Raccogli i log di Veridium ID

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di Veridium ID in Google Security Operations utilizzando l'agente Bindplane.

Veridium ID è una piattaforma di autenticazione biometrica che genera messaggi syslog per eventi di autenticazione, gestione degli account, registrazione dei dispositivi e azioni amministrative. Il parser estrae i campi dai messaggi syslog utilizzando pattern grok e l'analisi delle coppie chiave-valore e li mappa al modello Unified Data Model (UDM).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Windows Server 2016 o versioni successive oppure host Linux con systemd
• Connettività di rete tra l'agente Bindplane e l'host Veridium ID
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
• Accesso privilegiato a Veridium ID

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino al ritiro dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio, bindplane-ingest).
   • Descrizione del service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul tuo computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) oppure aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il numero di progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle norme della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica di passare all'opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.

3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

   Nota: l'ID cliente è necessario per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri Prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sudo systemctl status observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

• Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/veridium_id:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: VERIDIUM_ID
      raw_log_field: body
  
  service:
    pipelines:
      logs/veridium_id_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/veridium_id
  

Parametri di configurazione

Sostituisci i seguenti segnaposto:

• Configurazione del ricevitore:

  • listen_address: indirizzo IP e porta su cui ascoltare:
    • 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
    • La porta 514 è la porta syslog standard (richiede l'accesso root su Linux; utilizza 1514 per l'accesso non root)
    • Veridium ID utilizza TCP (@@ in rsyslog), quindi è necessario il ricevitore tcplog

• Configurazione dell'esportatore:

  • creds_file_path: percorso completo del file della chiave JSON del account di servizio (opzione 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID cliente copiato dalla console Google SecOps
  • location: sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore aggiunge chronicle.googleapis.com come prefisso a questo valore. Per l'elenco completo, consulta Endpoint regionali.
  • project: sostituisci <PROJECT_NUMBER> con il numero di progetto in IAM e amministrazione > Impostazioni.
  • endpoint: mantieni l'impostazione chronicle.googleapis.com.

Esportatore dell'API di importazione precedente

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/veridium_id:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: VERIDIUM_ID
      raw_log_field: body
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Salva il file di configurazione

• Dopo la modifica, salva il file:
  • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
  • Windows: fai clic su File > Salva

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifica che il servizio sia in esecuzione:

     sudo systemctl status observiq-otel-collector
     

  2. Controlla i log per verificare la presenza di errori:

     sudo journalctl -u observiq-otel-collector -f
     

• Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

  • Prompt dei comandi o PowerShell come amministratore:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console Servizi:

    1. Premi Win+R, digita services.msc e premi Invio.
    2. Individua observIQ OpenTelemetry Collector.
    3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

    4. Verifica che il servizio sia in esecuzione:

       sc query observiq-otel-collector
       

    5. Controlla i log per verificare la presenza di errori:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configura syslog per Veridium ID

1. Accedi all'host Veridium ID utilizzando SSH o l'interfaccia a riga di comando.

2. Modifica il file /etc/rsyslog.conf o /etc/rsyslog.d/events.conf:

   vi /etc/rsyslog.conf
   

3. Aggiungi la seguente configurazione, sostituendo <bindplane-ip> e <bindplane-port> con i dettagli effettivi dell'agente Bindplane:

   module(load="imfile" PollingInterval="10")
   
   input(type="imfile"
     File="/var/log/veridiumid/websecadmin/events.log"
     Tag="ver-adminevents"
     reopenOnTruncate="on")
   
   input(type="imfile"
     File="/var/log/veridiumid/tomcat/events.log"
     Tag="ver-events"
     reopenOnTruncate="on")
   
   if $programname == 'ver-events' then @@<bindplane-ip>:<bindplane-port>
   if $programname == 'ver-adminevents' then @@<bindplane-ip>:<bindplane-port>
   

   Nota :questa impostazione deve essere configurata su ogni web app. Il prefisso @@ indica il trasporto TCP.

