Abbiamo riorganizzato la struttura di navigazione della documentazione per allinearla direttamente ai tuoi flussi di lavoro operativi. Per ulteriori informazioni, consulta le note di rilascio e il video dimostrativo.

Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Raccogliere i log di Veeam

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di Veeam in Google Security Operations utilizzando l'agente Bindplane.

Veeam Backup & Replication è una piattaforma di protezione dei dati che genera messaggi syslog per i job di backup, le attività di replica, le operazioni di ripristino e gli eventi di sistema. Il parser estrae i campi dai messaggi syslog utilizzando i pattern grok e li mappa al modello Unified Data Model (UDM).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

Un'istanza Google SecOps
Windows Server 2016 o versioni successive oppure host Linux con systemd
Connettività di rete tra l'agente Bindplane e il server Veeam Backup & Replication
Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
Accesso privilegiato a Veeam

Recuperare il file di autenticazione dell'importazione di Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Agenti di raccolta.
Scarica il file di autenticazione dell'acquisizione.
Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Nota :questo file JSON contiene le credenziali per l'autenticazione dell'agente Bindplane in Google SecOps.

Recuperare l'ID cliente Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Profilo.
Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Nota :l'ID cliente è necessario per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

Apri Prompt dei comandi o PowerShell come amministratore.

Esegui questo comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendi il completamento dell'installazione.
Verifica l'installazione eseguendo:
```
sc query observiq-otel-collector
```
Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

Apri un terminale con privilegi root o sudo.

Esegui questo comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Attendi il completamento dell'installazione.
Verifica l'installazione eseguendo:
```
sudo systemctl status observiq-otel-collector
```
Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/veeam:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: VEEAM
        raw_log_field: body

service:
    pipelines:
        logs/veeam_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/veeam

Parametri di configurazione

Sostituisci i seguenti segnaposto:

Configurazione del ricevitore:
- listen_address: Indirizzo IP e porta da ascoltare:
  - 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
  - La porta 514 è la porta syslog standard (richiede l'accesso root su Linux; utilizza 1514 per l'accesso non root)
Configurazione dell'esportatore:
- creds_file_path: percorso completo del file di autenticazione dell'acquisizione:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: ID cliente copiato dalla console Google SecOps
- endpoint: URL endpoint regionale:
  - Stati Uniti: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Per un elenco completo, vedi Endpoint regionali.

Salvare il file di configurazione

Dopo la modifica, salva il file:
- Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
- Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux, esegui questo comando:
```
sudo systemctl restart observiq-otel-collector
```
1. Verifica che il servizio sia in esecuzione:
```
sudo systemctl status observiq-otel-collector
```
2. Controlla i log per individuare eventuali errori:
```
sudo journalctl -u observiq-otel-collector -f
```
Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:
- Prompt dei comandi o PowerShell come amministratore:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console dei servizi:
  1. Premi Win+R, digita services.msc e premi Invio.
  2. Individua observIQ OpenTelemetry Collector.
  3. Fai clic con il tasto destro del mouse e seleziona Riavvia.
  4. Verifica che il servizio sia in esecuzione:
```
sc query observiq-otel-collector
```
  5. Controlla i log per individuare eventuali errori:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configurare Syslog per Veeam

