Collecter les journaux VMware vCenter

Compatible avec :

Ce document explique comment ingérer des journaux VMware vCenter dans Google Security Operations à l'aide de l'agent Bindplane.

VMware vCenter est une plate-forme de gestion de serveurs qui génère des messages JSON et syslog pour les opérations de machine virtuelle, la gestion des hôtes, l'authentification et les modifications de configuration.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent BindPlane et le serveur VMware vCenter
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
  • Accès privilégié à l'UI Web de gestion de VMware vCenter Server

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour configurer l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres > Gestion des données > Agents de collecte. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir le numéro client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres > Administration > Profil. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Profil.

  3. Copiez et enregistrez le numéro client de la section Détails de l'organisation.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation sous Linux

  1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit s'afficher comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour en savoir plus sur les options d'installation et le dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/vmware_vcenter:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: VMWARE_VCENTER
    raw_log_field: body

service:
  pipelines:
    logs/vmware_vcenter_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/vmware_vcenter

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • listen_address : adresse IP et port d'écoute :
      • 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
      • Le port 514 est le port syslog standard (nécessite un accès racine sous Linux ; utilisez 1514 pour un accès non racine).

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
      • Linux : /opt/observiq-otel-collector/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id : ID client copié depuis la console Google SecOps
    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/vmware_vcenter:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: VMWARE_VCENTER
    raw_log_field: body

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent BindPlane pour appliquer les modifications.

  • Pour redémarrer l'agent BindPlane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      sudo systemctl status observiq-otel-collector

    2. Vérifiez les journaux pour détecter d'éventuelles erreurs :

      sudo journalctl -u observiq-otel-collector -f

  • Pour redémarrer l'agent BindPlane sous Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Vérifiez les journaux pour détecter d'éventuelles erreurs :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer syslog dans VMware vCenter

  1. Connectez-vous à l'interface utilisateur Web de vCenter Server Management.
  2. Accédez à Syslog > Forwarding Configuration (Syslog > Configuration du transfert).
  3. Cliquez sur Configurer pour créer une configuration de transfert.
  4. Fournissez les informations de configuration suivantes :
    • Adresse du serveur : saisissez l'adresse IP de l'agent BindPlane.
    • Protocole : sélectionnez UDP.
    • Port : saisissez le numéro de port de l'agent BindPlane (par exemple, 514).
  5. Cliquez sur Enregistrer.
  6. Cliquez sur Envoyer un message test pour vérifier la configuration.

Table de mappage UDM

Le tableau suivant liste les mappages de champs des journaux vers l'UDM pour les journaux VMware vCenter :

Champ du journal mappage UDM
Access Mask principal.process.access_mask
Account Domain principal.administrative_domain
Account Name target.user.userid
AccessControlRuleAction security_result.action
AccessControlRuleName security_result.rule_name
ACPolicy security_result.rule_labels
admin principal.resource.attribute.labels
agent.hostname principal.hostname,
principal.asset.hostname
agent.type observer.application
agent.version intermediary.platform_version
alarm_target about.resource.name
api_call_method metadata.product_event_type
app principal.application
ApplicationProtocol network.application_protocol
appname principal.application
auth_date_time metadata.collected_timestamp
auth_user target.user.userid
Authentication Package security_result.about.resource.name
basedn_group_iden target.user.group_identifiers
bytes_received network.received_bytes
bytes_sent network.sent_bytes
Client target.user.attribute.labels
Client Address principal.ip
Client Port principal.port
client_ip principal.ip,
principal.asset.ip
client_port principal.port
ClientVersion target.platform_version
cmd target.process.command_line
ConnectionID security_result.about.labels
cor_id metadata.product_log_id
data_center target.location.name
datacenter target.location.name
desc metadata.description
description_data metadata.description
dest_ip target.ip,
target.asset.ip
dest_port target.port
DeviceUUID metadata.product_log_id
domain principal.administrative_domain
dstip target.ip,
target.asset.ip
EgressZone target.location.name
error_code security_result.detection_fields
error_message security_result.summary
event_name metadata.product_event_type
eventid metadata.product_event_type
EventPriority security_result.severity,
security_result.severity_details
@fields.company_name principal.user.company_name
@fields.facility principal.resource.resource_subtype
@fields.host principal.hostname,
principal.asset.hostname
@fields.privatecloud_id principal.resource_ancestors.product_object_id
@fields.privatecloud_name principal.resource_ancestors.name
@fields.procid principal.process.pid
@fields.region_id principal.location.country_or_region
file_path target.process.file.full_path
file_type network.http.response_headers
FirstPacketSecond security_result.about.labels
f_path target.file.full_path
function security_result.detection_fields
hmethod network.http.method
host.architecture principal.asset.hardware
host.id observer.asset_id
host.ip principal.ip,
principal.asset.ip
host.mac principal.mac
host.os.kernel principal.platform_patch_level
host.os.platform target.platform
host.os.version principal.platform_version
host_ip principal.ip,
principal.asset.ip
http_method network.http.method
HTTPResponse network.http.response_code
http_version network.tls.version_protocol
i_ip intermediary.ip,
intermediary.asset.ip
i_port intermediary.port
IngressZone principal.location.name
InitiatorBytes network.sent_bytes
InitiatorPackets network.sent_packets
insertId metadata.product_log_id
InstanceId target.asset_id
inter_host_name intermediary.hostname
inter_ip intermediary.ip
inter_port target.port
intermediary_ip intermediary.ip
intermediary_port intermediary.port
ip target.ip,
target.asset.ip
ips principal.ip,
principal.asset.ip
jsonPayload.appname security_result.detection_fields
jsonPayload.facility security_result.detection_fields
jsonPayload.hostname principal.hostname,
principal.asset.hostname
jsonPayload.message security_result.detection_fields
jsonPayload.priority security_result.detection_fields
jsonPayload.version security_result.detection_fields
kv_msg1.cipher network.tls.cipher
kv_msg1.ctladdr intermediary.user.attribute.labels
kv_msg1.daemon security_result.about.labels
kv_msg1.from network.email.from
kv_msg1.get_error intermediary.user.attribute.labels
kv_msg1.msgid network.email.mail_id
kv_msg1.proto security_result.about.labels
kv_msg1.size network.sent_bytes
kv_msg1.stat security_result.summary
kv_msg1.to network.email.to
kv_msg1.verify security_result.description,
security_result.action
kv_msg1.version network.tls.version
labels.log_type metadata.product_event_type
labels.net.host.ip principal.ip,
principal.asset.ip
labels.net.host.port principal.port
labels.net.peer.ip intermediary.ip,
intermediary.asset.ip,
target.ip,
target.asset.ip
labels.net.peer.port intermediary.port,
target.port
labels.net.transport network.ip_protocol
level security_result.severity,
security_result.severity_details
level_name security_result.severity,
security_result.severity_details
local_address_1 observer.ip
local_address_2 observer.ip
local_port_1 observer.port
log.file.path target.process.file.full_path
log.source.address intermediary.ip,
intermediary.port
log.syslog.severity.name security_result.severity_details
log_id metadata.product_log_id
log_level security_result.severity,
security_result.severity_details
logName security_result.category_details
Logon Account principal.user.userid
logstash.irm_site target.location.name
logstash.process.host additional.fields
mail_from network.email.from
mail_to network.email.to
msg metadata.description
name about.group.group_display_name
namespace principal.namespace
NAPPolicy security_result.rule_labels
o_ip observer.ip,
observer.asset.ip
o_port observer.port
obj_h additional.fields
obj_p additional.fields
p_ip principal.ip,
principal.asset.ip
p_log_id metadata.product_log_id
p_port principal.port
p_user_id principal.user.userid
p_vm_name target.resource.name
parsable_message metadata.description
pid target.process.pid
port intermediary.port
ppid principal.process.pid
prin_app principal.application
prin_domain principal.administrative_domain
prin_name principal.resource.attribute.labels
prin_pid principal.process.pid
principal_email principal.user.email_addresses
principal_ip1 principal.ip,
principal.asset.ip
principal_ip2 principal.ip,
principal.asset.ip
principal_port principal.port
priority security_result.severity,
security_result.severity_details
process principal.application
process_id principal.process.pid
product_event_type metadata.product_event_type
program principal.application
Protocol network.ip_protocol
providername principal.application
r_bytes network.received_bytes
r_name principal.resource.name
ReferencedHost target.hostname,
target.asset.hostname
Relative Target Name target.file.full_path
relay intermediary.hostname,
intermediary.ip
request_path target.url
resource.labels.project_id src.resource_ancestors.product_object_id
resource.type src.user.attribute.labels
resource_name target.resource.name
ResponderBytes network.received_bytes
ResponderPackets network.received_packets
response_code network.http.response_code
response_details target.resource.attribute.labels
role target.user.attribute.roles
s_bytes network.sent_bytes
sec_desc security_result.description
Security ID target.user.windows_sid
security_result_action_detail security_result.action_details
server_name target.hostname,
target.asset.hostname
session_id network.session_id
severity security_result.severity,
security_result.severity_details
severity_data security_result.severity,
security_result.severity_details
Share Name target.resource.name
sid about.group.windows_sid
Source Network Address principal.ip
Source Port principal.port
source_port principal.port
src_ip principal.ip
srcip principal.ip,
principal.asset.ip
ssh_proto network.application_protocol
summary security_result.summary
syslog_host target.hostname,
target.asset.hostname
t_ip target.ip,
target.asset.ip
t_port target.port
t_url target.url
tags additional.fields
principal_app principal.application
target_domain target.administrative_domain
target_host target.hostname,
target.asset.hostname
target_ip1 target.ip,
target.asset.ip
target_ip2 target.ip,
target.asset.ip
target_port target.port
target_userid target.user.userid
temp_host intermediary.hostname
tgt_domain target.administrative_domain
tgt_user target.user.userid
thread_id principal.resource.attribute.labels
tls_cipher network.tls.cipher
type metadata.product_event_type
upn_name intermediary.url
upstream_ip target.ip,
target.asset.ip
upstream_port target.port
URL target.url
User security_result.summary
user target.user.userid,
principal.user.userid
User ID target.user.userid
user_id principal.user.userid
UserAgent network.http.user_agent,
network.http.parsed_user_agent
username principal.user.userid
usrName target.user.userid
vc_event_obj_id target.asset.asset_id
vc_event_severity security_result.severity,
security_result.severity_details
vc_username target.user.userid
ver_proto network.tls.version
version metadata.product_version
@version principal.platform_version
vpxd_some_id additional.fields
LEEF_version additional.fields
ICMPType additional.fields
ICMPCode additional.fields
IngressInterface additional.fields
EgressInterface additional.fields
WebApplication additional.fields
DNSQuery additional.fields
DNSRecordType additional.fields
DNSResponseType additional.fields
DNS_TTL additional.fields
ApplicationProtocol additional.fields
service.type additional.fields
log.syslog.facility.code additional.fields
log.syslog.facility.name additional.fields
log.syslog.severity.code additional.fields
log.syslog.priority additional.fields
host.os.name additional.fields
host.os.build additional.fields
labels.plugin_id additional.fields
opID additional.fields
sub additional.fields
api_invocations additional.fields
vc_event_cat_0 additional.fields
vc_event_cat_1 additional.fields
vc_event_chain_id additional.fields
vc_event_obj_name additional.fields
vc_event_obj_type additional.fields
p_log_id_repeat additional.fields
sys_priority additional.fields
facility additional.fields
originator additional.fields
originator_id additional.fields
subsystem additional.fields
request_timestamp additional.fields
response_flags additional.fields
duration_total_ms additional.fields
duration_upstream_connect_ms additional.fields
duration_response_tx_ms additional.fields
local_port_2 additional.fields
proc_id additional.fields
eventid_label additional.fields
Logger_Name additional.fields
subcomponent additional.fields
op_id additional.fields
vcenter_uuid_1 additional.fields
vcenter_uuid_2 additional.fields
object_lookup_method additional.fields
conn_id additional.fields
performed_action additional.fields
login_time additional.fields
open_connections additional.fields
total_connections additional.fields
channel_id additional.fields
line_number additional.fields
vc_event_desc additional.fields
uid additional.fields
euid additional.fields
ruser additional.fields
tty additional.fields
tenant additional.fields
duration_ms additional.fields
provider additional.fields
provider_type additional.fields
response_flag additional.fields
http_path additional.fields
unknown_metric_1 additional.fields
unknown_metric_2 additional.fields
sequence_id additional.fields
syslog_facility_code additional.fields
syslog_severity_code additional.fields
syslog_severity additional.fields
syslog_pri additional.fields
syslog_facility additional.fields
logstash.collect.timestamp additional.fields
logstash.ingest.timestamp additional.fields
logstash.process.timestamp additional.fields
logstash.irm_site additional.fields
logstash.irm_environment additional.fields
logstash.irm_region additional.fields
agent.id additional.fields
agent.ephemeral_id additional.fields
ecs.version additional.fields
input.type additional.fields

