Mengumpulkan log Veridium ID

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Veridium ID ke Google Security Operations menggunakan agen Bindplane.

Veridium ID adalah platform autentikasi biometrik yang menghasilkan pesan syslog untuk peristiwa autentikasi, pengelolaan akun, pendaftaran perangkat, dan tindakan administratif. Parser mengekstrak kolom dari pesan syslog menggunakan pola grok dan penguraian nilai kunci, serta memetakannya ke Model Data Terpadu (UDM).

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan host Veridium ID
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke Veridium ID

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Service account description: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON dan klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori kolektor Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka Settings > Data Management > Collection Agents. Jika Anda menggunakan platform khusus SIEM, buka Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang telah dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan > Administrasi > Profil. Jika Anda menggunakan platform khusus SIEM, buka Settings > Profile.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai active (running).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen Bindplane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan kolektor Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/veridium_id:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: VERIDIUM_ID
      raw_log_field: body
  
  service:
    pipelines:
      logs/veridium_id_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/veridium_id
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • listen_address: Alamat IP dan port untuk diproses:
    • 0.0.0.0 untuk memproses semua antarmuka (direkomendasikan)
    • Port 514 adalah port syslog standar (memerlukan root di Linux; gunakan 1514 untuk non-root)
    • Veridium ID menggunakan TCP (@@ di rsyslog), sehingga penerima tcplog diperlukan

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID Pelanggan yang disalin dari konsol Google SecOps
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap tetapkan ke chronicle.googleapis.com.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/veridium_id:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: VERIDIUM_ID
      raw_log_field: body
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Simpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol Services:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Restart.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi syslog untuk Veridium ID

1. Login ke host Veridium ID menggunakan SSH atau CLI.

2. Edit file /etc/rsyslog.conf atau /etc/rsyslog.d/events.conf:

   vi /etc/rsyslog.conf
   

3. Tambahkan konfigurasi berikut, dengan mengganti <bindplane-ip> dan <bindplane-port> dengan detail agen Bindplane yang sebenarnya:

   module(load="imfile" PollingInterval="10")
   
   input(type="imfile"
     File="/var/log/veridiumid/websecadmin/events.log"
     Tag="ver-adminevents"
     reopenOnTruncate="on")
   
   input(type="imfile"
     File="/var/log/veridiumid/tomcat/events.log"
     Tag="ver-events"
     reopenOnTruncate="on")
   
   if $programname == 'ver-events' then @@<bindplane-ip>:<bindplane-port>
   if $programname == 'ver-adminevents' then @@<bindplane-ip>:<bindplane-port>
   

   Catatan: Ini harus dikonfigurasi di setiap aplikasi web. Awalan @@ menunjukkan transpor TCP.

4. Simpan file dan keluar.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
_caller.accountId	principal.user.userid	Dipetakan langsung dari kolom _caller.accountId.
_caller.accountEmailAddressInfo	principal.user.email_addresses	Dipetakan langsung dari kolom _caller.accountEmailAddressInfo.
_caller.accountExternalId	principal.user.email_addresses	Dipetakan langsung dari kolom _caller.accountExternalId.
_caller.accountStatus	principal.user.attribute.labels[account_status].value	Dipetakan langsung dari kolom _caller.accountStatus.
_caller.deviceId	principal.asset.asset_id	Diawali dengan "VERIDIUM_ID:" dan dipetakan dari kolom _caller.deviceId.
_caller.deviceDescription	principal.asset.attribute.labels[device_description].value	Dipetakan langsung dari kolom _caller.deviceDescription.
_caller.deviceManufacturer	principal.asset.attribute.labels[device_manufacturer].value	Dipetakan langsung dari kolom _caller.deviceManufacturer.
_caller.deviceName	principal.asset.attribute.labels[device_name].value	Dipetakan langsung dari kolom _caller.deviceName.
_caller.deviceOs	principal.asset.platform_software.platform	Dipetakan dari kolom _caller.deviceOs. Jika nilainya adalah "iOS", nilai tersebut akan dipetakan ke "IOS". Jika nilainya adalah "Android", nilai tersebut akan dipetakan ke "ANDROID". Jika nilainya adalah "WIN" atau "Windows", nilai tersebut akan dipetakan ke "WINDOWS".
_caller.deviceStatus	principal.asset.attribute.labels[device_status].value	Dipetakan langsung dari kolom _caller.deviceStatus.
_caller.deviceType	principal.asset.attribute.labels[device_type].value	Dipetakan langsung dari kolom _caller.deviceType.
actionDate	additional.fields[action_date].value.string_value	Dipetakan langsung dari kolom actionDate.
actionName	metadata.product_event_type	Dipetakan langsung dari kolom actionName.
accountEmail	principal.user.email_addresses	Dipetakan langsung dari kolom accountEmail.
accountExternalId	principal.user.email_addresses	Dipetakan langsung dari kolom accountExternalId.
accountId	principal.user.userid	Dipetakan langsung dari kolom accountId.
authenticatorDeviceContext.deviceMake	intermediary.asset.hardware.manufacturer	Dipetakan langsung dari kolom authenticatorDeviceContext.deviceMake.
authenticatorDeviceContext.ip	intermediary.ip	Dipetakan langsung dari kolom authenticatorDeviceContext.ip.
authenticatorDeviceContext.location.city	intermediary.asset.location.city	Dipetakan langsung dari kolom authenticatorDeviceContext.location.coordinates.latitude.
authenticatorDeviceContext.location.coordinates.latitude	intermediary.asset.location.region_latitude	Dipetakan langsung dari kolom authenticatorDeviceContext.location.coordinates.latitude.
authenticatorDeviceContext.location.coordinates.longitude	intermediary.asset.location.region_longitude	Dipetakan langsung dari kolom authenticatorDeviceContext.location.coordinates.longitude.
authenticatorDeviceContext.location.countryName	intermediary.asset.location.country_or_region	Dipetakan langsung dari kolom authenticatorDeviceContext.location.countryName.
authenticatorDeviceContext.location.ip	intermediary.ip	Dipetakan langsung dari kolom authenticatorDeviceContext.location.ip.
authenticationDeviceDescription	intermediary.asset.attribute.labels[authentication_device_description].value	Dipetakan langsung dari kolom authenticationDeviceDescription.
authenticationDeviceName	intermediary.asset.asset_id	Diawali dengan "VERIDIUM_ID:" dan dipetakan dari kolom authenticationDeviceName.
authenticationDeviceOs	intermediary.asset.platform_software.platform	Dipetakan dari kolom authenticationDeviceOs. Jika nilainya adalah "iOS", nilai tersebut akan dipetakan ke "IOS". Jika nilainya adalah "Android", nilai tersebut akan dipetakan ke "ANDROID". Jika nilainya adalah "WIN" atau "Windows", nilai tersebut akan dipetakan ke "WINDOWS".
authenticationDeviceOsVersion	intermediary.asset.platform_software.platform_version	Dipetakan langsung dari kolom authenticationDeviceOsVersion.
authenticationDevicePhone	intermediary.asset.attribute.labels[authentication_device_phone].value	Dipetakan langsung dari kolom authenticationDevicePhone.
authenticationDevicePhoneModel	intermediary.asset.attribute.labels[authentication_device_phone_model].value	Dipetakan langsung dari kolom authenticationDevicePhoneModel.
authenticationDeviceRegistrationTime	intermediary.asset.attribute.labels[authentication_device_registeration_time].value	Dipetakan langsung dari kolom authenticationDeviceRegistrationTime.
authenticationDeviceType	intermediary.asset.attribute.labels[authentication_device_type].value	Dipetakan langsung dari kolom authenticationDeviceType.
authenticationResult	extensions.auth.auth_details	Dipetakan langsung dari kolom authenticationResult.
context.deviceMake	principal.asset.hardware.manufacturer	Dipetakan langsung dari kolom context.deviceMake.
context.ip	principal.ip	Dipetakan langsung dari kolom context.ip.
context.location.countryName	principal.location.country_or_region	Dipetakan langsung dari kolom context.location.countryName.
context.location.ip	principal.ip	Dipetakan langsung dari kolom context.location.ip.
context.osVersion	principal.asset.platform_software.platform_version	Dipetakan langsung dari kolom context.osVersion.
context.userAgentRaw	network.http.user_agent	Dipetakan langsung dari kolom context.userAgentRaw.
exploiterDeviceContext.deviceMake	src.asset.hardware.manufacturer	Dipetakan langsung dari kolom exploiterDeviceContext.deviceMake.
exploiterDeviceContext.ip	src.ip	Dipetakan langsung dari kolom exploiterDeviceContext.ip.
exploiterDeviceContext.location.city	src.asset.location.city	Dipetakan langsung dari kolom exploiterDeviceContext.location.city.
exploiterDeviceContext.location.coordinates.latitude	src.asset.location.region_latitude	Dipetakan langsung dari kolom exploiterDeviceContext.location.coordinates.latitude.
exploiterDeviceContext.location.coordinates.longitude	src.asset.location.region_longitude	Dipetakan langsung dari kolom exploiterDeviceContext.location.coordinates.longitude.
exploiterDeviceContext.location.countryName	src.asset.location.country_or_region	Dipetakan langsung dari kolom exploiterDeviceContext.location.countryName.
exploiterDeviceContext.location.ip	src.ip	Dipetakan langsung dari kolom exploiterDeviceContext.location.ip.
exploiterDeviceContext.osName	src.asset.platform_software.platform	Dipetakan dari kolom exploiterDeviceContext.osName. Jika nilainya adalah "WIN" atau "Windows", nilai tersebut akan dipetakan ke "WINDOWS". Jika nilainya adalah "iOS", nilai tersebut akan dipetakan ke "IOS". Jika nilainya adalah "Android", nilai tersebut akan dipetakan ke "ANDROID".
exploiterDeviceContext.osVersion	src.asset.platform_software.platform_version	Dipetakan langsung dari kolom exploiterDeviceContext.osVersion.
exploiterDeviceName	src.asset.attribute.labels[exploiter_device_name].value	Dipetakan langsung dari kolom exploiterDeviceName.
hostname	principal.hostname	Dipetakan langsung dari kolom hostname.
ipAddress	principal.ip	Dipetakan langsung dari kolom ipAddress.
location	principal.location.city	Dipetakan langsung dari kolom location.
location.city	about.location.city	Dipetakan langsung dari kolom location.city.
location.coordinates.latitude	about.location.region_latitude	Dipetakan langsung dari kolom location.coordinates.latitude.
location.coordinates.longitude	about.location.region_longitude	Dipetakan langsung dari kolom location.coordinates.longitude.
location.countryName	about.location.country_or_region	Dipetakan langsung dari kolom location.countryName.
location.ip	about.ip	Dipetakan langsung dari kolom location.ip.
metadata.collected_timestamp	metadata.collected_timestamp	Dipetakan langsung dari kolom collected_time.
metadata.event_timestamp	metadata.event_timestamp	Dipetakan langsung dari kolom event_time.
metadata.event_type	metadata.event_type	Ditetapkan ke "USER_UNCATEGORIZED".
metadata.product_event_type	metadata.product_event_type	Dipetakan langsung dari kolom actionName.
metadata.product_name	metadata.product_name	Tetapkan ke "VERIDIUM_ID".
namespace	principal.namespace	Dipetakan langsung dari kolom namespace.
pid	principal.process.pid	Dipetakan langsung dari kolom pid.
request.context.userAgentRaw	network.http.user_agent	Dipetakan langsung dari kolom request.context.userAgentRaw.
request.sessionId	network.session_id	Dipetakan langsung dari kolom request.sessionId.
requestMethod	network.http.method	Dipetakan langsung dari kolom requestMethod.
requestURI	network.http.referral_url	Dipetakan langsung dari kolom requestURI.
security_result.severity	security_result.severity	Dipetakan dari kolom severity. Jika nilainya adalah "INFO", nilai tersebut akan dipetakan ke "INFORMATIONAL".
	principal.application	Dipetakan langsung dari kolom application.
	principal.asset.hostname	Dipetakan langsung dari kolom hostname.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.