Omnissa Workspace ONE UEM-Logs (früher VMware Workspace ONE) erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Omnissa Workspace ONE UEM-Logs (früher VMware Workspace ONE) mit Bindplane in Google Security Operations aufnehmen.

Omnissa Workspace ONE UEM ist eine einheitliche Plattform für die Endpunktverwaltung, mit der Unternehmen Geräte, Anwendungen und Daten auf Mobilgeräten, Computern, robusten Geräten und IoT-Endpunkten verwalten und schützen können. Der Parser normalisiert Syslog-Meldungen von Workspace ONE UEM, extrahiert Felder wie Ereignisse zur Gerätekonformität, Aktionen zur Anwendungsverwaltung, Änderungen des Registrierungsstatus und Aktivitäten zur Konsolenadministration und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind: * Eine Google SecOps-Instanz * Windows Server 2016 oder höher oder Linux-Host mit systemd * Netzwerkverbindung zwischen dem Bindplane-Agent und der Omnissa Workspace ONE UEM-Konsole * Wenn Sie einen Proxy verwenden, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein. * Administratorzugriff auf die Omnissa Workspace ONE UEM-Konsole

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.

  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profil auf.

  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsleitfaden für den Bindplane-Agent.

Bindplane-Agent für die Aufnahme von Syslog und das Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/workspace_one:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: VMWARE_WORKSPACE_ONE
        raw_log_field: body

service:
    pipelines:
        logs/workspace_one_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/workspace_one

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

Empfängerkonfiguration:

  • listen_address: IP-Adresse und Port, auf die gewartet werden soll:
    • 0.0.0.0, um auf allen Schnittstellen zu lauschen (empfohlen)
    • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

Exporter-Konfiguration:

  • creds_file_path: Vollständiger Pfad zur Authentifizierungsdatei für die Datenaufnahme:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: Die Kundennummer, die aus der Google SecOps Console kopiert wurde
  • endpoint: Regionale Endpunkt-URL:
    • USA: malachiteingestion-pa.googleapis.com
    • Europa: europe-malachiteingestion-pa.googleapis.com
    • Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Eine vollständige Liste finden Sie unter Regionale Endpunkte.

Konfigurationsdatei speichern

  • Speichern Sie die Datei nach der Bearbeitung:
    • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
    • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

So starten Sie den Bindplane-Agent unter Linux neu:

  1. Führen Sie dazu diesen Befehl aus:

    sudo systemctl restart observiq-otel-collector

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sudo systemctl status observiq-otel-collector

  3. Logs auf Fehler prüfen:

    sudo journalctl -u observiq-otel-collector -f

Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector

  • Dienstkonsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.

    3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

      sc query observiq-otel-collector

    5. Logs auf Fehler prüfen:

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung in Omnissa Workspace ONE UEM konfigurieren

  1. Melden Sie sich in der Omnissa Workspace ONE UEM-Konsole an.
  2. Gehen Sie zu Einstellungen > System > Enterprise-Integration > Syslog.
  3. Wählen Sie Aktiviert aus, um die Syslog-Integration zu aktivieren.

  4. Geben Sie die folgenden Konfigurationsdetails an:

    • Hostname: Geben Sie die IP-Adresse oder den Hostnamen des Bindplane-Agent-Hosts ein, z. B. 192.168.1.100.
    • Port: Geben Sie 514 ein.
    • Protokoll: Wählen Sie TCP aus.
    • Syslog Facility: Wählen Sie Local0 oder eine andere für Ihre Umgebung geeignete Einrichtung aus.
    • Nachrichtentag: Geben Sie einen aussagekräftigen Tag ein, z. B. WorkspaceONE.

  5. Wählen Sie im Bereich Ereigniskategorien die Ereignistypen aus, die weitergeleitet werden sollen:

    • Geräteereignisse – Registrierung, Compliance und Änderungen des Gerätestatus
    • Konsolenereignisse: Administratoraktionen und Konfigurationsänderungen
    • Anwendungsereignisse: Installation, Entfernung und Verwaltung von Anwendungen
    • Compliance-Ereignisse – Richtlinienverstöße und Abhilfemaßnahmen

