Mengumpulkan log uberAgent

Didukung di:

Google secops SIEM

Dokumen ini menjelaskan cara menyerap log uberAgent ke Google Security Operations menggunakan agen Bindplane.

uberAgent adalah platform analisis keamanan endpoint dan pemantauan pengalaman pengguna untuk Windows dan macOS. Platform ini mengumpulkan data telemetri, termasuk peristiwa proses, peristiwa login, koneksi jaringan, dan penggunaan aplikasi di endpoint yang dipantau.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Host Windows Server 2016 atau yang lebih baru, atau Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan endpoint uberAgent
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke konsol pengelolaan uberAgent atau endpoint tempat uberAgent diinstal

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.

3. Download Ingestion Authentication File. Simpan file dengan aman di sistem tempat Bindplane akan diinstal.

   Catatan: File JSON ini berisi kredensial untuk mengautentikasi agen Bindplane ke Google SecOps.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.

3. Salin dan simpan Customer ID dari bagian Organization Details.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak akses root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai active (running).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen Bindplane.

Mengonfigurasi agen Bindplane untuk menyerap log dan mengirim ke Google SecOps

Menemukan file konfigurasi

• Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
      filelog:
          include:
              - 'C:\uberAgent\logs\*.log'
              - 'C:\uberAgent\logs\*.csv'
          start_at: beginning
          poll_interval: 5s
  
  exporters:
      chronicle/uberagent:
          compression: gzip
          creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: UBERAGENT
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/uberagent_to_chronicle:
              receivers:
                  - filelog
              exporters:
                  - chronicle/uberagent
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • include: Jalur ke file log uberAgent:
    • Windows (lokal): C:\uberAgent\logs\*.log dan C:\uberAgent\logs\*.csv
    • Windows (berbagi file): \\SERVER\Share\uberagent-logs\*.log
    • Sesuaikan jalur berdasarkan konfigurasi output file uberAgent Anda
  • start_at: Tetapkan ke beginning untuk membaca log yang ada, atau end untuk hanya membaca entri baru
  • poll_interval: Seberapa sering memeriksa data log baru (default: 5s)

• Konfigurasi pengekspor:

  • uberagent: Nama deskriptif untuk pengekspor
  • creds_file_path: Jalur lengkap ke file autentikasi penyerapan:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <customer_id>: ID Pelanggan dari langkah sebelumnya
  • endpoint: URL endpoint regional:
    • US: malachiteingestion-pa.googleapis.com
    • Eropa: europe-malachiteingestion-pa.googleapis.com
    • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Lihat Endpoint Regional untuk daftar lengkap
  • UBERAGENT: Jenis log persis seperti yang muncul di Chronicle
  • ingestion_labels: Label opsional dalam format YAML (misalnya, env: production)

• Konfigurasi pipeline:

  • uberagent_to_chronicle: Nama deskriptif untuk pipeline

Menyimpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Save

Memulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol layanan:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Temukan observIQ OpenTelemetry Collector.
    3. Klik kanan dan pilih Restart.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi output file uberAgent

uberAgent mendukung beberapa backend output. Untuk mengekspor data sebagai file untuk dikumpulkan oleh agen Bindplane:

1. Buka file konfigurasi uberAgent (uberAgent.conf) di endpoint atau melalui Kebijakan Grup.

2. Konfigurasi penerima output berbasis file:

   [Receiver]
   Name = FileOutput
   Type = File
   Path = C:\uberAgent\logs\
   

   Catatan: Ganti C:\uberAgent\logs\` with the desired output path. For centralized collection, use a network file share path such as\SERVER\Share\uberagent-logs`. uberAgent menampilkan data dalam format CSV secara default.

3. Konfigurasi metrik dan jenis sumber yang akan diekspor:

   • Proses: Peristiwa mulai/berhenti proses, penggunaan resource.
   • Login: Peristiwa login/logout pengguna.
   • Jaringan: Peristiwa koneksi jaringan.
   • Aplikasi: Penggunaan dan error aplikasi.

4. Simpan konfigurasi dan mulai ulang layanan uberAgent.

5. Pastikan file log dibuat di direktori output yang dikonfigurasi.

6. Pastikan agen Bindplane memiliki izin baca di direktori dan file log.

   Catatan: Untuk opsi konfigurasi mendetail, lihat dokumentasi uberAgent.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
SessionRpLatencyMs2, SessionHRes, SessionVRes, SessionColorDepth, SessionClientPlatform, SessionClientVersion, SessionClientOsLanguage, SessionPublishedName, SessionPublishedAppsCtx, SessionAppStateCtx, SessionEncryptionCtx, SessionClientTypeCtx, SessionBrokerDnsVmw, SessionBrokerUrlVmw, SessionBrokerTunneledVmw, SessionBrokerTunnelUrlVmw, SessionBrokerRemoteIpVmw, SessionBrokerUserVmw, SessionBrokerDomainVmw, SessionClientTimezoneVmw, SessionClientIdVmw, SessionTypeVmw, SessionBrokerType, SessionFgAppId, SessionFgAppVersion, SessionFgProcessName, SessionFgProcessId, SessionFgBrowserType, SessionFgBrowserActiveTabHost, SessionFgWindowTitle, SessionClientHwIdCtx2, SessionRoundTripTimeMs, SessionFps, SessionTransportProtocols, SessionProcessCount, SessionIOMB, SessionCPUTimeMs, SessionConnectionState, SessionUser, SessionIOCount, SessionNetKBPS, SessionWorkingSetMB, SessionCPUUsagePercent, SessionIOPS, SessionClientName, SessionIOLatencyMs, PowerSupportsS3, IsBatteryPresent, PowerSupportsS1, PowerSupportsS2, PowerSupportsS5, CPUMaxMhz, BaseboardSerial, CtxMachineCatalogName, AdDomainDns, HwHypervisorVendor, OsBuild, HwBiosVersion, PowerSupportsS4, HwIsVirtualMachine, IsUpsPresent, PowerSupportsConnectedStandby, OsInstallDate, Sourcetype, uberagent_index_name, data_stream.namespace, data_stream.dataset, data_stream.type, data_stream.subset, CPUCoresLogical, AdOu, AdDomainNetBios, logstash_pipeline, AdSite, CtxFarmName, CPUSockets, OsSpName, OsName, OsType, OsUpdateBuildRevision, ComputerNameCanonical, ComputerNameDn, CtxDeliveryGroupName, tags, user_agent.original	additional.fields	Digabungkan sebagai key-value pair dari kolom yang tercantum
	metadata.event_type	Tetapkan ke STATUS_UPDATE jika has_principal benar dan has_target salah, NETWORK_CONNECTION jika keduanya benar, GENERIC_EVENT jika tidak
SessionGUID	metadata.product_log_id	Nilai disalin langsung
user_agent.original	network.http.parsed_user_agent	Dikonversi ke agen pengguna yang diuraikan
user_agent.original	network.http.user_agent	Nilai disalin langsung
SessionTransportProtocols	network.ip_protocol	Tetapkan ke UDP jika cocok dengan (?i)udp, TCP jika (?i)tcp
SessionID	network.session_id	Nilai disalin langsung
SessionClientUserDomain	principal.administrative_domain	Nilai disalin langsung
CPUCoresPhysical, RAMSizeGB, CPUName, HwManufacturer, OsArchitecture, BIOSSerial, HwModel	principal.asset.hardware	Digabungkan ke dalam objek hardware
SessionClientDomain, host	principal.asset.hostname	Nilai dari SessionClientDomain jika tidak kosong, jika tidak, host
prin_ip, SessionClientIp, system_ip	principal.asset.ip	Nilai dari prin_ip jika tidak kosong, jika tidak, SessionClientIp, jika tidak, system_ip
SessionClientDomain, host	principal.hostname	Nilai dari SessionClientDomain jika tidak kosong, jika tidak, host
prin_ip, SessionClientIp, system_ip	principal.ip	Nilai dari prin_ip jika tidak kosong, jika tidak, SessionClientIp, jika tidak, system_ip
SessionClientMac	principal.mac	Nilai dari SessionClientMac, dengan - diganti dengan :, huruf kecil
SessionClientPlatform	principal.platform	Tetapkan ke WINDOWS jika cocok dengan (?i)windows
SessionClientVersion	principal.platform_version	Tetapkan ke nilai jika cocok dengan (?i)windows
SessionUser, SessionClientUser	principal.user.user_display_name	Nilai dari SessionUser jika tidak kosong, jika tidak, SessionClientUser
SessionBrokerRemoteIpVmw	target.ip	Nilai disalin langsung
SessionBrokerUserVmw	target.user.user_display_name	Nilai disalin langsung
SessionClientIdVmw	target.user.userid	Nilai disalin langsung
	metadata.product_name	Tetapkan ke "UBERAGENT"
	metadata.vendor_name	Tetapkan ke "UBERAGENT"

Log Perubahan

Lihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.