VMware vCenter 로그 수집

다음에서 지원:

Google SecOps SIEM

이 문서에서는 Bindplane 에이전트를 사용하여 VMware vCenter 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

VMware vCenter는 가상 머신 작업, 호스트 관리, 인증, 구성 변경을 위한 JSON 및 syslog 메시지를 생성하는 서버 관리 플랫폼입니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

• Google SecOps 인스턴스
• Windows Server 2016 이상 또는 systemd가 설치된 Linux 호스트
• Bindplane 에이전트와 VMware vCenter 서버 간의 네트워크 연결
• 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
• VMware vCenter Server 관리 웹 UI에 대한 액세스 권한

Google SecOps 수집 인증 파일 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 수집 에이전트로 이동합니다.
3. 데이터 수집 인증 파일을 다운로드합니다.

4. Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.

   참고: 이 JSON 파일에는 Bindplane 에이전트를 Google SecOps에 인증하기 위한 사용자 인증 정보가 포함되어 있습니다.

Google SecOps 고객 ID 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 프로필로 이동합니다.

3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

   참고: Bindplane 에이전트 내보내기를 구성하려면 고객 ID가 필요합니다.

Bindplane 에이전트 설치

다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.

Windows 설치

1. 관리자 권한으로 명령 프롬프트 또는 PowerShell을 엽니다.

2. 다음 명령어를 실행합니다.

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 설치가 완료될 때까지 기다립니다.

4. 다음을 실행하여 설치를 확인합니다.

   sc query observiq-otel-collector
   

   서비스가 실행 중으로 표시되어야 합니다.

Linux 설치

1. 루트 또는 sudo 권한으로 터미널을 엽니다.

2. 다음 명령어를 실행합니다.

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 설치가 완료될 때까지 기다립니다.

4. 다음을 실행하여 설치를 확인합니다.

   sudo systemctl status observiq-otel-collector
   

   서비스가 활성 (실행 중)으로 표시되어야 합니다.

추가 설치 리소스

추가 설치 옵션 및 문제 해결은 Bindplane 에이전트 설치 가이드를 참고하세요.

syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성

구성 파일 찾기

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

구성 파일 설정

• config.yaml의 전체 콘텐츠를 다음 구성으로 바꿉니다.

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/vmware_vcenter:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: VMWARE_VCENTER
          raw_log_field: body
  
  service:
      pipelines:
          logs/vmware_vcenter_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/vmware_vcenter
  

구성 매개변수

다음 자리표시자를 바꿉니다.

• 수신기 구성:

  • listen_address: 리슨할 IP 주소 및 포트입니다.
    • 0.0.0.0: 모든 인터페이스에서 수신 대기 (권장)
    • 포트 514은 표준 syslog 포트입니다 (Linux에서 루트 필요, 루트가 아닌 경우 1514 사용).

• 내보내기 도구 구성:

  • creds_file_path: 수집 인증 파일의 전체 경로입니다.
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: Google SecOps 콘솔에서 복사한 고객 ID
  • endpoint: 지역 엔드포인트 URL:
    • 미국: malachiteingestion-pa.googleapis.com
    • 유럽: europe-malachiteingestion-pa.googleapis.com
    • 아시아: asia-southeast1-malachiteingestion-pa.googleapis.com
    • 전체 목록은 리전 엔드포인트를 참조하세요.

구성 파일 저장

• 수정 후 파일을 저장합니다.
  • Linux: Ctrl+O, Enter, Ctrl+X 순으로 누릅니다.
  • Windows: 파일 > 저장을 클릭합니다.

변경사항을 적용하려면 Bindplane 에이전트를 다시 시작하세요.

• Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

  sudo systemctl restart observiq-otel-collector
  

  1. 서비스가 실행 중인지 확인합니다.

     sudo systemctl status observiq-otel-collector
     

  2. 로그에서 오류를 확인합니다.

     sudo journalctl -u observiq-otel-collector -f
     

• Windows에서 Bindplane 에이전트를 다시 시작하려면 다음 옵션 중 하나를 선택하세요.

  • 관리자 권한으로 명령 프롬프트 또는 PowerShell을 실행합니다.

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • 서비스 콘솔:

    1. Win+R를 누르고 services.msc를 입력한 다음 Enter 키를 누릅니다.
    2. observIQ OpenTelemetry Collector를 찾습니다.
    3. 마우스 오른쪽 버튼을 클릭하고 다시 시작을 선택합니다.

