Kami telah mengatur ulang struktur navigasi dokumentasi agar selaras langsung dengan alur kerja operasional Anda. Lihat catatan rilis dan video panduan untuk mengetahui informasi selengkapnya.

Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengumpulkan log Tableau

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Tableau ke Google Security Operations menggunakan Bindplane.

Tableau adalah platform visualisasi data dan business intelligence yang menghasilkan log aktivitas pengguna, autentikasi, dan audit. Tableau Server menyimpan file log di sistem file server, sehingga pengumpulan berbasis file ideal untuk penyerapan.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
Konektivitas jaringan antara agen Bindplane dan host Tableau Server
Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
Akses istimewa ke Tableau Server dengan izin administrator
Akses ke file log Tableau Server di sistem file server

Mendapatkan file autentikasi penyerapan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Agen Pengumpulan.
Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Catatan: File JSON ini berisi kredensial untuk mengautentikasi agen Bindplane ke Google SecOps.

Mendapatkan ID pelanggan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Profil.
Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

Buka Command Prompt atau PowerShell sebagai administrator.

Jalankan perintah berikut:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Tunggu hingga penginstalan selesai.
Verifikasi penginstalan dengan menjalankan:
```
sc query observiq-otel-collector
```

Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

Buka terminal dengan hak istimewa root atau sudo.

Jalankan perintah berikut:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Tunggu hingga penginstalan selesai.

Verifikasi penginstalan dengan menjalankan:

sudo systemctl status observiq-otel-collector

Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen BindPlane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

Ganti seluruh konten config.yaml dengan konfigurasi berikut:

receivers:
    filelog:
        include:
            - /var/opt/tableau/tableau_server/data/tabsvc/logs/httpd/access.*.log
            - /var/opt/tableau/tableau_server/data/tabsvc/logs/vizqlserver/*.log
            - /var/opt/tableau/tableau_server/data/tabsvc/logs/backgrounder/*.log
        start_at: beginning

exporters:
    chronicle/tableau:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: TABLEAU
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/tableau_to_chronicle:
            receivers:
                - filelog
            exporters:
                - chronicle/tableau

Parameter konfigurasi

Ganti placeholder berikut:

Konfigurasi penerima:
- filelog: Jenis penerima untuk mengumpulkan file log dari disk
- include: Daftar jalur file atau pola glob yang akan dipantau:
  - Linux: /var/opt/tableau/tableau_server/data/tabsvc/logs/
  - Windows: C:\ProgramData\Tableau\Tableau Server\data\tabsvc\logs\
  - File log utama mencakup httpd/access.*.log (log akses Apache), vizqlserver/*.log (log server VizQL), dan backgrounder/*.log (log tugas latar belakang)
  - Sesuaikan jalur agar sesuai dengan penginstalan Tableau Server Anda
- start_at: Setel ke beginning untuk membaca file log yang ada dari awal, atau end untuk hanya membaca entri baru
Konfigurasi eksportir:
- tableau: Nama deskriptif untuk eksportir
- creds_file_path: Jalur lengkap ke file autentikasi penyerapan:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <customer_id>: ID Pelanggan dari langkah sebelumnya
- endpoint: URL endpoint regional:
  - Amerika Serikat: malachiteingestion-pa.googleapis.com
  - Eropa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Lihat Endpoint Regional untuk mengetahui daftar lengkapnya
- TABLEAU: Jenis log persis seperti yang muncul di Chronicle
- ingestion_labels: Label opsional dalam format YAML (misalnya, env: production)

Konfigurasi pipeline: * tableau_to_chronicle: Nama deskriptif untuk pipeline

Simpan file konfigurasi

Setelah mengedit, simpan file:
- Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
- Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux:

Jalankan perintah berikut:

sudo systemctl restart observiq-otel-collector

Pastikan layanan sedang berjalan:

sudo systemctl status observiq-otel-collector

Periksa log untuk mengetahui error:

sudo journalctl -u observiq-otel-collector -f

Untuk memulai ulang agen Bindplane di Windows:

Pilih salah satu opsi berikut:
- Command Prompt atau PowerShell sebagai administrator:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Konsol layanan:
  1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
  2. Temukan observIQ OpenTelemetry Collector.
  3. Klik kanan, lalu pilih Mulai Ulang.
Pastikan layanan sedang berjalan:
```
sc query observiq-otel-collector
```

Periksa log untuk mengetahui error:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Memverifikasi lokasi file log Tableau Server

Login ke host Tableau Server dengan hak istimewa administrator.
Verifikasi direktori file log:
- Linux: /var/opt/tableau/tableau_server/data/tabsvc/logs/
- Windows: C:\ProgramData\Tableau\Tableau Server\data\tabsvc\logs\
Subdirektori dan file log utama:
- httpd/access.*.log: Log akses Apache dengan detail permintaan HTTP
- vizqlserver/*.log: Log server VizQL dengan aktivitas kueri visualisasi
- backgrounder/*.log: Log tugas latar belakang dengan aktivitas tugas terjadwal
(Opsional) Buat arsip log menggunakan alat command line TSM untuk verifikasi:
```
tsm maintenance ziplogs -a -t -o -f tableau-logs.zip
```
Catatan: Flag -a menyertakan semua log, -t menyertakan file sementara, -o menggantikan arsip yang ada. Arsip disimpan ke /var/opt/tableau/tableau_server/data/tabsvc/files/backups/ (Linux) atau `C:\ProgramData\Tableau\Tableau Server\data\tabsvc\files\backups` (Windows).
Perbarui jalur include di config.yaml agen Bindplane jika direktori log berbeda dari default.

Catatan: Pastikan agen Bindplane memiliki akses baca ke direktori log Tableau Server.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
dataserver_permissions, local_dataserver, saved_credentials_viewerid, locale, server_oauth, :id, server_viewerid, dataserver_version, tablename, ElapsedTime, LastStatus, Timeszone	additional.fields	Pasangan nilai kunci yang digabungkan dari kolom yang ditentukan
Isi	metadata.description	Nilai disalin langsung setelah menghapus "_"
ID, RemoteHost	metadata.event_type	Disetel ke USER_UNCATEGORIZED jika ID tidak kosong, STATUS_UPDATE jika RemoteHost ada, GENERIC_EVENT jika tidak
protokol	network.application_protocol	Nilai disalin secara langsung
http_version	network.application_protocol_version	Nilai disalin secara langsung
metode	network.http.method	Nilai disalin langsung setelah menghapus ""
SizeBytes	network.received_bytes	Dikonversi ke uinteger
session_id	network.session_id	Nilai disalin secara langsung
Workername	principal.asset.hostname	Nilai disalin secara langsung
RemoteHost	principal.asset.ip	Nilai disalin secara langsung
Workername	principal.hostname	Nilai disalin secara langsung
RemoteHost	principal.ip	Nilai disalin secara langsung
Port	principal.nat_port	Dikonversi ke bilangan bulat
ID	principal.user.product_object_id	Nilai disalin secara langsung
RemoteUser	principal.user.userid	Nilai disalin langsung jika tidak kosong atau "_"
logging_ctx	security_result.detection_fields	Pasangan nilai kunci yang digabungkan dari logging_ctx
jalur	target.file.full_path	Nilai disalin secara langsung
dbname	target.resource.name	Nilai disalin secara langsung
	metadata.product_name	Ditetapkan ke "Tableau"
	metadata.vendor_name	Disetel ke "TABLEAU"
`temp_user`	`event.idm.read_only_udm.principal.user.userid`	Dipetakan dari log perubahan
`user_name`	`event.idm.read_only_udm.principal.user.userid`	Dipetakan dari log perubahan
`temp_domain`	`event.idm.read_only_udm.principal.administrative_domain`	Dipetakan dari log perubahan
`temp_role`	`event.idm.read_only_udm.principal.user.attribute.roles`	Dipetakan dari log perubahan
`source_info`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`user_application`	`event.idm.read_only_udm.principal.application`	Dipetakan dari log perubahan
`temp_http_uri`	`event.idm.read_only_udm.target.url`	Dipetakan dari log perubahan
`temp_api_call`	`event.idm.read_only_udm.target.url`	Dipetakan dari log perubahan
`temp_site_id`	`event.idm.read_only_udm.target.resource.name`	Dipetakan dari log perubahan
`java_method`	`event.idm.read_only_udm.target.resource.name`	Dipetakan dari log perubahan
`java_class`	`event.idm.read_only_udm.target.resource.type`	Dipetakan dari log perubahan
`temp_http_method`	`event.idm.read_only_udm.network.http.method`	Dipetakan dari log perubahan
`temp_http_status`	`event.idm.read_only_udm.network.http.response_code`	Dipetakan dari log perubahan
`"Computer"`	`event.idm.read_only_udm.principal.hostname`	Dipetakan dari log perubahan
`"TimeGenerated"`	`event.idm.read_only_udm.security_result.first_discovered_time`	Dipetakan dari log perubahan
`"_TimeReceived"`	`event.idm.read_only_udm.security_result.last_discovered_time`	Dipetakan dari log perubahan
`"_IsBillable"`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`"_BilledSize"`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`"_Internal_WorkspaceResourceId"`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`"_ItemId"`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`"TenantId"`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`"_SubscriptionId"`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`"_ResourceId"`	`event.idm.read_only_udm.principal.resource.id`	Dipetakan dari log perubahan
`"FilePath"`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`"Type"`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`"temp_message"`	`event.idm.read_only_udm.metadata.description`	Dipetakan dari log perubahan
`"temp_logger_name"`	`event.idm.read_only_udm.principal.application`	Dipetakan dari log perubahan
`"temp_pid"`	`event.idm.read_only_udm.principal.process.pid`	Dipetakan dari log perubahan
`"temp_thread_name"`	`event.idm.read_only_udm.principal.process.file.full_path`	Dipetakan dari log perubahan
`"temp_log_level"`	`event.idm.read_only_udm.security_result.severity`	Dipetakan dari log perubahan
`appname`	`event.idm.read_only_udm.metadata.product_event_type`	Dipetakan dari log perubahan
`id2`	`event.idm.read_only_udm.metadata.product_log_id`	Dipetakan dari log perubahan
`pid`	`event.idm.read_only_udm.observer.process.pid`	Dipetakan dari log perubahan
`timestamp`	`event.idm.read_only_udm.metadata.event_timestamp`	Dipetakan dari log perubahan
`user`	`event.idm.read_only_udm.principal.user.userid`	Dipetakan dari log perubahan
`id1`	`event.idm.read_only_udm.network.session_id`	Dipetakan dari log perubahan
`logger`	`event.idm.read_only_udm.observer.process.command_line`	Dipetakan dari log perubahan
`loglevel`	`event.idm.read_only_udm.security_result.severity`	Dipetakan dari log perubahan
`user_id`	`event.idm.read_only_udm.target.user.userid`	Dipetakan dari log perubahan
`site_id`	`event.idm.read_only_udm.target.resource.id`	Dipetakan dari log perubahan
`message`	`event.idm.read_only_udm.metadata.description`	Dipetakan dari log perubahan
`script_type`	`event.idm.read_only_udm.target.resource.name`	Dipetakan dari log perubahan
`id3`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`thread`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`function_name`	`event.idm.read_only_udm.security_result.summary`	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.