Omnissa Workspace ONE UEM-Logs (früher VMware Workspace ONE) erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Omnissa Workspace ONE UEM-Logs (früher VMware Workspace ONE) mit Bindplane in Google Security Operations aufnehmen.

Omnissa Workspace ONE UEM ist eine einheitliche Plattform für die Endpunktverwaltung, mit der Unternehmen Geräte, Anwendungen und Daten auf Mobilgeräten, Computern, robusten Geräten und IoT-Endpunkten verwalten und schützen können. Der Parser normalisiert Syslog-Nachrichten von Workspace ONE UEM, extrahiert Felder wie Ereignisse zur Geräte-Compliance, Aktionen zur Anwendungsverwaltung, Änderungen des Registrierungsstatus und Aktivitäten zur Konsolenverwaltung und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein: * Eine Google SecOps-Instanz * Windows Server 2016 oder höher oder ein Linux-Host mit systemd * Netzwerkverbindung zwischen dem Bindplane-Agenten und der Omnissa Workspace ONE UEM-Konsole * Wenn Sie hinter einem Proxy arbeiten, müssen die Firewall-Ports gemäß den Anforderungen des Bindplane-Agenten geöffnet sein. * Administratorzugriff auf die Omnissa Workspace ONE UEM-Konsole

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der alten Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.

3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

   Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agent für die Aufnahme von Syslog und das Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/workspace_one:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: VMWARE_WORKSPACE_ONE
      raw_log_field: body
  
  service:
    pipelines:
      logs/workspace_one_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/workspace_one
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

Empfängerkonfiguration:

• listen_address: IP-Adresse und Port, auf dem gelauscht werden soll:
  • 0.0.0.0, um auf allen Schnittstellen zu lauschen (empfohlen)
  • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

Exporter-Konfiguration:

• creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
  • Linux: /opt/observiq-otel-collector/ingestion-auth.json
  • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
• customer_id: Kundennummer, die aus der Google SecOps-Konsole kopiert wurde
• location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
• project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
• endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Legacy-Ingestion-API-Exporter

• Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/workspace_one:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: VMWARE_WORKSPACE_ONE
      raw_log_field: body
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

So starten Sie den Bindplane-Agenten unter Linux neu:

1. Führen Sie dazu diesen Befehl aus:

   sudo systemctl restart observiq-otel-collector
   

2. Prüfen Sie, ob der Dienst ausgeführt wird:

   sudo systemctl status observiq-otel-collector
   

3. Prüfen Sie die Logs auf Fehler:

   sudo journalctl -u observiq-otel-collector -f
   

Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

• Eingabeaufforderung oder PowerShell als Administrator:

  net stop observiq-otel-collector && net start observiq-otel-collector
  

• Dienstkonsole:

  1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
  2. Suchen Sie nach observIQ OpenTelemetry Collector.

  3. Rechtsklicken Sie und wählen Sie Neu starten aus.

  4. Prüfen Sie, ob der Dienst ausgeführt wird:

     sc query observiq-otel-collector
     

  5. Prüfen Sie die Logs auf Fehler:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

Syslog-Weiterleitung in Omnissa Workspace ONE UEM konfigurieren

1. Melden Sie sich in der Omnissa Workspace ONE UEM-Konsole an.
2. Gehen Sie zu Einstellungen > System > Enterprise-Integration > Syslog.
3. Wählen Sie Aktiviert aus, um die Syslog-Integration zu aktivieren.

4. Geben Sie die folgenden Konfigurationsdetails an:

   • Hostname: Geben Sie die IP-Adresse oder den Hostnamen des Bindplane-Agent-Hosts ein (z. B. 192.168.1.100).
   • Port: Geben Sie 514 ein.
   • Protokoll: Wählen Sie TCP aus.
   • Syslog-Einrichtung: Wählen Sie Local0 oder eine andere für Ihre Umgebung geeignete Einrichtung aus.
   • Nachrichten-Tag: Geben Sie ein beschreibendes Tag ein (z. B. WorkspaceONE).
   Hinweis: Protokoll und Port müssen mit der Empfängerkonfiguration des Bindplane-Agents übereinstimmen. In dieser Anleitung wird TCP auf Port 514 verwendet.

5. Wählen Sie im Bereich Ereigniskategorien die Ereignistypen aus, die weitergeleitet werden sollen:

   • Geräteereignisse: Registrierung, Compliance und Änderungen des Gerätestatus
   • Konsolenereignisse: Administratoraktionen und Konfigurationsänderungen
   • Anwendungsereignisse: Installation, Entfernung und Verwaltung von Anwendungen
   • Compliance-Ereignisse: Richtlinienverstöße und Abhilfemaßnahmen

