Mengumpulkan log Omnissa Workspace ONE UEM (sebelumnya VMware Workspace ONE)

Didukung di:

Dokumen ini menjelaskan cara menyerap log Omnissa Workspace ONE UEM (sebelumnya dikenal sebagai VMware Workspace ONE) ke Google Security Operations menggunakan Bindplane.

Omnissa Workspace ONE UEM adalah platform pengelolaan endpoint terpadu yang memungkinkan organisasi mengelola dan mengamankan perangkat, aplikasi, dan data di seluruh endpoint seluler, desktop, rugged, dan IoT. Parser menormalisasi pesan syslog dari Workspace ONE UEM, mengekstrak kolom seperti peristiwa kepatuhan perangkat, tindakan pengelolaan aplikasi, perubahan status pendaftaran, dan aktivitas administrasi konsol, lalu memetakannya ke Model Data Terpadu (UDM).

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut: * Instance Google SecOps * Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd * Konektivitas jaringan antara agen Bindplane dan konsol Omnissa Workspace ONE UEM * Jika berjalan di balik proxy, pastikan port firewall terbuka sesuai persyaratan agen Bindplane * Akses administratif ke konsol Omnissa Workspace ONE UEM

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.

  3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka SIEM Settings > Profile.

  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sc query observiq-otel-collector

Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sudo systemctl status observiq-otel-collector

Layanan akan ditampilkan sebagai active (running).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

  • Ganti seluruh konten config.yaml dengan konfigurasi berikut:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/workspace_one:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: VMWARE_WORKSPACE_ONE
        raw_log_field: body

service:
    pipelines:
        logs/workspace_one_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/workspace_one

Parameter konfigurasi

Ganti placeholder berikut:

Konfigurasi penerima:

  • listen_address: Alamat IP dan port yang akan diproses:
    • 0.0.0.0 untuk mendengarkan di semua antarmuka (direkomendasikan)
    • Port 514 adalah port syslog standar (memerlukan root di Linux; gunakan 1514 untuk non-root)

Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file autentikasi penyerapan:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID Pelanggan yang disalin dari konsol Google SecOps
  • endpoint: URL endpoint regional:
    • Amerika Serikat: malachiteingestion-pa.googleapis.com
    • Eropa: europe-malachiteingestion-pa.googleapis.com
    • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Lihat Endpoint Regional untuk mengetahui daftar lengkapnya

Simpan file konfigurasi

  • Setelah mengedit, simpan file:
    • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
    • Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux:

  1. Jalankan perintah berikut:

    sudo systemctl restart observiq-otel-collector

  2. Pastikan layanan sedang berjalan:

    sudo systemctl status observiq-otel-collector

  3. Periksa log untuk mengetahui error:

    sudo journalctl -u observiq-otel-collector -f

Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector

  • Konsol layanan:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.

    3. Klik kanan, lalu pilih Mulai ulang.

    4. Pastikan layanan sedang berjalan:

      sc query observiq-otel-collector

    5. Periksa log untuk mengetahui error:

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi penerusan syslog di Omnissa Workspace ONE UEM

  1. Login ke konsol Omnissa Workspace ONE UEM.
  2. Buka Setelan > Sistem > Integrasi Perusahaan > Syslog.
  3. Pilih Diaktifkan untuk mengaktifkan integrasi syslog.

  4. Berikan detail konfigurasi berikut:

    • Nama host: Masukkan alamat IP atau nama host dari host agen Bindplane (misalnya, 192.168.1.100).
    • Port: Masukkan 514.
    • Protocol: Pilih TCP.
    • Syslog Facility: Pilih Local0 atau fasilitas lain yang sesuai untuk lingkungan Anda.
    • Tag Pesan: Masukkan tag deskriptif (misalnya, WorkspaceONE).

  5. Di bagian Kategori Peristiwa, pilih jenis peristiwa yang akan diteruskan:

    • Peristiwa Perangkat - perubahan pendaftaran, kepatuhan, dan status perangkat
    • Peristiwa Konsol - tindakan administrator dan perubahan konfigurasi
    • Peristiwa Aplikasi - tindakan penginstalan, penghapusan, dan pengelolaan aplikasi
    • Peristiwa Kepatuhan - pelanggaran kebijakan kepatuhan dan tindakan perbaikan

  6. Klik Save untuk menerapkan konfigurasi syslog.

  7. Pastikan log dikirim dengan memeriksa log agen Bindplane.

Tabel Pemetaan UDM

Kolom Log Pemetaan UDM Logika
AdminAccount principal.user.userid AdminAccount dari log mentah dipetakan ke kolom principal.user.userid.
Application target.application Kolom Application dari log mentah dipetakan ke kolom target.application.
ApplicationUUID additional.fields Kolom ApplicationUUID dari log mentah ditambahkan sebagai pasangan nilai kunci ke array additional.fields di UDM. Kuncinya adalah "ApplicationUUID".
BytesReceived network.received_bytes Kolom BytesReceived dari log mentah dipetakan ke kolom network.received_bytes.
Device target.hostname Kolom Device dari log mentah dipetakan ke kolom target.hostname.
FriendlyName target.hostname Kolom FriendlyName dari log mentah dipetakan ke kolom target.hostname jika Device tidak tersedia.
GroupManagementData security_result.description Kolom GroupManagementData dari log mentah dipetakan ke kolom security_result.description.
Hmac additional.fields Kolom Hmac dari log mentah ditambahkan sebagai pasangan nilai kunci ke array additional.fields di UDM. Kuncinya adalah "Hmac".
LoginSessionID network.session_id Kolom LoginSessionID dari log mentah dipetakan ke kolom network.session_id.
LogDescription metadata.description Kolom LogDescription dari log mentah dipetakan ke kolom metadata.description.
MessageText metadata.description Kolom MessageText dari log mentah dipetakan ke kolom metadata.description.
OriginatingOrganizationGroup principal.user.group_identifiers Kolom OriginatingOrganizationGroup dari log mentah dipetakan ke kolom principal.user.group_identifiers.
OwnershipType additional.fields Kolom OwnershipType dari log mentah ditambahkan sebagai pasangan nilai kunci ke array additional.fields di UDM. Kuncinya adalah "OwnershipType".
Profile target.resource.name Kolom Profile dari log mentah dipetakan ke kolom target.resource.name jika ProfileName tidak tersedia.
ProfileName target.resource.name Kolom ProfileName dari log mentah dipetakan ke kolom target.resource.name.
Request Url target.url Kolom Request Url dari log mentah dipetakan ke kolom target.url.
SmartGroupName target.group.group_display_name Kolom SmartGroupName dari log mentah dipetakan ke kolom target.group.group_display_name.
Tags additional.fields Kolom Tags dari log mentah ditambahkan sebagai pasangan nilai kunci ke array additional.fields di UDM. Kuncinya adalah "Tags".
User target.user.userid Kolom User dari log mentah dipetakan ke kolom target.user.userid. Event Category dari log mentah ditambahkan sebagai pasangan nilai kunci ke array additional.fields di UDM. Kuncinya adalah "Kategori Peristiwa". Event Module dari log mentah ditambahkan sebagai pasangan nilai kunci ke array additional.fields di UDM. Kuncinya adalah "Event Module". Event Source dari log mentah ditambahkan sebagai pasangan nilai kunci ke array additional.fields di UDM. Kuncinya adalah "Sumber Peristiwa". Disetel ke "SSO" oleh parser untuk peristiwa tertentu. Diperoleh dari stempel waktu log mentah. Parser mengekstrak tanggal dan waktu dari log mentah dan mengonversinya menjadi stempel waktu UDM. Ditentukan oleh parser berdasarkan event_name dan kolom lainnya. Lihat kode parser untuk logika pemetaan. Ditetapkan ke "AIRWATCH" oleh parser. event_name dari log mentah dipetakan ke kolom metadata.product_event_type. Ditetapkan ke "AirWatch" oleh parser. Ditetapkan ke "VMWare" oleh parser. domain dari log mentah dipetakan ke kolom principal.administrative_domain. hostname diekstrak dari kolom device_name di log mentah atau dipetakan dari kolom Device atau FriendlyName. sys_ip dari log mentah dipetakan ke kolom principal.ip. Diekstrak dari log mentah untuk jenis peristiwa tertentu. Diekstrak dari log mentah untuk jenis peristiwa tertentu. user_name dari log mentah dipetakan ke kolom principal.user.userid. Diekstrak dari log mentah untuk jenis peristiwa tertentu. Ditetapkan oleh parser untuk peristiwa tertentu. Ditetapkan oleh parser untuk peristiwa tertentu. event_category dari log mentah dipetakan ke kolom security_result.category_details. Diekstrak dari log mentah untuk jenis peristiwa tertentu. Diekstrak dari log mentah untuk jenis peristiwa tertentu. domain dari log mentah dipetakan ke kolom target.administrative_domain. Dibuat dengan menggabungkan DeviceSerialNumber dan DeviceUdid dari log mentah untuk peristiwa "DeleteDeviceRequested". Diekstrak dari log mentah untuk jenis peristiwa tertentu. Diekstrak dari log mentah untuk jenis peristiwa tertentu. sys_ip atau alamat IP lain dari log mentah dipetakan ke kolom target.ip. Diekstrak dari log mentah untuk jenis peristiwa tertentu. Diekstrak dari log mentah untuk jenis peristiwa tertentu. Ditetapkan oleh parser untuk peristiwa tertentu. Diekstrak dari log mentah untuk jenis peristiwa tertentu. Diekstrak dari log mentah untuk jenis peristiwa tertentu. Diekstrak dari log mentah untuk jenis peristiwa tertentu.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.