4. Salva il file ed esci.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
_caller.accountId	principal.user.userid	Mappato direttamente dal campo _caller.accountId.
_caller.accountEmailAddressInfo	principal.user.email_addresses	Mappato direttamente dal campo _caller.accountEmailAddressInfo.
_caller.accountExternalId	principal.user.email_addresses	Mappato direttamente dal campo _caller.accountExternalId.
_caller.accountStatus	principal.user.attribute.labels[account_status].value	Mappato direttamente dal campo _caller.accountStatus.
_caller.deviceId	principal.asset.asset_id	Con il prefisso "VERIDIUM_ID:" e mappato dal campo _caller.deviceId.
_caller.deviceDescription	principal.asset.attribute.labels[device_description].value	Mappato direttamente dal campo _caller.deviceDescription.
_caller.deviceManufacturer	principal.asset.attribute.labels[device_manufacturer].value	Mappato direttamente dal campo _caller.deviceManufacturer.
_caller.deviceName	principal.asset.attribute.labels[device_name].value	Mappato direttamente dal campo _caller.deviceName.
_caller.deviceOs	principal.asset.platform_software.platform	Mappato dal campo _caller.deviceOs. Se il valore è "iOS", viene mappato a "IOS". Se il valore è "Android", viene mappato a "ANDROID". Se il valore è "WIN" o "Windows", viene mappato su "WINDOWS".
_caller.deviceStatus	principal.asset.attribute.labels[device_status].value	Mappato direttamente dal campo _caller.deviceStatus.
_caller.deviceType	principal.asset.attribute.labels[device_type].value	Mappato direttamente dal campo _caller.deviceType.
actionDate	additional.fields[action_date].value.string_value	Mappato direttamente dal campo actionDate.
actionName	metadata.product_event_type	Mappato direttamente dal campo actionName.
accountEmail	principal.user.email_addresses	Mappato direttamente dal campo accountEmail.
accountExternalId	principal.user.email_addresses	Mappato direttamente dal campo accountExternalId.
accountId	principal.user.userid	Mappato direttamente dal campo accountId.
authenticatorDeviceContext.deviceMake	intermediary.asset.hardware.manufacturer	Mappato direttamente dal campo authenticatorDeviceContext.deviceMake.
authenticatorDeviceContext.ip	intermediary.ip	Mappato direttamente dal campo authenticatorDeviceContext.ip.
authenticatorDeviceContext.location.city	intermediary.asset.location.city	Mappato direttamente dal campo authenticatorDeviceContext.location.coordinates.latitude.
authenticatorDeviceContext.location.coordinates.latitude	intermediary.asset.location.region_latitude	Mappato direttamente dal campo authenticatorDeviceContext.location.coordinates.latitude.
authenticatorDeviceContext.location.coordinates.longitude	intermediary.asset.location.region_longitude	Mappato direttamente dal campo authenticatorDeviceContext.location.coordinates.longitude.
authenticatorDeviceContext.location.countryName	intermediary.asset.location.country_or_region	Mappato direttamente dal campo authenticatorDeviceContext.location.countryName.
authenticatorDeviceContext.location.ip	intermediary.ip	Mappato direttamente dal campo authenticatorDeviceContext.location.ip.
authenticationDeviceDescription	intermediary.asset.attribute.labels[authentication_device_description].value	Mappato direttamente dal campo authenticationDeviceDescription.
authenticationDeviceName	intermediary.asset.asset_id	Con prefisso "VERIDIUM_ID:" e mappato dal campo authenticationDeviceName.
authenticationDeviceOs	intermediary.asset.platform_software.platform	Mappato dal campo authenticationDeviceOs. Se il valore è "iOS", viene mappato a "IOS". Se il valore è "Android", viene mappato a "ANDROID". Se il valore è "WIN" o "Windows", viene mappato a "WINDOWS".
authenticationDeviceOsVersion	intermediary.asset.platform_software.platform_version	Mappato direttamente dal campo authenticationDeviceOsVersion.
authenticationDevicePhone	intermediary.asset.attribute.labels[authentication_device_phone].value	Mappato direttamente dal campo authenticationDevicePhone.
authenticationDevicePhoneModel	intermediary.asset.attribute.labels[authentication_device_phone_model].value	Mappato direttamente dal campo authenticationDevicePhoneModel.
authenticationDeviceRegistrationTime	intermediary.asset.attribute.labels[authentication_device_registeration_time].value	Mappato direttamente dal campo authenticationDeviceRegistrationTime.
authenticationDeviceType	intermediary.asset.attribute.labels[authentication_device_type].value	Mappato direttamente dal campo authenticationDeviceType.
authenticationResult	extensions.auth.auth_details	Mappato direttamente dal campo authenticationResult.
context.deviceMake	principal.asset.hardware.manufacturer	Mappato direttamente dal campo context.deviceMake.
context.ip	principal.ip	Mappato direttamente dal campo context.ip.
context.location.countryName	principal.location.country_or_region	Mappato direttamente dal campo context.location.countryName.
context.location.ip	principal.ip	Mappato direttamente dal campo context.location.ip.
context.osVersion	principal.asset.platform_software.platform_version	Mappato direttamente dal campo context.osVersion.
context.userAgentRaw	network.http.user_agent	Mappato direttamente dal campo context.userAgentRaw.
exploiterDeviceContext.deviceMake	src.asset.hardware.manufacturer	Mappato direttamente dal campo exploiterDeviceContext.deviceMake.
exploiterDeviceContext.ip	src.ip	Mappato direttamente dal campo exploiterDeviceContext.ip.
exploiterDeviceContext.location.city	src.asset.location.city	Mappato direttamente dal campo exploiterDeviceContext.location.city.
exploiterDeviceContext.location.coordinates.latitude	src.asset.location.region_latitude	Mappato direttamente dal campo exploiterDeviceContext.location.coordinates.latitude.
exploiterDeviceContext.location.coordinates.longitude	src.asset.location.region_longitude	Mappato direttamente dal campo exploiterDeviceContext.location.coordinates.longitude.
exploiterDeviceContext.location.countryName	src.asset.location.country_or_region	Mappato direttamente dal campo exploiterDeviceContext.location.countryName.
exploiterDeviceContext.location.ip	src.ip	Mappato direttamente dal campo exploiterDeviceContext.location.ip.
exploiterDeviceContext.osName	src.asset.platform_software.platform	Mappato dal campo exploiterDeviceContext.osName. Se il valore è "WIN" o "Windows", viene mappato su "WINDOWS". Se il valore è "iOS", viene mappato a "IOS". Se il valore è "Android", viene mappato a "ANDROID".
exploiterDeviceContext.osVersion	src.asset.platform_software.platform_version	Mappato direttamente dal campo exploiterDeviceContext.osVersion.
exploiterDeviceName	src.asset.attribute.labels[exploiter_device_name].value	Mappato direttamente dal campo exploiterDeviceName.
hostname	principal.hostname	Mappato direttamente dal campo hostname.
ipAddress	principal.ip	Mappato direttamente dal campo ipAddress.
location	principal.location.city	Mappato direttamente dal campo location.
location.city	about.location.city	Mappato direttamente dal campo location.city.
location.coordinates.latitude	about.location.region_latitude	Mappato direttamente dal campo location.coordinates.latitude.
location.coordinates.longitude	about.location.region_longitude	Mappato direttamente dal campo location.coordinates.longitude.
location.countryName	about.location.country_or_region	Mappato direttamente dal campo location.countryName.
location.ip	about.ip	Mappato direttamente dal campo location.ip.
metadata.collected_timestamp	metadata.collected_timestamp	Mappato direttamente dal campo collected_time.
metadata.event_timestamp	metadata.event_timestamp	Mappato direttamente dal campo event_time.
metadata.event_type	metadata.event_type	Impostato su "USER_UNCATEGORIZED".
metadata.product_event_type	metadata.product_event_type	Mappato direttamente dal campo actionName.
metadata.product_name	metadata.product_name	Imposta su "VERIDIUM_ID".
namespace	principal.namespace	Mappato direttamente dal campo namespace.
pid	principal.process.pid	Mappato direttamente dal campo pid.
request.context.userAgentRaw	network.http.user_agent	Mappato direttamente dal campo request.context.userAgentRaw.
request.sessionId	network.session_id	Mappato direttamente dal campo request.sessionId.
requestMethod	network.http.method	Mappato direttamente dal campo requestMethod.
requestURI	network.http.referral_url	Mappato direttamente dal campo requestURI.
security_result.severity	security_result.severity	Mappato dal campo severity. Se il valore è "INFO", viene mappato su "INFORMATIONAL".
	principal.application	Mappato direttamente dal campo application.
	principal.asset.hostname	Mappato direttamente dal campo hostname.

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.