O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Coletar registros do Tableau

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros do Tableau no Google Security Operations usando o Bindplane.

O Tableau é uma plataforma de Business Intelligence e visualização de dados que gera registros de atividade do usuário, autenticação e auditoria. O Tableau Server armazena arquivos de registro no sistema de arquivos do servidor, o que torna a coleta baseada em arquivos ideal para ingestão.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

Uma instância do Google SecOps
Windows Server 2016 ou mais recente ou host Linux com systemd
Conectividade de rede entre o agente do Bindplane e o host do Tableau Server
Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
Acesso privilegiado ao Tableau Server com permissões de administrador
Acesso aos arquivos de registro do Tableau Server no sistema de arquivos do servidor

Receber o arquivo de autenticação de ingestão do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Agentes de coleta.
Baixe o arquivo de autenticação de ingestão. Salve o arquivo com segurança no sistema em que o Bindplane será instalado.

Observação: esse arquivo JSON contém credenciais para autenticar o agente do Bindplane no Google SecOps.

Receber o ID de cliente do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Perfil.
Copie e salve o ID do cliente na seção Detalhes da organização.

Observação: o ID do cliente é necessário para configurar o exportador do agente Bindplane.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

Abra o prompt de comando ou o PowerShell como administrador.

Execute este comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Aguarde a conclusão da instalação.
Execute o seguinte comando para confirmar a instalação:
```
sc query observiq-otel-collector
```

O serviço vai aparecer como EM EXECUÇÃO.

Instalação do Linux

Abra um terminal com privilégios de root ou sudo.

Execute este comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Aguarde a conclusão da instalação.
Execute o seguinte comando para confirmar a instalação:
```
sudo systemctl status observiq-otel-collector
```

O serviço vai aparecer como ativo (em execução).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

Localizar o arquivo de configuração

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Editar o arquivo de configuração

Substitua todo o conteúdo de config.yaml pela seguinte configuração:

receivers:
    filelog:
        include:
            - /var/opt/tableau/tableau_server/data/tabsvc/logs/httpd/access.*.log
            - /var/opt/tableau/tableau_server/data/tabsvc/logs/vizqlserver/*.log
            - /var/opt/tableau/tableau_server/data/tabsvc/logs/backgrounder/*.log
        start_at: beginning

exporters:
    chronicle/tableau:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: TABLEAU
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/tableau_to_chronicle:
            receivers:
                - filelog
            exporters:
                - chronicle/tableau

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

Configuração do receptor:
- filelog: o tipo de receptor para coletar arquivos de registro do disco
- include: lista de caminhos de arquivo ou padrões glob a serem monitorados:
  - Linux: /var/opt/tableau/tableau_server/data/tabsvc/logs/
  - Windows: C:\ProgramData\Tableau\Tableau Server\data\tabsvc\logs\
  - Os principais arquivos de registro incluem httpd/access.*.log (registros de acesso do Apache), vizqlserver/*.log (registros do servidor VizQL) e backgrounder/*.log (registros de tarefas em segundo plano).
  - Ajuste os caminhos para corresponder à instalação do Tableau Server
- start_at: defina como beginning para ler os arquivos de registro existentes desde o início ou end para ler apenas as novas entradas.
Configuração do exportador:
- tableau: nome descritivo do exportador
- creds_file_path: caminho completo para o arquivo de autenticação de ingestão:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <customer_id>: ID do cliente da etapa anterior
- endpoint: URL do endpoint regional:
  - EUA: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Ásia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Consulte a lista completa em Endpoints regionais.
- TABLEAU: tipo de registro exatamente como aparece no Chronicle
- ingestion_labels: rótulos opcionais no formato YAML (por exemplo, env: production)

Configuração do pipeline: * tableau_to_chronicle: nome descritivo do pipeline

Salvar o arquivo de configuração

Depois de editar, salve o arquivo:
- Linux: pressione Ctrl+O, Enter e Ctrl+X.
- Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças.