  6. Klicken Sie auf Speichern, um die Syslog-Konfiguration anzuwenden.

  7. Prüfen Sie, ob Logs gesendet werden, indem Sie die Bindplane-Agent-Logs prüfen.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
AdminAccount principal.user.userid Das AdminAccount aus dem Rohlog wird dem Feld principal.user.userid zugeordnet.
Application target.application Das Feld Application aus dem Rohlog wird dem Feld target.application zugeordnet.
ApplicationUUID additional.fields Das Feld ApplicationUUID aus dem Rohlog wird dem Array additional.fields im UDM als Schlüssel/Wert-Paar hinzugefügt. Der Schlüssel ist „ApplicationUUID“.
BytesReceived network.received_bytes Das Feld BytesReceived aus dem Rohlog wird dem Feld network.received_bytes zugeordnet.
Device target.hostname Das Feld Device aus dem Rohlog wird dem Feld target.hostname zugeordnet.
FriendlyName target.hostname Das Feld FriendlyName aus dem Rohlog wird dem Feld target.hostname zugeordnet, wenn Device nicht verfügbar ist.
GroupManagementData security_result.description Das Feld GroupManagementData aus dem Rohlog wird dem Feld security_result.description zugeordnet.
Hmac additional.fields Das Feld Hmac aus dem Rohlog wird dem Array additional.fields im UDM als Schlüssel/Wert-Paar hinzugefügt. Der Schlüssel ist „Hmac“.
LoginSessionID network.session_id Das Feld LoginSessionID aus dem Rohlog wird dem Feld network.session_id zugeordnet.
LogDescription metadata.description Das Feld LogDescription aus dem Rohlog wird dem Feld metadata.description zugeordnet.
MessageText metadata.description Das Feld MessageText aus dem Rohlog wird dem Feld metadata.description zugeordnet.
OriginatingOrganizationGroup principal.user.group_identifiers Das Feld OriginatingOrganizationGroup aus dem Rohlog wird dem Feld principal.user.group_identifiers zugeordnet.
OwnershipType additional.fields Das Feld OwnershipType aus dem Rohlog wird als Schlüssel/Wert-Paar dem additional.fields-Array im UDM hinzugefügt. Der Schlüssel ist „OwnershipType“.
Profile target.resource.name Das Feld Profile aus dem Rohlog wird dem Feld target.resource.name zugeordnet, wenn ProfileName nicht verfügbar ist.
ProfileName target.resource.name Das Feld ProfileName aus dem Rohlog wird dem Feld target.resource.name zugeordnet.
Request Url target.url Das Feld Request Url aus dem Rohlog wird dem Feld target.url zugeordnet.
SmartGroupName target.group.group_display_name Das Feld SmartGroupName aus dem Rohlog wird dem Feld target.group.group_display_name zugeordnet.
Tags additional.fields Das Feld Tags aus dem Rohlog wird als Schlüssel/Wert-Paar dem additional.fields-Array im UDM hinzugefügt. Der Schlüssel ist „Tags“.
User target.user.userid Das Feld User aus dem Rohlog wird dem Feld target.user.userid zugeordnet. Die Event Category aus dem Rohlog wird als Schlüssel/Wert-Paar dem additional.fields-Array im UDM hinzugefügt. Der Schlüssel ist „Event Category“. Die Event Module aus dem Rohlog wird als Schlüssel/Wert-Paar dem additional.fields-Array im UDM hinzugefügt. Der Schlüssel ist „Event Module“. Die Event Source aus dem Rohlog wird als Schlüssel/Wert-Paar dem additional.fields-Array im UDM hinzugefügt. Der Schlüssel ist „Event Source“ (Ereignisquelle). Wird vom Parser für bestimmte Ereignisse auf „SSO“ gesetzt. Abgeleitet vom Zeitstempel des Rohlogs. Der Parser extrahiert Datum und Uhrzeit aus dem Rohlog und wandelt sie in einen UDM-Zeitstempel um. Wird vom Parser anhand von event_name und anderen Feldern bestimmt. Die Zuordnungslogik finden Sie im Parsercode. Wird vom Parser auf „AIRWATCH“ festgelegt. Das event_name aus dem Rohlog wird dem Feld metadata.product_event_type zugeordnet. Wird vom Parser auf „AirWatch“ festgelegt. Wird vom Parser auf „VMWare“ gesetzt. Der domain aus dem Rohlog wird dem Feld principal.administrative_domain zugeordnet. Der hostname wird aus dem Feld device_name im Rohlog extrahiert oder den Feldern Device oder FriendlyName zugeordnet. Der sys_ip aus dem Rohlog wird dem Feld principal.ip zugeordnet. Aus dem Rohprotokoll für bestimmte Ereignistypen extrahiert. Aus dem Rohprotokoll für bestimmte Ereignistypen extrahiert. Der user_name aus dem Rohlog wird dem Feld principal.user.userid zugeordnet. Aus dem Rohprotokoll für bestimmte Ereignistypen extrahiert. Wird vom Parser für bestimmte Ereignisse festgelegt. Wird vom Parser für bestimmte Ereignisse festgelegt. Der event_category aus dem Rohlog wird dem Feld security_result.category_details zugeordnet. Aus dem Rohprotokoll für bestimmte Ereignistypen extrahiert. Aus dem Rohprotokoll für bestimmte Ereignistypen extrahiert. Der domain aus dem Rohlog wird dem Feld target.administrative_domain zugeordnet. Wird durch Kombinieren von DeviceSerialNumber und DeviceUdid aus dem Rohprotokoll für das Ereignis „DeleteDeviceRequested“ erstellt. Aus dem Rohprotokoll für bestimmte Ereignistypen extrahiert. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Die sys_ip oder andere IP-Adressen aus dem Rohlog werden dem Feld target.ip zugeordnet. Aus dem Rohprotokoll für bestimmte Ereignistypen extrahiert. Aus dem Rohprotokoll für bestimmte Ereignistypen extrahiert. Wird vom Parser für bestimmte Ereignisse festgelegt. Aus dem Rohprotokoll für bestimmte Ereignistypen extrahiert. Wird für bestimmte Ereignistypen aus dem Rohprotokoll extrahiert. Aus dem Rohprotokoll für bestimmte Ereignistypen extrahiert.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten