Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Raccogli i log di Apache Tomcat

Versione parser: 3.0

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di Apache Tomcat in Google Security Operations utilizzando l'agente Bindplane.

Apache Tomcat è un server di applicazioni web che genera log di accesso JSON per richieste HTTP, eventi di autenticazione e attività del server. Il parser estrae i campi dai log formattati in JSON e syslog e li mappa al modello Unified Data Model (UDM).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

Un'istanza Google SecOps
Windows Server 2016 o versioni successive o host Linux con systemd
Agente Bindplane installato sul server Tomcat (per leggere i file di log locali)
Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
Accesso amministrativo al server Tomcat

Recuperare il file di autenticazione dell'importazione di Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Agenti di raccolta.
Scarica il file di autenticazione dell'acquisizione.
Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Nota :questo file JSON contiene le credenziali per l'autenticazione dell'agente Bindplane in Google SecOps.

Recuperare l'ID cliente Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Profilo.
Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Nota: l'ID cliente è necessario per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane sul server Tomcat per raccogliere i file di log

Installa l'agente Bindplane sul server Tomcat stesso, poiché deve leggere i file di log locali.

Installazione di Windows

Apri Prompt dei comandi o PowerShell come amministratore.

Esegui questo comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendi il completamento dell'installazione.
Verifica l'installazione eseguendo:
```
sc query observiq-otel-collector
```
Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

Apri un terminale con privilegi root o sudo.

Esegui questo comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Attendi il completamento dell'installazione.
Verifica l'installazione eseguendo:
```
sudo systemctl status observiq-otel-collector
```
Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare i log di Tomcat e inviarli a Google SecOps

Individua il file di configurazione

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

receivers:
    filelog/tomcat:
        include:
            - /path/to/tomcat/logs/access-log.*.json
        start_at: beginning

exporters:
    chronicle/tomcat:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: TOMCAT
        raw_log_field: body

service:
    pipelines:
        logs/tomcat_to_chronicle:
            receivers:
                - filelog/tomcat
            exporters:
                - chronicle/tomcat

Parametri di configurazione

Sostituisci i seguenti segnaposto:

Configurazione del destinatario:
- include: percorso dei file di log di accesso JSON di Tomcat. Modifica in modo che corrispondano alla directory dei log e al pattern dei file di Tomcat.
- start_at: impostalo su beginning per leggere i log esistenti o su end per leggere solo le nuove voci.
Configurazione dell'esportatore:
- creds_file_path: Percorso completo del file di autenticazione dell'acquisizione:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: ID cliente copiato dalla console Google SecOps
- endpoint: URL dell'endpoint regionale:
  - Stati Uniti: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Per l'elenco completo, consulta Endpoint regionali.

Salva il file di configurazione

Dopo la modifica, salva il file:
- Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
- Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux, esegui questo comando:
```
sudo systemctl restart observiq-otel-collector
```
1. Verifica che il servizio sia in esecuzione:
```
sudo systemctl status observiq-otel-collector
```
2. Controlla i log per individuare eventuali errori:
```
sudo journalctl -u observiq-otel-collector -f
```
Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:
- Prompt dei comandi o PowerShell come amministratore:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console dei servizi:
  1. Premi Win+R, digita services.msc e premi Invio.
  2. Individua observIQ OpenTelemetry Collector.
  3. Fai clic con il tasto destro del mouse e seleziona Riavvia.
  4. Verifica che il servizio sia in esecuzione:
```
sc query observiq-otel-collector
```
  5. Controlla i log per individuare eventuali errori:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configura i log di accesso JSON in Tomcat

Apri il file di configurazione di Tomcat all'indirizzo $CATALINA_BASE/conf/server.xml.

Individua il tag <Host> e aggiungi quanto segue al suo interno:

<Valve className="org.apache.catalina.valves.JsonAccessLogValve"
       directory="logs"
       prefix="access-log"
       suffix=".json"
       rotatable="true"
       maxDays="7"/>

Riavvia Tomcat per applicare le modifiche:

cd /path/to/tomcat
bin/catalina.sh stop
bin/catalina.sh start

Ogni giorno verrà visualizzato un nuovo file di log JSON (ad esempio, logs/access-log.2025-07-02.json).

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
`@timestamp`	`metadata.event_timestamp`	Il valore di `@timestamp` del log non elaborato viene mappato direttamente a questo campo UDM. Rappresenta l'ora in cui si è verificato l'evento.
`agent.ephemeral_id`	`additional.fields[ephemeral_id].value.string_value`	L'ID effimero dell'agente viene aggiunto come coppia chiave-valore nei campi `additional`.
`agent.hostname`	`observer.hostname`	Il nome host dell'agente viene utilizzato come nome host dell'osservatore.
`agent.id`	`observer.asset_id`	L'ID agente viene combinato con il tipo di agente per creare l'ID risorsa osservatore (ad es. `filebeat: <agent_id>`).
`agent.type`	`observer.application`	Il tipo di agente viene utilizzato come applicazione osservatore.
`agent.version`	`observer.platform_version`	La versione dell'agente viene utilizzata come versione della piattaforma dell'osservatore.
`host.hostname`	`principal.hostname`	Il nome host dell'host viene utilizzato come nome host principale.
`host.id`	`principal.asset.asset_id`	All'ID host viene aggiunto il prefisso `Host Id:` per creare l'ID risorsa principale.
`host.ip`	`principal.ip`, `observer.ip`	L'indirizzo IP dell'host viene utilizzato sia per l'IP principale sia per l'IP osservatore. Se sono presenti più indirizzi IP, questi vengono uniti in un array.
`host.mac`	`principal.mac`	L'indirizzo MAC dell'host viene utilizzato come indirizzo MAC principale. Se sono presenti più indirizzi MAC, questi vengono uniti in un array.
`host.os.family`	`principal.platform`	Se la famiglia del sistema operativo host è `rhel` o `redhat`, la piattaforma principale è impostata su `LINUX`.
`host.os.kernel`	`principal.platform_patch_level`	La versione kernel del sistema operativo host viene utilizzata come livello principale della patch della piattaforma.
`host.os.name`	`additional.fields[os_name].value.string_value`	Il nome del sistema operativo host viene aggiunto come coppia chiave-valore nei campi `additional`.
`host.os.version`	`principal.platform_version`	La versione del sistema operativo host viene utilizzata come versione principale della piattaforma.
`log.file.path`	`principal.process.file.full_path`	Il percorso del log viene utilizzato come percorso completo del file di processo principale.
`log_level`	`security_result.severity`, `security_result.severity_details`, `security_result.action`	Il livello di log viene utilizzato per determinare la gravità, i dettagli della gravità e l'azione del risultato di sicurezza. DEBUG, INFO e AUDIT corrispondono alla gravità INFORMATIONAL e all'azione ALLOW. ERROR corrisponde alla gravità ERROR e all'azione BLOCK. WARNING e WARN corrispondono alla gravità MEDIA e all'azione BLOCK. Il valore raw di log_level viene mappato anche a severity_details.
`logstash.irm_environment`	`additional.fields[irm_environment].value.string_value`	L'ambiente Iron Mountain di Logstash viene aggiunto come coppia chiave-valore nei campi `additional`.
`logstash.irm_region`	`additional.fields[irm_region].value.string_value`	La regione Iron Mountain di Logstash viene aggiunta come coppia chiave-valore nei campi `additional`.
`logstash.irm_site`	`additional.fields[irm_site].value.string_value`	Il sito Iron Mountain di Logstash viene aggiunto come coppia chiave-valore nei campi `additional`.
`logstash.process.host`	`intermediary.hostname`	L'host di elaborazione Logstash viene utilizzato come nome host intermedio.
`logstash.process.timestamp`	`metadata.collected_timestamp`	Il timestamp di elaborazione di Logstash viene utilizzato come timestamp raccolto.
`logstash.xyz_environment`	`additional.fields[xyz_environment].value.string_value`	L'ambiente xyz di Logstash viene aggiunto come coppia chiave-valore nei campi `additional`.
`logstash.xyz_region`	`additional.fields[xyz_region].value.string_value`	La regione xyz di Logstash viene aggiunta come coppia chiave-valore nei campi `additional`.
`logstash.xyz_site`	`additional.fields[xyz_site].value.string_value`	Il sito xyz di Logstash viene aggiunto come coppia chiave-valore nei campi `additional`.
`message`	`metadata.description`	Il campo del messaggio viene analizzato come JSON e il relativo campo `event_message` viene utilizzato come descrizione dei metadati. L'applicazione intermediaria è codificata in modo permanente su `logstash`. Il tipo di evento dei metadati è codificato in modo permanente su `USER_UNCATEGORIZED`. Il tipo di log dei metadati è impostato su `TOMCAT` dal batch.type o batch.log_type del log non elaborato. Il nome del prodotto di metadati è codificato in modo permanente su `Tomcat`. Il nome del fornitore dei metadati è codificato in modo permanente su `Tomcat`.
`user`	`principal.user.userid`	Il campo utente del log non elaborato viene utilizzato come ID utente principale.
`product_event`	`metadata.product_event_type`	Mappato dal log delle modifiche
`summary`	`security_result.summary`	Mappato dal log delle modifiche
`query`	`additional.fields`	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.