Para reiniciar o agente do Bindplane no Linux:

Execute este comando:

sudo systemctl restart observiq-otel-collector

Verifique se o serviço está em execução:

sudo systemctl status observiq-otel-collector

Verifique se há erros nos registros:

sudo journalctl -u observiq-otel-collector -f

Para reiniciar o agente do Bindplane em Windows:

Escolha uma das seguintes opções:
- Prompt de comando ou PowerShell como administrador:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console de serviços:
  1. Pressione Win+R, digite services.msc e pressione Enter.
  2. Localize o Coletor do OpenTelemetry da observIQ.
  3. Clique com o botão direito do mouse e selecione Reiniciar.
Verifique se o serviço está em execução:
```
sc query observiq-otel-collector
```

Verifique se há erros nos registros:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Verificar os locais dos arquivos de registro do Tableau Server

Faça login no host do Tableau Server com privilégios de administrador.
Verifique os diretórios de arquivos de registro:
- Linux: /var/opt/tableau/tableau_server/data/tabsvc/logs/
- Windows: C:\ProgramData\Tableau\Tableau Server\data\tabsvc\logs\
Subdiretórios e arquivos de registro principais:
- httpd/access.*.log: registros de acesso do Apache com detalhes da solicitação HTTP
- vizqlserver/*.log: registros do servidor VizQL com atividade de consulta de visualização
- backgrounder/*.log: registros de tarefas em segundo plano com atividade de job programado
(Opcional) Gere um arquivo de registros usando a ferramenta de linha de comando do TSM para verificação:
```
tsm maintenance ziplogs -a -t -o -f tableau-logs.zip
```
Observação: a flag -a inclui todos os registros, -t inclui arquivos temporários e -o substitui o arquivo atual. O arquivo é salvo em /var/opt/tableau/tableau_server/data/tabsvc/files/backups/ (Linux) ou `C:\ProgramData\Tableau\Tableau Server\data\tabsvc\files\backups` (Windows).
Atualize os caminhos include no agente config.yaml do Bindplane se o diretório de registros for diferente dos padrões.

Observação: verifique se o agente do Bindplane tem acesso de leitura aos diretórios de registros do Tableau Server.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento do UDM	Lógica
dataserver_permissions, local_dataserver, saved_credentials_viewerid, locale, server_oauth, :id, server_viewerid, dataserver_version, tablename, ElapsedTime, LastStatus, Timeszone	additional.fields	Pares de chave-valor mesclados dos campos especificados
Conteúdo	metadata.description	Valor copiado diretamente após a remoção de "_"
ID, RemoteHost	metadata.event_type	Definido como USER_UNCATEGORIZED se o ID não estiver vazio, STATUS_UPDATE se RemoteHost estiver presente e GENERIC_EVENT caso contrário.
protocolo	network.application_protocol	Valor copiado diretamente
http_version	network.application_protocol_version	Valor copiado diretamente
método	network.http.method	Valor copiado diretamente após a remoção de ""
SizeBytes	network.received_bytes	Convertido para uinteger
session_id	network.session_id	Valor copiado diretamente
Workername	principal.asset.hostname	Valor copiado diretamente
RemoteHost	principal.asset.ip	Valor copiado diretamente
Workername	principal.hostname	Valor copiado diretamente
RemoteHost	principal.ip	Valor copiado diretamente
Porta	principal.nat_port	Convertido para número inteiro
ID	principal.user.product_object_id	Valor copiado diretamente
RemoteUser	principal.user.userid	Valor copiado diretamente se não estiver vazio ou for "_"
logging_ctx	security_result.detection_fields	Par de chave-valor mesclado de logging_ctx
path	target.file.full_path	Valor copiado diretamente
dbname	target.resource.name	Valor copiado diretamente
	metadata.product_name	Definido como "Tableau"
	metadata.vendor_name	Defina como "TABLEAU".
`temp_user`	`event.idm.read_only_udm.principal.user.userid`	Mapeado do registro de mudanças
`user_name`	`event.idm.read_only_udm.principal.user.userid`	Mapeado do registro de mudanças
`temp_domain`	`event.idm.read_only_udm.principal.administrative_domain`	Mapeado do registro de mudanças
`temp_role`	`event.idm.read_only_udm.principal.user.attribute.roles`	Mapeado do registro de mudanças
`source_info`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`user_application`	`event.idm.read_only_udm.principal.application`	Mapeado do registro de mudanças
`temp_http_uri`	`event.idm.read_only_udm.target.url`	Mapeado do registro de mudanças
`temp_api_call`	`event.idm.read_only_udm.target.url`	Mapeado do registro de mudanças
`temp_site_id`	`event.idm.read_only_udm.target.resource.name`	Mapeado do registro de mudanças
`java_method`	`event.idm.read_only_udm.target.resource.name`	Mapeado do registro de mudanças
`java_class`	`event.idm.read_only_udm.target.resource.type`	Mapeado do registro de mudanças
`temp_http_method`	`event.idm.read_only_udm.network.http.method`	Mapeado do registro de mudanças
`temp_http_status`	`event.idm.read_only_udm.network.http.response_code`	Mapeado do registro de mudanças
`"Computer"`	`event.idm.read_only_udm.principal.hostname`	Mapeado do registro de mudanças
`"TimeGenerated"`	`event.idm.read_only_udm.security_result.first_discovered_time`	Mapeado do registro de mudanças
`"_TimeReceived"`	`event.idm.read_only_udm.security_result.last_discovered_time`	Mapeado do registro de mudanças
`"_IsBillable"`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`"_BilledSize"`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`"_Internal_WorkspaceResourceId"`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`"_ItemId"`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`"TenantId"`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`"_SubscriptionId"`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`"_ResourceId"`	`event.idm.read_only_udm.principal.resource.id`	Mapeado do registro de mudanças
`"FilePath"`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`"Type"`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`"temp_message"`	`event.idm.read_only_udm.metadata.description`	Mapeado do registro de mudanças
`"temp_logger_name"`	`event.idm.read_only_udm.principal.application`	Mapeado do registro de mudanças
`"temp_pid"`	`event.idm.read_only_udm.principal.process.pid`	Mapeado do registro de mudanças
`"temp_thread_name"`	`event.idm.read_only_udm.principal.process.file.full_path`	Mapeado do registro de mudanças
`"temp_log_level"`	`event.idm.read_only_udm.security_result.severity`	Mapeado do registro de mudanças
`appname`	`event.idm.read_only_udm.metadata.product_event_type`	Mapeado do registro de mudanças
`id2`	`event.idm.read_only_udm.metadata.product_log_id`	Mapeado do registro de mudanças
`pid`	`event.idm.read_only_udm.observer.process.pid`	Mapeado do registro de mudanças
`timestamp`	`event.idm.read_only_udm.metadata.event_timestamp`	Mapeado do registro de mudanças
`user`	`event.idm.read_only_udm.principal.user.userid`	Mapeado do registro de mudanças
`id1`	`event.idm.read_only_udm.network.session_id`	Mapeado do registro de mudanças
`logger`	`event.idm.read_only_udm.observer.process.command_line`	Mapeado do registro de mudanças
`loglevel`	`event.idm.read_only_udm.security_result.severity`	Mapeado do registro de mudanças
`user_id`	`event.idm.read_only_udm.target.user.userid`	Mapeado do registro de mudanças
`site_id`	`event.idm.read_only_udm.target.resource.id`	Mapeado do registro de mudanças
`message`	`event.idm.read_only_udm.metadata.description`	Mapeado do registro de mudanças
`script_type`	`event.idm.read_only_udm.target.resource.name`	Mapeado do registro de mudanças
`id3`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`thread`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`function_name`	`event.idm.read_only_udm.security_result.summary`	Mapeado do registro de mudanças

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.