    4. 서비스가 실행 중인지 확인합니다.

       sc query observiq-otel-collector
       

    5. 로그에서 오류를 확인합니다.

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

VMware vCenter에서 syslog 구성

1. vCenter Server 관리 웹 UI에 로그인합니다.
2. Syslog > Forwarding Configuration으로 이동합니다.
3. 구성을 클릭하여 새 전달 구성을 만듭니다.
4. 다음 구성 세부정보를 제공합니다.
   • 서버 주소: Bindplane 에이전트 IP 주소를 입력합니다.
   • 프로토콜: UDP를 선택합니다.
   • 포트: Bindplane 에이전트 포트 번호를 입력합니다 (예: 514).
5. 저장을 클릭합니다.
6. 테스트 메시지 보내기를 클릭하여 구성을 확인합니다.

UDM 매핑 테이블

다음 표에는 VMware vCenter 로그의 로그-UDM 필드 매핑이 나와 있습니다.

로그 필드	UDM 매핑
Access Mask	principal.process.access_mask
Account Domain	principal.administrative_domain
Account Name	target.user.userid
AccessControlRuleAction	security_result.action
AccessControlRuleName	security_result.rule_name
ACPolicy	security_result.rule_labels
admin	principal.resource.attribute.labels
agent.hostname	principal.hostname, principal.asset.hostname
agent.type	observer.application
agent.version	intermediary.platform_version
alarm_target	about.resource.name
api_call_method	metadata.product_event_type
app	principal.application
ApplicationProtocol	network.application_protocol
appname	principal.application
auth_date_time	metadata.collected_timestamp
auth_user	target.user.userid
Authentication Package	security_result.about.resource.name
basedn_group_iden	target.user.group_identifiers
bytes_received	network.received_bytes
bytes_sent	network.sent_bytes
Client	target.user.attribute.labels
Client Address	principal.ip
Client Port	principal.port
client_ip	principal.ip, principal.asset.ip
client_port	principal.port
ClientVersion	target.platform_version
cmd	target.process.command_line
ConnectionID	security_result.about.labels
cor_id	metadata.product_log_id
data_center	target.location.name
datacenter	target.location.name
desc	metadata.description
description_data	metadata.description
dest_ip	target.ip, target.asset.ip
dest_port	target.port
DeviceUUID	metadata.product_log_id
domain	principal.administrative_domain
dstip	target.ip, target.asset.ip
EgressZone	target.location.name
error_code	security_result.detection_fields
error_message	security_result.summary
event_name	metadata.product_event_type
eventid	metadata.product_event_type
EventPriority	security_result.severity, security_result.severity_details
@fields.company_name	principal.user.company_name
@fields.facility	principal.resource.resource_subtype
@fields.host	principal.hostname, principal.asset.hostname
@fields.privatecloud_id	principal.resource_ancestors.product_object_id
@fields.privatecloud_name	principal.resource_ancestors.name
@fields.procid	principal.process.pid
@fields.region_id	principal.location.country_or_region
file_path	target.process.file.full_path
file_type	network.http.response_headers
FirstPacketSecond	security_result.about.labels
f_path	target.file.full_path
function	security_result.detection_fields
hmethod	network.http.method
host.architecture	principal.asset.hardware
host.id	observer.asset_id
host.ip	principal.ip, principal.asset.ip
host.mac	principal.mac
host.os.kernel	principal.platform_patch_level
host.os.platform	target.platform
host.os.version	principal.platform_version
host_ip	principal.ip, principal.asset.ip
http_method	network.http.method
HTTPResponse	network.http.response_code
http_version	network.tls.version_protocol
i_ip	intermediary.ip, intermediary.asset.ip
i_port	intermediary.port
IngressZone	principal.location.name
InitiatorBytes	network.sent_bytes
InitiatorPackets	network.sent_packets
insertId	metadata.product_log_id
InstanceId	target.asset_id
inter_host_name	intermediary.hostname
inter_ip	intermediary.ip
inter_port	target.port
intermediary_ip	intermediary.ip
intermediary_port	intermediary.port
ip	target.ip, target.asset.ip
ips	principal.ip, principal.asset.ip
jsonPayload.appname	security_result.detection_fields
jsonPayload.facility	security_result.detection_fields
jsonPayload.hostname	principal.hostname, principal.asset.hostname
jsonPayload.message	security_result.detection_fields
jsonPayload.priority	security_result.detection_fields
jsonPayload.version	security_result.detection_fields
kv_msg1.cipher	network.tls.cipher
kv_msg1.ctladdr	intermediary.user.attribute.labels
kv_msg1.daemon	security_result.about.labels
kv_msg1.from	network.email.from
kv_msg1.get_error	intermediary.user.attribute.labels
kv_msg1.msgid	network.email.mail_id
kv_msg1.proto	security_result.about.labels
kv_msg1.size	network.sent_bytes
kv_msg1.stat	security_result.summary
kv_msg1.to	network.email.to
kv_msg1.verify	security_result.description, security_result.action
kv_msg1.version	network.tls.version
labels.log_type	metadata.product_event_type
labels.net.host.ip	principal.ip, principal.asset.ip
labels.net.host.port	principal.port
labels.net.peer.ip	intermediary.ip, intermediary.asset.ip, target.ip, target.asset.ip
labels.net.peer.port	intermediary.port, target.port
labels.net.transport	network.ip_protocol
level	security_result.severity, security_result.severity_details
level_name	security_result.severity, security_result.severity_details
local_address_1	observer.ip
local_address_2	observer.ip
local_port_1	observer.port
log.file.path	target.process.file.full_path
log.source.address	intermediary.ip, intermediary.port
log.syslog.severity.name	security_result.severity_details
log_id	metadata.product_log_id
log_level	security_result.severity, security_result.severity_details
logName	security_result.category_details
Logon Account	principal.user.userid
logstash.irm_site	target.location.name
logstash.process.host	additional.fields
mail_from	network.email.from
mail_to	network.email.to
msg	metadata.description
name	about.group.group_display_name
namespace	principal.namespace
NAPPolicy	security_result.rule_labels
o_ip	observer.ip, observer.asset.ip
o_port	observer.port
obj_h	additional.fields
obj_p	additional.fields
p_ip	principal.ip, principal.asset.ip
p_log_id	metadata.product_log_id
p_port	principal.port
p_user_id	principal.user.userid
p_vm_name	target.resource.name
parsable_message	metadata.description
pid	target.process.pid
port	intermediary.port
ppid	principal.process.pid
prin_app	principal.application
prin_domain	principal.administrative_domain
prin_name	principal.resource.attribute.labels
prin_pid	principal.process.pid
principal_email	principal.user.email_addresses
principal_ip1	principal.ip, principal.asset.ip
principal_ip2	principal.ip, principal.asset.ip
principal_port	principal.port
priority	security_result.severity, security_result.severity_details
process	principal.application
process_id	principal.process.pid
product_event_type	metadata.product_event_type
program	principal.application
Protocol	network.ip_protocol
providername	principal.application
r_bytes	network.received_bytes
r_name	principal.resource.name
ReferencedHost	target.hostname, target.asset.hostname
Relative Target Name	target.file.full_path
relay	intermediary.hostname, intermediary.ip
request_path	target.url
resource.labels.project_id	src.resource_ancestors.product_object_id
resource.type	src.user.attribute.labels
resource_name	target.resource.name
ResponderBytes	network.received_bytes
ResponderPackets	network.received_packets
response_code	network.http.response_code
response_details	target.resource.attribute.labels
role	target.user.attribute.roles
s_bytes	network.sent_bytes
sec_desc	security_result.description
Security ID	target.user.windows_sid
security_result_action_detail	security_result.action_details
server_name	target.hostname, target.asset.hostname
session_id	network.session_id
severity	security_result.severity, security_result.severity_details
severity_data	security_result.severity, security_result.severity_details
Share Name	target.resource.name
sid	about.group.windows_sid
Source Network Address	principal.ip
Source Port	principal.port
source_port	principal.port
src_ip	principal.ip
srcip	principal.ip, principal.asset.ip
ssh_proto	network.application_protocol
summary	security_result.summary
syslog_host	target.hostname, target.asset.hostname
t_ip	target.ip, target.asset.ip
t_port	target.port
t_url	target.url
tags	additional.fields
principal_app	principal.application
target_domain	target.administrative_domain
target_host	target.hostname, target.asset.hostname
target_ip1	target.ip, target.asset.ip
target_ip2	target.ip, target.asset.ip
target_port	target.port
target_userid	target.user.userid
temp_host	intermediary.hostname
tgt_domain	target.administrative_domain
tgt_user	target.user.userid
thread_id	principal.resource.attribute.labels
tls_cipher	network.tls.cipher
type	metadata.product_event_type
upn_name	intermediary.url
upstream_ip	target.ip, target.asset.ip
upstream_port	target.port
URL	target.url
User	security_result.summary
user	target.user.userid, principal.user.userid
User ID	target.user.userid
user_id	principal.user.userid
UserAgent	network.http.user_agent, network.http.parsed_user_agent
username	principal.user.userid
usrName	target.user.userid
vc_event_obj_id	target.asset.asset_id
vc_event_severity	security_result.severity, security_result.severity_details
vc_username	target.user.userid
ver_proto	network.tls.version
version	metadata.product_version
@version	principal.platform_version
vpxd_some_id	additional.fields
LEEF_version	additional.fields
ICMPType	additional.fields
ICMPCode	additional.fields
IngressInterface	additional.fields
EgressInterface	additional.fields
WebApplication	additional.fields
DNSQuery	additional.fields
DNSRecordType	additional.fields
DNSResponseType	additional.fields
DNS_TTL	additional.fields
ApplicationProtocol	additional.fields
service.type	additional.fields
log.syslog.facility.code	additional.fields
log.syslog.facility.name	additional.fields
log.syslog.severity.code	additional.fields
log.syslog.priority	additional.fields
host.os.name	additional.fields
host.os.build	additional.fields
labels.plugin_id	additional.fields
opID	additional.fields
sub	additional.fields
api_invocations	additional.fields
vc_event_cat_0	additional.fields
vc_event_cat_1	additional.fields
vc_event_chain_id	additional.fields
vc_event_obj_name	additional.fields
vc_event_obj_type	additional.fields
p_log_id_repeat	additional.fields
sys_priority	additional.fields
facility	additional.fields
originator	additional.fields
originator_id	additional.fields
subsystem	additional.fields
request_timestamp	additional.fields
response_flags	additional.fields
duration_total_ms	additional.fields
duration_upstream_connect_ms	additional.fields
duration_response_tx_ms	additional.fields
local_port_2	additional.fields
proc_id	additional.fields
eventid_label	additional.fields
Logger_Name	additional.fields
subcomponent	additional.fields
op_id	additional.fields
vcenter_uuid_1	additional.fields
vcenter_uuid_2	additional.fields
object_lookup_method	additional.fields
conn_id	additional.fields
performed_action	additional.fields
login_time	additional.fields
open_connections	additional.fields
total_connections	additional.fields
channel_id	additional.fields
line_number	additional.fields
vc_event_desc	additional.fields
uid	additional.fields
euid	additional.fields
ruser	additional.fields
tty	additional.fields
tenant	additional.fields
duration_ms	additional.fields
provider	additional.fields
provider_type	additional.fields
response_flag	additional.fields
http_path	additional.fields
unknown_metric_1	additional.fields
unknown_metric_2	additional.fields
sequence_id	additional.fields
syslog_facility_code	additional.fields
syslog_severity_code	additional.fields
syslog_severity	additional.fields
syslog_pri	additional.fields
syslog_facility	additional.fields
logstash.collect.timestamp	additional.fields
logstash.ingest.timestamp	additional.fields
logstash.process.timestamp	additional.fields
logstash.irm_site	additional.fields
logstash.irm_environment	additional.fields
logstash.irm_region	additional.fields
agent.id	additional.fields
agent.ephemeral_id	additional.fields
ecs.version	additional.fields
input.type	additional.fields

UDM 매핑 델타 참조

2026년 9월 15일에 Google SecOps에서 VMware vCenter 로그 필드를 UDM 필드에 매핑하는 변경사항이 포함된 VMware vCenter 파서의 새 버전을 출시했습니다.

로그 필드 매핑 델타

다음 표에는 2026년 9월 15일 이전에 노출된 VMware vCenter 로그-UDM 필드와 그 이후의 매핑 델타가 나와 있습니다 (각각 이전 매핑 및 현재 매핑 열에 나열됨).

로그 필드	이전 매핑	현재 매핑	변경 사유
appname	target.application	principal.application	이는 사용자가 작업을 시작하는 도구로 간주되므로 작업이 수행되는 대상이 아닌 이벤트를 발생시키는 기본 애플리케이션이 됩니다.
auth_user	principal.user.userid	target.user.userid	사용자가 조치를 취하는 사용자 로그인 이벤트입니다.
logstash.process.host	target.hostname	additional.fields	이 필드는 Logstash 파이프라인에 의해 추가됩니다. 로그 수집 인프라의 일부인 Logstash 프로세스가 실행 중인 서버의 호스트 이름을 나타냅니다. 이 호스트는 이벤트 자체의 소스가 아니라 로그를 처리하는 중개자입니다.
username	target.user.userid	principal.user.userid	이 사용자 ID는 이벤트의 소스에 속하며 타겟에 속하지 않습니다.
domain	target.administrative_domain	principal.administrative_domain	이 도메인은 이벤트의 src에 속하며 타겟에 속하지 않습니다.
resource.labels.project_id	src.cloud.project.id	src.resource_ancestors.product_object_id	이전 필드가 지원 중단되었습니다.
target_app	target.application	principal.application	로그에는 내부 싱글 사인온(SSO)이 구체적으로 설명되어 있습니다.
process	additional.fields	principal.application	더 적합합니다.
app	target.application	principal.application	로그는 내부 싱글 사인온을 구체적으로 설명합니다.
@fields.privatecloud_id	principal.cloud.project.id	principal.resource_ancestors.product_object_id	이전 필드가 지원 중단되었습니다.
@fields.privatecloud_name	principal.cloud.project.name	principal.resource_ancestors.name	이전 필드가 지원 중단되었습니다.
@fields.facility	principal.resource.type	principal.resource.resource_subtype	이전 필드가 지원 중단되었습니다.
Client	target.labels	target.user.attribute.labels	이전 필드가 지원 중단되었습니다.
kv_msg1.ctladdr	intermediary.labels	intermediary.user.attribute.labels	이전 필드가 지원 중단되었습니다.
kv_msg1.get_error	intermediary.labels	intermediary.user.attribute.labels	이전 필드가 지원 중단되었습니다.
resource.type	src.labels	src.user.attribute.labels	이전 필드가 지원 중단되었습니다.
admin	principal.user.attribute.labels	principal.resource.attribute.labels	이전 필드가 지원 중단되었습니다.
role	target.user.role_name	target.user.attribute.roles	이전 필드가 지원 중단되었습니다.
syslog_host	매핑되지 않음	target.hostname	새로 추가된 필드 매핑입니다.
log.source.address	매핑되지 않음	intermediary.ip, intermediary.port	새로 추가된 필드 매핑입니다.
agent.type	매핑되지 않음	observer.application	새로 추가된 필드 매핑입니다.
agent.version	매핑되지 않음	intermediary.platform_version	새로 추가된 필드 매핑입니다.
pid	매핑되지 않음	target.process.pid	새로 추가된 필드 매핑입니다.
temp_host	매핑되지 않음	intermediary.hostname	새로 추가된 필드 매핑입니다.
port	매핑되지 않음	intermediary.port	새로 추가된 필드 매핑입니다.
inter_hostname	매핑되지 않음	intermediary.hostname	새로 추가된 필드 매핑입니다.
tgt_user	매핑되지 않음	target.user.userid	새로 추가된 필드 매핑입니다.
tgt_domain	매핑되지 않음	target.administrative_domain	새로 추가된 필드 매핑입니다.
alarm_target	매핑되지 않음	about.resource.name	새로 추가된 필드 매핑입니다.
prin_app	매핑되지 않음	principal.application	새로 추가된 필드 매핑입니다.
dest_ip	매핑되지 않음	target.ip	새로 추가된 필드 매핑입니다.
dest_port	매핑되지 않음	target.port	새로 추가된 필드 매핑입니다.
error_message	매핑되지 않음	security_result.summary	새로 추가된 필드 매핑입니다.
error_code	매핑되지 않음	security_result.detection_fields	새로 추가된 필드 매핑입니다.
function	매핑되지 않음	security_result.detection_fields	새로 추가된 필드 매핑입니다.
thread_id	매핑되지 않음	principal.resource.attribute.labels	새로 추가된 필드 매핑입니다.
obj_p	매핑되지 않음	additional.fields	새로 추가된 필드 매핑입니다.
obj_h	매핑되지 않음	additional.fields	새로 추가된 필드 매핑입니다.

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.