Accedi alla console Veeam Backup & Replication.
Vai a Menu > Opzioni > Integrazioni SIEM.
Nella sezione Server Syslog, fai clic su Aggiungi.
Fornisci i seguenti dettagli di configurazione:
- Nome: inserisci l'indirizzo IP e il numero di porta dell'agente Bindplane (ad esempio, 192.168.1.1:514).
- Trasporto: seleziona UDP o TCP, a seconda della configurazione dell'agente Bindplane.
Fai clic su Ok per salvare.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
`application`	`principal.application`	Mappato direttamente dal campo `application` estratto dal pattern grok.
`CredentialId`	`principal.resource.attribute.labels.[]`	Mappato direttamente dal campo `CredentialId` estratto dal filtro kv. Viene creata un'etichetta con la chiave "CredentialId".
`date_2`, `time_2`, `year`	`metadata.event_timestamp`	I campi `date_2`, `time_2` e `year` vengono concatenati e analizzati utilizzando il filtro `date` per creare `metadata.event_timestamp`.
`date_2`, `time_2`	`metadata.event_timestamp`	I campi `date_2` e `time_2` vengono concatenati e analizzati utilizzando il filtro `date` per creare `metadata.event_timestamp`.
`deviceId`	`principal.resource.product_object_id`	Mappato direttamente dal campo `deviceId` estratto dal filtro kv.
`description`	`security_result.description`	Mappato direttamente dal campo `description` estratto dal pattern grok.
`error_code`	`security_result.detection_fields.[]`	Mappato direttamente dal campo `error_code` estratto dal pattern grok. Viene creata un'etichetta con la chiave "error_code".
`executing_feature`	`principal.hostname`, `principal.asset.hostname`	Mappato direttamente dal campo `executing_feature` estratto dal pattern grok.
`host`	`principal.hostname`, `principal.asset.hostname`	Mappato direttamente dal campo `host` estratto dal pattern grok.
`ManagementIP`	`principal.ip`, `principal.asset.ip`	Mappato direttamente dal campo `ManagementIP` estratto dal filtro kv.
`pid`	`principal.process.pid`	Mappato direttamente dal campo `pid` estratto dal pattern grok.
`previousSeverity`	`security_result.severity_details`	Mappato direttamente dal campo `previousSeverity` estratto dal pattern grok.
`prod_event_type`	`metadata.product_event_type`	Mappato direttamente dal campo `prod_event_type` estratto dal pattern grok.
`query`	`security_result.detection_fields.[]`	Mappato direttamente dal campo `query` estratto dal pattern grok. Viene creata un'etichetta con la chiave "query".
`reportingAddress`	`principal.ip`, `principal.asset.ip`	Mappato direttamente dal campo `reportingAddress` estratto dal pattern grok.
`severity`	`security_result.severity`	Mappato dal campo `severity`. Il valore è determinato dalla logica condizionale in base al campo `severity` (ERROR, MAJOR/WARN, INFO corrispondono a valori di gravità UDM specifici).
`src_ip`	`principal.ip`, `principal.asset.ip`	Mappato direttamente dal campo `src_ip` estratto dal pattern grok.
`summary`	`security_result.summary`	Mappato direttamente dal campo `summary` estratto dal pattern grok.
`target_ip`	`target.ip`, `target.asset.ip`	Mappato direttamente dal campo `target_ip` estratto dal pattern grok.
`thread_id`	`security_result.detection_fields.[]`	Mappato direttamente dal campo `thread_id` estratto dal pattern grok. Viene creata un'etichetta con la chiave "thread_id".
(N/A)	`event_type`	Determinato dalla logica del parser. Se sia `principal` che `target` contengono dati MID, il valore è `NETWORK_UNCATEGORIZED`. Se solo `principal` ha dati MID, è `STATUS_UPDATE`. In caso contrario, è `GENERIC_EVENT`.
(N/A)	`metadata.event_type`	Copiato dal campo `event_type` generato internamente.
(N/A)	`metadata.vendor_name`	Codificato in modo permanente su "VEEAM".
(N/A)	`metadata.product_name`	Codificato in modo permanente su "Veeam".
(N/A)	`event.timestamp`	Il timestamp dell'evento viene estratto dal campo `collection_time` della voce di log.
`enterpriseId`	`additional.fields`	Mappato dal log delle modifiche
`recipient_emailid`	`additional.fields`	Mappato dal log delle modifiche
`description`	`metadata.description`	Mappato dal log delle modifiche
`version`	`additional.fields`	Mappato dal log delle modifiche
`categoryId`	`additional.fields`	Mappato dal log delle modifiche
`instanceId`	`additional.fields`	Mappato dal log delle modifiche
`VbrVersion`	`metadata.product_version`	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.