Documentation de référence sur les deltas de mappage UDM

Le 15 septembre 2026, Google SecOps a publié une nouvelle version de l'analyseur VMware vCenter, qui inclut des modifications du mappage des champs de journaux VMware vCenter aux champs UDM.

Différence de mappage des champs de journal

Le tableau suivant liste les différences de mappage pour les champs de journal VMware vCenter vers UDM exposés avant le 15 septembre 2026 et après (listés respectivement dans les colonnes Ancien mappage et Mappage actuel) :

Champ du journal Ancienne correspondance Mappage actuel Raisons de la modification
appname target.application principal.application Il s'agit de l'outil qui lance l'action de l'utilisateur. Il s'agit donc de l'application principale à l'origine de l'événement, et non de la destination sur laquelle l'action est effectuée.
auth_user principal.user.userid target.user.userid Il s'agit d'un événement de connexion d'un utilisateur pour lequel une action est en cours.
logstash.process.host target.hostname additional.fields Ce champ est ajouté par le pipeline Logstash. Il indique le nom d'hôte du serveur sur lequel le processus Logstash est exécuté, qui fait partie de l'infrastructure de collecte des journaux. Cet hôte n'est pas la source de l'événement lui-même, mais plutôt un intermédiaire qui traite le journal.
username target.user.userid principal.user.userid Cet ID utilisateur appartient à la source de l'événement, et non à la cible.
domain target.administrative_domain principal.administrative_domain Ce domaine appartient à la source de l'événement, et non à la cible.
resource.labels.project_id src.cloud.project.id src.resource_ancestors.product_object_id Le champ précédent est obsolète.
target_app target.application principal.application Le journal décrit spécifiquement une authentification unique interne.
process additional.fields principal.application Plus adapté.
app target.application principal.application Le journal décrit spécifiquement une authentification unique interne.
@fields.privatecloud_id principal.cloud.project.id principal.resource_ancestors.product_object_id Le champ précédent est obsolète.
@fields.privatecloud_name principal.cloud.project.name principal.resource_ancestors.name Le champ précédent est obsolète.
@fields.facility principal.resource.type principal.resource.resource_subtype Le champ précédent est obsolète.
Client target.labels target.user.attribute.labels Le champ précédent est obsolète.
kv_msg1.ctladdr intermediary.labels intermediary.user.attribute.labels Le champ précédent est obsolète.
kv_msg1.get_error intermediary.labels intermediary.user.attribute.labels Le champ précédent est obsolète.
resource.type src.labels src.user.attribute.labels Le champ précédent est obsolète.
admin principal.user.attribute.labels principal.resource.attribute.labels Le champ précédent est obsolète.
role target.user.role_name target.user.attribute.roles Le champ précédent est obsolète.
syslog_host Non mappés target.hostname Mappage de champs récemment ajouté.
log.source.address Non mappés intermediary.ip,
intermediary.port		 Mappage de champs récemment ajouté.
agent.type Non mappés observer.application Mappage de champs récemment ajouté.
agent.version Non mappés intermediary.platform_version Mappage de champs récemment ajouté.
pid Non mappés target.process.pid Mappage de champs récemment ajouté.
temp_host Non mappés intermediary.hostname Mappage de champs récemment ajouté.
port Non mappés intermediary.port Mappage de champs récemment ajouté.
inter_hostname Non mappés intermediary.hostname Mappage de champs récemment ajouté.
tgt_user Non mappés target.user.userid Mappage de champs récemment ajouté.
tgt_domain Non mappés target.administrative_domain Mappage de champs récemment ajouté.
alarm_target Non mappés about.resource.name Mappage de champs récemment ajouté.
prin_app Non mappés principal.application Mappage de champs récemment ajouté.
dest_ip Non mappés target.ip Mappage de champs récemment ajouté.
dest_port Non mappés target.port Mappage de champs récemment ajouté.
error_message Non mappés security_result.summary Mappage de champs récemment ajouté.
error_code Non mappés security_result.detection_fields Mappage de champs récemment ajouté.
function Non mappés security_result.detection_fields Mappage de champs récemment ajouté.
thread_id Non mappés principal.resource.attribute.labels Mappage de champs récemment ajouté.
obj_p Non mappés additional.fields Mappage de champs récemment ajouté.
obj_h Non mappés additional.fields Mappage de champs récemment ajouté.

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.