6. Klicken Sie auf Speichern, um die Syslog-Konfiguration anzuwenden.

7. Prüfen Sie die Bindplane-Agent-Logs, um sicherzustellen, dass Logs gesendet werden.

   Hinweis: In der Workspace ONE UEM-Konsole ab Version 2410 wird auf der Benutzeroberfläche möglicherweise das aktualisierte Omnissa-Branding angezeigt, während in einigen internen Verweisen noch die Namen VMware oder AirWatch zu sehen sind. Dies hat keine Auswirkungen auf die Syslog-Funktionalität.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
AdminAccount	principal.user.userid	Der AdminAccount aus dem Rohlog wird dem Feld principal.user.userid zugeordnet.
Application	target.application	Das Feld Application aus dem Rohlog wird dem Feld target.application zugeordnet.
ApplicationUUID	additional.fields	Das Feld ApplicationUUID aus dem Rohlog wird als Schlüssel/Wert-Paar dem Array additional.fields im UDM hinzugefügt. Der Schlüssel ist „ApplicationUUID“.
BytesReceived	network.received_bytes	Das Feld BytesReceived aus dem Rohlog wird dem Feld network.received_bytes zugeordnet.
Device	target.hostname	Das Feld Device aus dem Rohlog wird dem Feld target.hostname zugeordnet.
FriendlyName	target.hostname	Das Feld FriendlyName aus dem Rohlog wird dem Feld target.hostname zugeordnet, wenn Device nicht verfügbar ist.
GroupManagementData	security_result.description	Das Feld GroupManagementData aus dem Rohlog wird dem Feld security_result.description zugeordnet.
Hmac	additional.fields	Das Feld Hmac aus dem Rohlog wird als Schlüssel/Wert-Paar dem Array additional.fields im UDM hinzugefügt. Der Schlüssel ist „Hmac“.
LoginSessionID	network.session_id	Das Feld LoginSessionID aus dem Rohlog wird dem Feld network.session_id zugeordnet.
LogDescription	metadata.description	Das Feld LogDescription aus dem Rohlog wird dem Feld metadata.description zugeordnet.
MessageText	metadata.description	Das Feld MessageText aus dem Rohlog wird dem Feld metadata.description zugeordnet.
OriginatingOrganizationGroup	principal.user.group_identifiers	Das Feld OriginatingOrganizationGroup aus dem Rohlog wird dem Feld principal.user.group_identifiers zugeordnet.
OwnershipType	additional.fields	Das Feld OwnershipType aus dem Rohlog wird als Schlüssel/Wert-Paar dem Array additional.fields im UDM hinzugefügt. Der Schlüssel ist „OwnershipType“.
Profile	target.resource.name	Das Feld Profile aus dem Rohlog wird dem Feld target.resource.name zugeordnet, wenn ProfileName nicht verfügbar ist.
ProfileName	target.resource.name	Das Feld ProfileName aus dem Rohlog wird dem Feld target.resource.name zugeordnet.
Request Url	target.url	Das Feld Request Url aus dem Rohlog wird dem Feld target.url zugeordnet.
SmartGroupName	target.group.group_display_name	Das Feld SmartGroupName aus dem Rohlog wird dem Feld target.group.group_display_name zugeordnet.
Tags	additional.fields	Das Feld Tags aus dem Rohlog wird als Schlüssel/Wert-Paar dem Array additional.fields im UDM hinzugefügt. Der Schlüssel ist „Tags“.
User	target.user.userid	Das Feld User aus dem Rohlog wird dem Feld target.user.userid zugeordnet. Der Event Category aus dem Rohlog wird dem additional.fields-Array im UDM als Schlüssel/Wert-Paar hinzugefügt. Der Schlüssel ist „Ereigniskategorie“. Der Event Module aus dem Rohlog wird dem additional.fields-Array im UDM als Schlüssel/Wert-Paar hinzugefügt. Der Schlüssel ist „Event Module“. Der Event Source aus dem Rohlog wird dem additional.fields-Array im UDM als Schlüssel/Wert-Paar hinzugefügt. Der Schlüssel ist „Event Source“. Wird vom Parser für bestimmte Ereignisse auf „SSO“ gesetzt. Abgeleitet vom Zeitstempel des Rohlogs. Der Parser extrahiert das Datum und die Uhrzeit aus dem Rohlog und konvertiert sie in einen UDM-Zeitstempel. Wird vom Parser anhand von event_name und anderen Feldern bestimmt. Die Zuordnungslogik finden Sie im Parsercode. Wird vom Parser auf „AIRWATCH“ gesetzt. Der event_name aus dem Rohlog wird dem Feld metadata.product_event_type zugeordnet. Wird vom Parser auf „AirWatch“ gesetzt. Wird vom Parser auf „VMWare“ gesetzt. Der domain aus dem Rohlog wird dem Feld principal.administrative_domain zugeordnet. Der hostname wird aus dem Feld device_name im Rohlog extrahiert oder aus den Feldern Device oder FriendlyName zugeordnet. Der sys_ip aus dem Rohlog wird dem Feld principal.ip zugeordnet. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Der user_name aus dem Rohlog wird dem Feld principal.user.userid zugeordnet. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Wird vom Parser für bestimmte Ereignisse festgelegt. Wird vom Parser für bestimmte Ereignisse festgelegt. Der event_category aus dem Rohlog wird dem Feld security_result.category_details zugeordnet. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Der domain aus dem Rohlog wird dem Feld target.administrative_domain zugeordnet. Wird durch Kombinieren von DeviceSerialNumber und DeviceUdid aus dem Rohprotokoll für das Ereignis „DeleteDeviceRequested“ erstellt. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Die sys_ip oder andere IP-Adressen aus dem Rohlog werden dem Feld target.ip zugeordnet. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Wird vom Parser für bestimmte Ereignisse festgelegt. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten