Omnissa Workspace ONE UEM-Protokolle (ehemals VMware Workspace ONE) erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Omnissa Workspace ONE UEM-Logs (früher VMware Workspace ONE) mit Bindplane in Google Security Operations aufnehmen.

Omnissa Workspace ONE UEM ist eine einheitliche Plattform für die Endpunktverwaltung, mit der Unternehmen Geräte, Anwendungen und Daten auf Mobilgeräten, Computern, robusten Geräten und IoT-Endpunkten verwalten und schützen können. Der Parser normalisiert Syslog-Nachrichten von Workspace ONE UEM, extrahiert Felder wie Geräte-Compliance-Ereignisse, Aktionen zur Anwendungsverwaltung, Änderungen des Registrierungsstatus und Aktivitäten zur Konsolenverwaltung und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein: * Eine Google SecOps-Instanz * Windows Server 2016 oder höher oder Linux-Host mit systemd * Netzwerkverbindung zwischen dem Bindplane-Agenten und der Omnissa Workspace ONE UEM-Konsole * Wenn Sie hinter einem Proxy arbeiten, müssen die Firewall-Ports gemäß den Anforderungen des Bindplane-Agenten geöffnet sein. * Administratorzugriff auf die Omnissa Workspace ONE UEM-Konsole

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agent bei Google SecOps zu authentifizieren:

• Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
• Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis :Der JSON-Schlüssel ist eine Anmeldedaten. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der Legacy Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profile auf.

3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

   Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Problembehebung finden Sie im Installationsanleitung für den Bindplane-Agent.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, führen Sie ein Upgrade des Collectors durch, bevor Sie die Konfiguration ändern.

Bindplane-Agent für die Aufnahme von Syslog und das Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/workspace_one:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: VMWARE_WORKSPACE_ONE
      raw_log_field: body
  
  service:
    pipelines:
      logs/workspace_one_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/workspace_one
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

Empfängerkonfiguration:

• listen_address: IP-Adresse und Port, auf dem gelauscht werden soll:
  • 0.0.0.0, um auf allen Schnittstellen zu lauschen (empfohlen)
  • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

Exporter-Konfiguration:

• creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
  • Linux: /opt/observiq-otel-collector/ingestion-auth.json
  • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
• customer_id: Kundennummer, die aus der Google SecOps-Konsole kopiert wurde
• location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporteur stellt diesem Wert das Präfix chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
• project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM & Verwaltung > Einstellungen.
• endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Legacy-Ingestion-API-Exporter

• Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/workspace_one:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: VMWARE_WORKSPACE_ONE
      raw_log_field: body
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

So starten Sie den Bindplane-Agenten unter Linux neu:

1. Führen Sie dazu diesen Befehl aus:

   sudo systemctl restart observiq-otel-collector
   

2. Prüfen Sie, ob der Dienst ausgeführt wird:

   sudo systemctl status observiq-otel-collector
   

3. Prüfen Sie die Logs auf Fehler:

   sudo journalctl -u observiq-otel-collector -f
   

Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

• Eingabeaufforderung oder PowerShell als Administrator:

  net stop observiq-otel-collector && net start observiq-otel-collector
  

• Dienstkonsole:

  1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
  2. Suchen Sie nach observIQ OpenTelemetry Collector.

  3. Rechtsklicken Sie und wählen Sie Neu starten aus.

  4. Prüfen Sie, ob der Dienst ausgeführt wird:

     sc query observiq-otel-collector
     

  5. Prüfen Sie die Logs auf Fehler:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

Syslog-Weiterleitung in Omnissa Workspace ONE UEM konfigurieren

1. Melden Sie sich in der Omnissa Workspace ONE UEM-Konsole an.
2. Gehen Sie zu Einstellungen > System > Enterprise-Integration > Syslog.
3. Wählen Sie Aktiviert aus, um die Syslog-Integration zu aktivieren.

4. Geben Sie die folgenden Konfigurationsdetails an:

   • Hostname: Geben Sie die IP-Adresse oder den Hostnamen des Bindplane-Agent-Hosts ein (z. B. 192.168.1.100).
   • Port: Geben Sie 514 ein.
   • Protokoll: Wählen Sie TCP aus.
   • Syslog-Einrichtung: Wählen Sie Local0 oder eine andere für Ihre Umgebung geeignete Einrichtung aus.
   • Nachrichten-Tag: Geben Sie ein aussagekräftiges Tag ein (z. B. WorkspaceONE).
   Hinweis :Das Protokoll und der Port müssen mit der Empfängerkonfiguration des Bindplane-Agents übereinstimmen. In dieser Anleitung wird TCP auf Port 514 verwendet.

5. Wählen Sie im Bereich Ereigniskategorien die Ereignistypen aus, die weitergeleitet werden sollen:

   • Geräteereignisse: Änderungen bei Registrierung, Compliance und Gerätestatus
   • Konsolenereignisse – Administratoraktionen und Konfigurationsänderungen
   • Anwendungsereignisse: Installation, Entfernung und Verwaltung von Anwendungen
   • Compliance-Ereignisse: Richtlinienverstöße und Abhilfemaßnahmen

6. Klicken Sie auf Speichern, um die Syslog-Konfiguration anzuwenden.

7. Prüfen Sie, ob Logs gesendet werden, indem Sie die Bindplane-Agent-Logs prüfen.

   Hinweis: In der Workspace ONE UEM-Konsole ab Version 2410 wird möglicherweise das aktualisierte Omnissa-Branding angezeigt, während in einigen internen Verweisen noch VMware- oder AirWatch-Namen zu sehen sind. Dies hat keine Auswirkungen auf die Syslog-Funktionalität.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
AdminAccount	principal.user.userid	Der AdminAccount aus dem Rohlog wird dem Feld principal.user.userid zugeordnet.
Application	target.application	Das Feld Application aus dem Rohlog wird dem Feld target.application zugeordnet.
ApplicationUUID	additional.fields	Das Feld ApplicationUUID aus dem Rohlog wird dem Array additional.fields im UDM als Schlüssel/Wert-Paar hinzugefügt. Der Schlüssel ist „ApplicationUUID“.
BytesReceived	network.received_bytes	Das Feld BytesReceived aus dem Rohlog wird dem Feld network.received_bytes zugeordnet.
Device	target.hostname	Das Feld Device aus dem Rohlog wird dem Feld target.hostname zugeordnet.
FriendlyName	target.hostname	Das Feld FriendlyName aus dem Rohlog wird dem Feld target.hostname zugeordnet, wenn Device nicht verfügbar ist.
GroupManagementData	security_result.description	Das Feld GroupManagementData aus dem Rohlog wird dem Feld security_result.description zugeordnet.
Hmac	additional.fields	Das Feld Hmac aus dem Rohlog wird als Schlüssel/Wert-Paar dem additional.fields-Array im UDM hinzugefügt. Der Schlüssel ist „Hmac“.
LoginSessionID	network.session_id	Das Feld LoginSessionID aus dem Rohlog wird dem Feld network.session_id zugeordnet.
LogDescription	metadata.description	Das Feld LogDescription aus dem Rohlog wird dem Feld metadata.description zugeordnet.
MessageText	metadata.description	Das Feld MessageText aus dem Rohlog wird dem Feld metadata.description zugeordnet.
OriginatingOrganizationGroup	principal.user.group_identifiers	Das Feld OriginatingOrganizationGroup aus dem Rohlog wird dem Feld principal.user.group_identifiers zugeordnet.
OwnershipType	additional.fields	Das Feld OwnershipType aus dem Rohlog wird dem Array additional.fields im UDM als Schlüssel/Wert-Paar hinzugefügt. Der Schlüssel ist „OwnershipType“.
Profile	target.resource.name	Das Feld Profile aus dem Rohlog wird dem Feld target.resource.name zugeordnet, wenn ProfileName nicht verfügbar ist.
ProfileName	target.resource.name	Das Feld ProfileName aus dem Rohlog wird dem Feld target.resource.name zugeordnet.
Request Url	target.url	Das Feld Request Url aus dem Rohlog wird dem Feld target.url zugeordnet.
SmartGroupName	target.group.group_display_name	Das Feld SmartGroupName aus dem Rohlog wird dem Feld target.group.group_display_name zugeordnet.
Tags	additional.fields	Das Feld Tags aus dem Rohlog wird dem Array additional.fields im UDM als Schlüssel/Wert-Paar hinzugefügt. Der Schlüssel ist „Tags“.
User	target.user.userid	Das Feld User aus dem Rohlog wird dem Feld target.user.userid zugeordnet. Der Event Category aus dem Rohlog wird als Schlüssel/Wert-Paar dem additional.fields-Array im UDM hinzugefügt. Der Schlüssel ist „Ereigniskategorie“. Der Event Module aus dem Rohlog wird dem additional.fields-Array im UDM als Schlüssel/Wert-Paar hinzugefügt. Der Schlüssel ist „Event Module“. Die Event Source aus dem Rohlog wird als Schlüssel/Wert-Paar dem additional.fields-Array im UDM hinzugefügt. Der Schlüssel ist „Ereignisquelle“. Wird vom Parser für bestimmte Ereignisse auf „SSO“ gesetzt. Abgeleitet vom Zeitstempel des Rohlogs. Der Parser extrahiert das Datum und die Uhrzeit aus dem Rohprotokoll und konvertiert sie in einen UDM-Zeitstempel. Wird vom Parser anhand von event_name und anderen Feldern bestimmt. Die Zuordnungslogik finden Sie im Parsercode. Wird vom Parser auf „AIRWATCH“ gesetzt. Der event_name aus dem Rohlog wird dem Feld metadata.product_event_type zugeordnet. Wird vom Parser auf „AirWatch“ gesetzt. Wird vom Parser auf „VMWare“ gesetzt. Der domain aus dem Rohlog wird dem Feld principal.administrative_domain zugeordnet. Der hostname wird aus dem Feld device_name im Rohlog extrahiert oder aus den Feldern Device oder FriendlyName zugeordnet. Der sys_ip aus dem Rohlog wird dem Feld principal.ip zugeordnet. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Aus dem Rohprotokoll für bestimmte Ereignistypen extrahiert. Der user_name aus dem Rohlog wird dem Feld principal.user.userid zugeordnet. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Wird vom Parser für bestimmte Ereignisse festgelegt. Wird vom Parser für bestimmte Ereignisse festgelegt. Der event_category aus dem Rohlog wird dem Feld security_result.category_details zugeordnet. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Aus dem Rohprotokoll für bestimmte Ereignistypen extrahiert. Der domain aus dem Rohlog wird dem Feld target.administrative_domain zugeordnet. Wird durch Kombinieren von DeviceSerialNumber und DeviceUdid aus dem Rohprotokoll für das Ereignis „DeleteDeviceRequested“ erstellt. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Aus dem Rohprotokoll für bestimmte Ereignistypen extrahiert. Die sys_ip oder andere IP-Adressen aus dem Rohlog werden dem Feld target.ip zugeordnet. Aus dem Rohprotokoll für bestimmte Ereignistypen extrahiert. Aus dem Rohprotokoll für bestimmte Ereignistypen extrahiert. Wird vom Parser für bestimmte Ereignisse festgelegt. Aus dem Rohprotokoll für bestimmte Ereignistypen extrahiert. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten