리본 분석 플랫폼 로그 수집
다음에서 지원:
Google SecOps
SIEM
이 문서에서는 Bindplane 에이전트를 사용하여 Ribbon Analytics Platform 로그를 Google Security Operations로 수집하는 방법을 설명합니다.
Ribbon Analytics Platform은 음성 및 데이터 통신 모니터링을 위한 네트워크 분석 및 세션 경계 컨트롤러 플랫폼입니다. 통화 세부정보 레코드, 세션 이벤트, 시스템 상태 정보에 대한 syslog 메시지를 생성합니다.
시작하기 전에
다음 기본 요건이 충족되었는지 확인합니다.
- Google SecOps 인스턴스
- Windows Server 2016 이상 또는
systemd가 설치된 Linux 호스트 - Bindplane 에이전트와 Ribbon Analytics Platform 간의 네트워크 연결
- 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
- 리본 분석 플랫폼 관리 인터페이스에 대한 권한이 있는 액세스
Google SecOps 수집 인증 파일 가져오기
- Google SecOps 콘솔에 로그인합니다.
- SIEM 설정 > 수집 에이전트로 이동합니다.
- 데이터 수집 인증 파일을 다운로드합니다.
Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.
Google SecOps 고객 ID 가져오기
- Google SecOps 콘솔에 로그인합니다.
- SIEM 설정 > 프로필로 이동합니다.
조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.
Bindplane 에이전트 설치
다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.
Windows 설치
- 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.
다음 명령어를 실행합니다.
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet설치가 완료될 때까지 기다립니다.
다음을 실행하여 설치를 확인합니다.
sc query observiq-otel-collector서비스가 실행 중으로 표시되어야 합니다.
Linux 설치
- 루트 또는 sudo 권한으로 터미널을 엽니다.
다음 명령어를 실행합니다.
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh설치가 완료될 때까지 기다립니다.
다음을 실행하여 설치를 확인합니다.
sudo systemctl status observiq-otel-collector서비스가 활성 (실행 중)으로 표시되어야 합니다.
추가 설치 리소스
추가 설치 옵션 및 문제 해결은 Bindplane 에이전트 설치 가이드를 참고하세요.
syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성
구성 파일 찾기
Linux:
sudo nano /opt/observiq-otel-collector/config.yamlWindows:
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
구성 파일 설정
config.yaml의 전체 콘텐츠를 다음 구성으로 바꿉니다.receivers: udplog: listen_address: "0.0.0.0:514" exporters: chronicle/ribbon_analytics: compression: gzip creds_file_path: '/etc/bindplane-agent/ingestion-auth.json' customer_id: '<customer_id>' endpoint: malachiteingestion-pa.googleapis.com log_type: RIBBON_ANALYTICS_PLATFORM raw_log_field: body service: pipelines: logs/ribbon_analytics_to_chronicle: receivers: - udplog exporters: - chronicle/ribbon_analytics
구성 매개변수
다음 자리표시자를 바꿉니다.
수신기 구성:
listen_address: 리슨할 IP 주소 및 포트입니다.0.0.0.0: 모든 인터페이스에서 수신 대기 (권장)- 포트
514는 표준 syslog 포트입니다 (Linux에서 루트 필요, 루트가 아닌 경우1514사용).
내보내기 도구 구성:
creds_file_path: 수집 인증 파일의 전체 경로입니다.- Linux:
/etc/bindplane-agent/ingestion-auth.json - Windows:
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux:
customer_id: Google SecOps 콘솔에서 복사한 고객 IDendpoint: 지역 엔드포인트 URL:- 미국:
malachiteingestion-pa.googleapis.com - 유럽:
europe-malachiteingestion-pa.googleapis.com - 아시아:
asia-southeast1-malachiteingestion-pa.googleapis.com - 전체 목록은 리전 엔드포인트를 참고하세요.
- 미국:
구성 파일 저장
- 수정 후 파일을 저장합니다.
- Linux:
Ctrl+O,Enter,Ctrl+X순으로 누릅니다. - Windows: 파일 > 저장을 클릭합니다.
- Linux:
변경사항을 적용하려면 Bindplane 에이전트를 다시 시작하세요.
Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.
sudo systemctl restart observiq-otel-collector서비스가 실행 중인지 확인합니다.
sudo systemctl status observiq-otel-collector로그에서 오류를 확인합니다.
sudo journalctl -u observiq-otel-collector -f
Windows에서 Bindplane 에이전트를 다시 시작하려면 다음 옵션 중 하나를 선택하세요.
관리자 권한으로 명령 프롬프트 또는 PowerShell:
net stop observiq-otel-collector && net start observiq-otel-collector서비스 콘솔:
Win+R키를 누르고services.msc를 입력한 다음 Enter 키를 누릅니다.- observIQ OpenTelemetry Collector를 찾습니다.
- 마우스 오른쪽 버튼을 클릭하고 다시 시작을 선택합니다.
서비스가 실행 중인지 확인합니다.
sc query observiq-otel-collector로그에서 오류를 확인합니다.
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
리본 분석 플랫폼 syslog 전달 구성
- Ribbon 관리 인터페이스에 로그인합니다.
- 설정 > 원격 로그 서버로 이동합니다.
- 다음 구성으로 새 원격 로그 서버를 추가합니다.
- 호스트: Bindplane 에이전트 호스트의 IP 주소를 입력합니다.
- 포트:
514를 입력합니다. - 프로토콜: UDP를 선택합니다.
- 저장을 클릭합니다.
UDM 매핑 테이블
| 로그 필드 | UDM 매핑 | 로직 |
|---|---|---|
type_name |
about |
매핑됨: SYSCALL → about |
type_syscall_props.AUID |
about.user.user_display_name |
직접 매핑됨 |
type_syscall_props.auid |
about.user.userid |
직접 매핑됨 |
additional_delay_data |
additional.fields |
병합됨 |
additional_delays_data |
additional.fields |
병합됨 |
additional_dns_data |
additional.fields |
병합됨 |
additional_field |
additional.fields |
병합됨 |
additional_relay_data |
additional.fields |
병합됨 |
auth_realm_field |
additional.fields |
병합됨 |
log_details_label |
additional.fields |
병합됨 |
_mechanism |
extensions.auth.mechanism |
병합됨 |
audit_message |
extensions.auth.type |
매핑됨: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER… |
msg2 |
extensions.auth.type |
매핑됨: login failure → MACHINE |
type_name |
extensions.auth.type |
매핑됨: USER_LOGIN → MACHINE, `"LOGIN", "USER_START", "USER_AUTH", "CRED_ACQ", "CRED_REF… |
dvc |
intermediary.hostname |
직접 매핑됨 |
dvc |
intermediary.ip |
병합됨 |
description |
metadata.description |
직접 매핑됨 |
error_message |
metadata.description |
직접 매핑됨 |
msg2 |
metadata.description |
직접 매핑됨 |
event_timestamp |
metadata.event_timestamp |
UNIX로 파싱됨 |
timestamp |
metadata.event_timestamp |
MMM d HH:mm:ss로 파싱됨 |
event_type |
metadata.event_type |
매핑됨: GENERIC_EVENT → STATUS_UPDATE |
has_principal |
metadata.event_type |
매핑됨: true → STATUS_UPDATE |
msg2 |
metadata.event_type |
매핑됨: HTTP → NETWORK_HTTP, login failure → USER_LOGIN |
target_user_present |
metadata.event_type |
매핑됨: true → USER_UNCATEGORIZED |
type_name |
metadata.event_type |
매핑됨: SYSCALL → USER_UNCATEGORIZED |
applica |
metadata.product_event_type |
직접 매핑됨 |
audit_message |
metadata.product_event_type |
매핑된 값 (총 6개, 예: pam_krb5.*authentication fails for → PAM_KRB5_AUTH_ERROR, `… |
eventType |
metadata.product_event_type |
직접 매핑됨 |
p_event_type |
metadata.product_event_type |
직접 매핑됨 |
type |
metadata.product_event_type |
직접 매핑됨 |
type_name |
metadata.product_event_type |
직접 매핑됨 |
jsonPayload._AUDIT_ID |
metadata.product_log_id |
직접 매핑됨 |
product_log_id |
metadata.product_log_id |
직접 매핑됨 |
audit_message |
network.application_protocol |
매핑됨: type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → SSH |
auth |
network.application_protocol |
매핑됨: ssh → SSH |
message |
network.application_protocol |
매핑됨: ssh/ssh2 → SSH |
tty |
network.application_protocol |
매핑됨: ssh → SSH |
audit_message |
network.direction |
매핑됨: type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → OUTBOUND, `type=(CRYPTO_SESSION/CRYPTO_K… |
mailid |
network.email.mail_id |
직접 매핑됨 |
to_email |
network.email.to |
매핑됨: ^.+@.+$ → to_email |
response_code |
network.http.response_code |
직접 매핑됨 |
audit_message |
network.ip_protocol |
매핑됨: type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → TCP |
bytes_sent |
network.sent_bytes |
직접 매핑됨 |
type_crypto_props.ksize |
network.sent_bytes |
이름이 변경됨/매핑됨 |
jsonPayload._AUDIT_SESSION |
network.session_id |
직접 매핑됨 |
sessionid |
network.session_id |
직접 매핑됨 |
type_anom_props.ses |
network.session_id |
이름이 변경됨/매핑됨 |
type_syscall_props.ses |
network.session_id |
직접 매핑됨 |
type_crypto_props.cipher |
network.tls.cipher |
직접 매핑됨 |
type_crypto_props.pfs |
network.tls.curve |
직접 매핑됨 |
applica |
principal.application |
직접 매핑됨 |
jsonPayload._COMM |
principal.application |
직접 매핑됨 |
type_anom_props.comm |
principal.application |
직접 매핑됨 |
type_syscall_props.comm |
principal.application |
직접 매핑됨 |
type_syscall_props.terminal |
principal.application |
직접 매핑됨 |
%{rhost} |
principal.asset.hostname |
병합됨 |
rhost |
principal.asset.hostname |
kvdata != ``인 경우 매핑됨 |
princi_ip |
principal.asset.ip |
병합됨 |
rhost |
principal.asset.ip |
병합됨 |
srcIp |
principal.asset.ip |
매핑됨: `^(?:(25[0-5]/2[0-4][0-9]/1[0-9]{2}/[1-9]?[0-9]).){3}(25[0-5]/2[0-4][0-9]/1[0-9]{2}… |
%{rhost} |
principal.hostname |
병합됨 |
jsonPayload._HOSTNAME |
principal.hostname |
직접 매핑됨 |
principal_hostname |
principal.hostname |
직접 매핑됨 |
rhost |
principal.hostname |
kvdata != ``인 경우 매핑됨 |
audit_message |
principal.ip |
매핑됨: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER… |
prin_ip |
principal.ip |
병합됨 |
princi_ip |
principal.ip |
병합됨 |
rhost |
principal.ip |
병합됨 |
srcIp |
principal.ip |
매핑됨: `^(?:(25[0-5]/2[0-4][0-9]/1[0-9]{2}/[1-9]?[0-9]).){3}(25[0-5]/2[0-4][0-9]/1[0-9]{2}… |
type_crypto_props.laddr |
principal.ip |
병합됨 |
srcPort |
principal.port |
이름이 변경됨/매핑됨 |
type_crypto_props.lport |
principal.port |
이름이 변경됨/매핑됨 |
auth |
principal.process.command_line |
직접 매핑됨 |
proctitle_value |
principal.process.command_line |
직접 매핑됨 |
type_syscall_props.cmd |
principal.process.command_line |
직접 매핑됨 |
event.idm.read_only_udm.target.process.file.full_path |
principal.process.file.full_path |
직접 매핑됨 |
proctitle_value |
principal.process.file.full_path |
직접 매핑됨 |
audit_message |
principal.process.file.names |
매핑됨: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER… |
filename |
principal.process.file.names |
병합됨 |
jsonPayload._PPID |
principal.process.parent_process.pid |
직접 매핑됨 |
type_syscall_props.ppid |
principal.process.parent_process.pid |
직접 매핑됨 |
jsonPayload._PID |
principal.process.pid |
직접 매핑됨 |
pi |
principal.process.pid |
직접 매핑됨 |
process_pid |
principal.process.pid |
직접 매핑됨 |
type_crypto_props.spid |
principal.process.pid |
직접 매핑됨 |
type_syscall_props.pid |
principal.process.pid |
직접 매핑됨 |
email |
principal.user.email_addresses |
매핑됨: ^.+@.+$ → email |
user_name |
principal.user.email_addresses |
매핑됨: ^.+@.+$ → user_name |
type_syscall_props.UID |
principal.user.user_display_name |
직접 매핑됨 |
type_syscall_props.acct |
principal.user.user_display_name |
직접 매핑됨 |
jsonPayload._AUDIT_FIELD_SUID |
principal.user.userid |
직접 매핑됨 |
principal_user_userid |
principal.user.userid |
직접 매핑됨 |
ruser |
principal.user.userid |
직접 매핑됨 |
type_crypto_props.suid |
principal.user.userid |
직접 매핑됨 |
user_name |
principal.user.userid |
직접 매핑됨 |
usr |
principal.user.userid |
직접 매핑됨 |
a0_label |
security_result.about.labels |
병합됨 |
a1_label |
security_result.about.labels |
병합됨 |
a2_label |
security_result.about.labels |
병합됨 |
a3_label |
security_result.about.labels |
병합됨 |
audit_message |
security_result.about.labels |
매핑된 값 (총 7개, 예: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CH… |
exit_label |
security_result.about.labels |
병합됨 |
syscall_label |
security_result.about.labels |
병합됨 |
tty_label |
security_result.about.labels |
병합됨 |
jsonPayload._AUDIT_FIELD_ARCH |
security_result.about.platform_version |
직접 매핑됨 |
type_syscall_props.arch |
security_result.about.platform_version |
직접 매핑됨 |
type_syscall_props.key |
security_result.about.registry.registry_key |
직접 매핑됨 |
product_log_id |
security_result.about.registry.registry_value_data |
직접 매핑됨 |
action |
security_result.action |
병합됨 |
action_data |
security_result.action |
매핑됨: `"authentication failure", "Authentication failure", "Failed password", "Connection … |
audit_message |
security_result.action |
매핑됨: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER… |
security_action |
security_result.action |
병합됨 |
action_data |
security_result.action_details |
직접 매핑됨 |
auth |
security_result.action_details |
매핑됨: sshd → FAILURE |
status |
security_result.action_details |
직접 매핑됨 |
type_crypto_props.res |
security_result.action_details |
이름이 변경됨/매핑됨 |
type_syscall_props.res |
security_result.action_details |
직접 매핑됨 |
a0_label |
security_result.detection_fields |
병합됨 |
a1_label |
security_result.detection_fields |
병합됨 |
a2_label |
security_result.detection_fields |
병합됨 |
a3_label |
security_result.detection_fields |
병합됨 |
audit_message |
security_result.detection_fields |
매핑됨: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER… |
auid_field |
security_result.detection_fields |
병합됨 |
auth |
security_result.detection_fields |
매핑됨: sshd → authentication_protocol_field, sshd → authentication_mechanism_field,… |
authentication_mechanism_field |
security_result.detection_fields |
병합됨 |
authentication_protocol_field |
security_result.detection_fields |
병합됨 |
bootid_label |
security_result.detection_fields |
병합됨 |
connection_state_field |
security_result.detection_fields |
병합됨 |
cwd_field |
security_result.detection_fields |
병합됨 |
exit_label |
security_result.detection_fields |
병합됨 |
jsonPayload._AUDIT_TYPE_NAME |
security_result.rule_id |
직접 매핑됨 |
type_name |
security_result.rule_id |
직접 매핑됨 |
msg_desc |
security_result.summary |
직접 매핑됨 |
secsummary |
security_result.summary |
직접 매핑됨 |
type_anom_props.reason |
security_result.summary |
직접 매핑됨 |
type_syscall_props.op |
security_result.summary |
직접 매핑됨 |
type_syscall_props.res |
security_result.summary |
직접 매핑됨 |
type_syscall_props.success |
security_result.summary |
직접 매핑됨 |
type_path1_props.name |
src.file.full_path |
이름이 변경됨/매핑됨 |
type_crypto_props.terminal |
target.application |
이름이 변경됨/매핑됨 |
target_hostname |
target.asset.hostname |
직접 매핑됨 |
type_crypto_props.hostname |
target.asset.hostname |
직접 매핑됨 |
dst_ip |
target.asset.ip |
병합됨 |
resource.labels.project_id |
target.cloud.project.name |
직접 매핑됨 |
filepath |
target.file.full_path |
직접 매핑됨 |
jsonPayload._AUDIT_FIELD_FILE |
target.file.full_path |
직접 매핑됨 |
target_file_full_path |
target.file.full_path |
직접 매핑됨 |
jsonPayload._AUDIT_FIELD_HASH |
target.file.sha256 |
직접 매핑됨 |
target_hostname |
target.hostname |
직접 매핑됨 |
type_crypto_props.hostname |
target.hostname |
직접 매핑됨 |
audit_message |
target.ip |
매핑됨: type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → tar_ip |
dst_ip |
target.ip |
병합됨 |
tar_ip |
target.ip |
병합됨 |
resource.labels.location |
target.location.name |
직접 매핑됨 |
dst_port |
target.port |
직접 매핑됨 |
target_port |
target.port |
직접 매핑됨 |
type_crypto_props.rport |
target.port |
이름이 변경됨/매핑됨 |
args |
target.process.command_line |
이름이 변경됨/매핑됨 |
cmnd |
target.process.command_line |
직접 매핑됨 |
command_line |
target.process.command_line |
직접 매핑됨 |
cwd |
target.process.file.full_path |
직접 매핑됨 |
jsonPayload._EXE |
target.process.file.full_path |
직접 매핑됨 |
proctitle_value |
target.process.file.full_path |
직접 매핑됨 |
type_anom_props.exe |
target.process.file.full_path |
이름이 변경됨/매핑됨 |
type_crypto_props.exe |
target.process.file.full_path |
이름이 변경됨/매핑됨 |
type_syscall_props.exe |
target.process.file.full_path |
직접 매핑됨 |
type_anom_props.pid |
target.process.pid |
이름이 변경됨/매핑됨 |
type_crypto_props.pid |
target.process.pid |
이름이 변경됨/매핑됨 |
resource.labels.cluster_name |
target.resource.name |
직접 매핑됨 |
audit_message |
target.resource.type |
매핑됨: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER… |
type_name |
target.resource.type |
매핑됨: "USER_ACCT", "USER_ROLE_CHANGE","USER_MGMT" → SETTING |
target_email |
target.user.email_addresses |
매핑됨: ^.+@.+$ → target_email |
type_syscall_props.ID |
target.user.user_display_name |
직접 매핑됨 |
type_syscall_props.acct |
target.user.user_display_name |
직접 매핑됨 |
event.idm.read_only_udm.principal.user.userid |
target.user.userid |
이름이 변경됨/매핑됨 |
jsonPayload._UID |
target.user.userid |
직접 매핑됨 |
type_crypto_props.uid |
target.user.userid |
직접 매핑됨 |
type_syscall_props.acct |
target.user.userid |
직접 매핑됨 |
type_syscall_props.id |
target.user.userid |
직접 매핑됨 |
type_syscall_props.uid |
target.user.userid |
직접 매핑됨 |
user_name |
target.user.userid |
직접 매핑됨 |
username |
target.user.userid |
직접 매핑됨 |
| 해당 사항 없음 | extensions.auth.type |
상수: AUTHTYPE_UNSPECIFIED |
| 해당 사항 없음 | metadata.event_type |
상수: STATUS_UPDATE |
| 해당 사항 없음 | metadata.product_event_type |
상수: PAM_KRB5_AUTH_ERROR |
| 해당 사항 없음 | metadata.product_name |
상수: AuditD |
| 해당 사항 없음 | metadata.vendor_name |
상수: Linux |
| 해당 사항 없음 | network.application_protocol |
상수: SSH |
| 해당 사항 없음 | network.direction |
상수: OUTBOUND |
| 해당 사항 없음 | network.ip_protocol |
상수: TCP |
| 해당 사항 없음 | principal.platform |
상수: LINUX |
| 해당 사항 없음 | principal.user.userid |
상수: event.idm.read_only_udm.target.user.userid |
| 해당 사항 없음 | security_result.action_details |
상수: FAILURE |
| 해당 사항 없음 | target.resource.type |
상수: SETTING |
변경 로그
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.