principal.ip	Zusammengeführt
srcIp	principal.ip	Zugeordnet: `^(?:(25[0-5]/2[0-4][0-9]/1[0-9]{2}/[1-9]?[0-9]).){3}(25[0-5]/2[0-4][0-9]/1[0-9]{2}...
type_crypto_props.laddr	principal.ip	Zusammengeführt
srcPort	principal.port	Umbenannt/zugeordnet
type_crypto_props.lport	principal.port	Umbenannt/zugeordnet
auth	principal.process.command_line	Direkt zugeordnet
proctitle_value	principal.process.command_line	Direkt zugeordnet
type_syscall_props.cmd	principal.process.command_line	Direkt zugeordnet
event.idm.read_only_udm.target.process.file.full_path	principal.process.file.full_path	Direkt zugeordnet
proctitle_value	principal.process.file.full_path	Direkt zugeordnet
audit_message	principal.process.file.names	Zugeordnet: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
filename	principal.process.file.names	Zusammengeführt
jsonPayload._PPID	principal.process.parent_process.pid	Direkt zugeordnet
type_syscall_props.ppid	principal.process.parent_process.pid	Direkt zugeordnet
jsonPayload._PID	principal.process.pid	Direkt zugeordnet
pi	principal.process.pid	Direkt zugeordnet
process_pid	principal.process.pid	Direkt zugeordnet
type_crypto_props.spid	principal.process.pid	Direkt zugeordnet
type_syscall_props.pid	principal.process.pid	Direkt zugeordnet
email	principal.user.email_addresses	Zugeordnet: ^.+@.+$ → email
user_name	principal.user.email_addresses	Zugeordnet: ^.+@.+$ → user_name
type_syscall_props.UID	principal.user.user_display_name	Direkt zugeordnet
type_syscall_props.acct	principal.user.user_display_name	Direkt zugeordnet
jsonPayload._AUDIT_FIELD_SUID	principal.user.userid	Direkt zugeordnet
principal_user_userid	principal.user.userid	Direkt zugeordnet
ruser	principal.user.userid	Direkt zugeordnet
type_crypto_props.suid	principal.user.userid	Direkt zugeordnet
user_name	principal.user.userid	Direkt zugeordnet
usr	principal.user.userid	Direkt zugeordnet
a0_label	security_result.about.labels	Zusammengeführt
a1_label	security_result.about.labels	Zusammengeführt
a2_label	security_result.about.labels	Zusammengeführt
a3_label	security_result.about.labels	Zusammengeführt
audit_message	security_result.about.labels	Zugeordnete Werte (insgesamt 7, z.B. `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CH...
exit_label	security_result.about.labels	Zusammengeführt
syscall_label	security_result.about.labels	Zusammengeführt
tty_label	security_result.about.labels	Zusammengeführt
jsonPayload._AUDIT_FIELD_ARCH	security_result.about.platform_version	Direkt zugeordnet
type_syscall_props.arch	security_result.about.platform_version	Direkt zugeordnet
type_syscall_props.key	security_result.about.registry.registry_key	Direkt zugeordnet
product_log_id	security_result.about.registry.registry_value_data	Direkt zugeordnet
action	security_result.action	Zusammengeführt
action_data	security_result.action	Zugeordnet: „authentication failure“, „Authentication failure“, „Failed password“, „Connection ...
audit_message	security_result.action	Zugeordnet: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
security_action	security_result.action	Zusammengeführt
action_data	security_result.action_details	Direkt zugeordnet
auth	security_result.action_details	Zugeordnet: sshd → FAILURE
status	security_result.action_details	Direkt zugeordnet
type_crypto_props.res	security_result.action_details	Umbenannt/zugeordnet
type_syscall_props.res	security_result.action_details	Direkt zugeordnet
a0_label	security_result.detection_fields	Zusammengeführt
a1_label	security_result.detection_fields	Zusammengeführt
a2_label	security_result.detection_fields	Zusammengeführt
a3_label	security_result.detection_fields	Zusammengeführt
audit_message	security_result.detection_fields	Zugeordnet: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
auid_field	security_result.detection_fields	Zusammengeführt
auth	security_result.detection_fields	Zugeordnet: sshd → authentication_protocol_field, sshd → authentication_mechanism_field,...
authentication_mechanism_field	security_result.detection_fields	Zusammengeführt
authentication_protocol_field	security_result.detection_fields	Zusammengeführt
bootid_label	security_result.detection_fields	Zusammengeführt
connection_state_field	security_result.detection_fields	Zusammengeführt
cwd_field	security_result.detection_fields	Zusammengeführt
exit_label	security_result.detection_fields	Zusammengeführt
jsonPayload._AUDIT_TYPE_NAME	security_result.rule_id	Direkt zugeordnet
type_name	security_result.rule_id	Direkt zugeordnet
msg_desc	security_result.summary	Direkt zugeordnet
secsummary	security_result.summary	Direkt zugeordnet
type_anom_props.reason	security_result.summary	Direkt zugeordnet
type_syscall_props.op	security_result.summary	Direkt zugeordnet
type_syscall_props.res	security_result.summary	Direkt zugeordnet
type_syscall_props.success	security_result.summary	Direkt zugeordnet
type_path1_props.name	src.file.full_path	Umbenannt/zugeordnet
type_crypto_props.terminal	target.application	Umbenannt/zugeordnet
target_hostname	target.asset.hostname	Direkt zugeordnet
type_crypto_props.hostname	target.asset.hostname	Direkt zugeordnet
dst_ip	target.asset.ip	Zusammengeführt
resource.labels.project_id	target.cloud.project.name	Direkt zugeordnet
filepath	target.file.full_path	Direkt zugeordnet
jsonPayload._AUDIT_FIELD_FILE	target.file.full_path	Direkt zugeordnet
target_file_full_path	target.file.full_path	Direkt zugeordnet
jsonPayload._AUDIT_FIELD_HASH	target.file.sha256	Direkt zugeordnet
target_hostname	target.hostname	Direkt zugeordnet
type_crypto_props.hostname	target.hostname	Direkt zugeordnet
audit_message	target.ip	Zugeordnet: type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → tar_ip
dst_ip	target.ip	Zusammengeführt
tar_ip	target.ip	Zusammengeführt
resource.labels.location	target.location.name	Direkt zugeordnet
dst_port	target.port	Direkt zugeordnet
target_port	target.port	Direkt zugeordnet
type_crypto_props.rport	target.port	Umbenannt/zugeordnet
args	target.process.command_line	Umbenannt/zugeordnet
cmnd	target.process.command_line	Direkt zugeordnet
command_line	target.process.command_line	Direkt zugeordnet
cwd	target.process.file.full_path	Direkt zugeordnet
jsonPayload._EXE	target.process.file.full_path	Direkt zugeordnet
proctitle_value	target.process.file.full_path	Direkt zugeordnet
type_anom_props.exe	target.process.file.full_path	Umbenannt/zugeordnet
type_crypto_props.exe	target.process.file.full_path	Umbenannt/zugeordnet
type_syscall_props.exe	target.process.file.full_path	Direkt zugeordnet
type_anom_props.pid	target.process.pid	Umbenannt/zugeordnet
type_crypto_props.pid	target.process.pid	Umbenannt/zugeordnet
resource.labels.cluster_name	target.resource.name	Direkt zugeordnet
audit_message	target.resource.type	Zugeordnet: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
type_name	target.resource.type	Zugeordnet: "USER_ACCT", "USER_ROLE_CHANGE","USER_MGMT" → SETTING
target_email	target.user.email_addresses	Zugeordnet: ^.+@.+$ → target_email
type_syscall_props.ID	target.user.user_display_name	Direkt zugeordnet
type_syscall_props.acct	target.user.user_display_name	Direkt zugeordnet
event.idm.read_only_udm.principal.user.userid	target.user.userid	Umbenannt/zugeordnet
jsonPayload._UID	target.user.userid	Direkt zugeordnet
type_crypto_props.uid	target.user.userid	Direkt zugeordnet
type_syscall_props.acct	target.user.userid	Direkt zugeordnet
type_syscall_props.id	target.user.userid	Direkt zugeordnet
type_syscall_props.uid	target.user.userid	Direkt zugeordnet
user_name	target.user.userid	Direkt zugeordnet
username	target.user.userid	Direkt zugeordnet
–	extensions.auth.type	Konstante: AUTHTYPE_UNSPECIFIED
–	metadata.event_type	Konstante: STATUS_UPDATE
–	metadata.product_event_type	Konstante: PAM_KRB5_AUTH_ERROR
–	metadata.product_name	Konstante: AuditD
–	metadata.vendor_name	Konstante: Linux
–	network.application_protocol	Konstante: SSH
–	network.direction	Konstante: OUTBOUND
–	network.ip_protocol	Konstante: TCP
–	principal.platform	Konstante: LINUX
–	principal.user.userid	Konstante: event.idm.read_only_udm.target.user.userid
–	security_result.action_details	Konstante: FAILURE
–	target.resource.type	Konstante: SETTING

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten