ארגנו מחדש את מבנה הניווט במסמכי התיעוד כדי שיתאים ישירות לתהליכי העבודה התפעוליים שלכם. מידע נוסף זמין בהערות הגרסה ובסרטון ההדרכה.

‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של PTC Windchill

נתמך ב:

Google secops SIEM

הערה: השימוש בתכונה הזו כפוף לתנאי השימוש במוצרים בגרסת טרום-GA, שמפורטים בתנאים הספציפיים לשירות Google Security Operations. יכול להיות שהתמיכה בתכונות בגרסת טרום-GA תהיה מוגבלת, ושינויים בתכונות בגרסת טרום-GA לא יהיו תואמים לגרסאות אחרות של טרום-GA. מידע נוסף מופיע במאמר הנחיות לשירותי התמיכה הטכנית של Google SecOps ובמאמר התנאים הספציפיים לשירות Google SecOps.
אם התכונה הזו לא מוצגת בסביבה שלכם, אפשר לעיין במאמר בנושא ניהול תכונות בגרסת טרום-השקה או לפנות לאדמין.

במאמר הזה מוסבר איך להטמיע יומנים של PTC Windchill ב-Google Security Operations באמצעות Bindplane.

‫PTC Windchill היא פלטפורמה לניהול מחזור חיי מוצר (PLM) שמשמשת לניהול נתוני מוצרים, תהליכים ושיתוף פעולה בין צוותי הנדסה וייצור. הפלטפורמה יוצרת יומני גישה, יומני ביקורת ויומנים של שינויים בהגדרות מפריסות של שרתים מקומיים.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

מופע של Google SecOps
‫Windows Server 2016 ואילך, או מארח Linux עם systemd
קישוריות רשת בין סוכן Bindplane לבין שרת PTC Windchill
אם מריצים את הסוכן מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
גישה עם הרשאות אדמין לשרת PTC Windchill

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מקבלים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת Windows

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sc query observiq-otel-collector
```

השירות צריך להופיע עם הערך RUNNING.

התקנה של Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sudo systemctl status observiq-otel-collector
```

השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של Bindplane agent להטמעה של syslog ושליחה אל Google SecOps

איתור קובץ התצורה

‫Linux:

sudo nano /etc/bindplane-agent/config.yaml

‫Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/windchill:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: WINDCHILL
    raw_log_field: body

service:
  pipelines:
    logs/windchill_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/windchill

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

הגדרת מקלט:
- ‫listen_address: כתובת ה-IP והיציאה להאזנה:
  - ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
  - יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ביציאה 1514 ללא הרשאת root)
הגדרות של הכלי לייצוא:
- ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
  - ‫Linux: /etc/bindplane-agent/ingestion-auth.json
  - ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
- endpoint: Regional endpoint URL:
  - ארה"ב: malachiteingestion-pa.googleapis.com
  - אירופה: europe-malachiteingestion-pa.googleapis.com
  - אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
  - רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ ההגדרות

אחרי שמסיימים לערוך, שומרים את הקובץ:
- ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
- ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

מריצים את הפקודה הבאה:

sudo systemctl restart observiq-otel-collector

מוודאים שהשירות פועל:

sudo systemctl status observiq-otel-collector

בודקים אם יש שגיאות ביומנים:

sudo journalctl -u observiq-otel-collector -f

כדי להפעיל מחדש את סוכן Bindplane ב-Windows:

בוחרים אחת מהאפשרויות האלה:
- שורת הפקודה או PowerShell כאדמין:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- מסוף השירותים:
  1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
  2. מחפשים את observIQ OpenTelemetry Collector.
  3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
מוודאים שהשירות פועל:
```
sc query observiq-otel-collector
```

בודקים אם יש שגיאות ביומנים:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברה של syslog ב-PTC Windchill

נכנסים לשרת PTC Windchill כאדמינים.
מגדירים את rsyslog או סוכן syslog להעברת יומני האפליקציה של Windchill. עורכים את ההגדרות של rsyslog:
```
sudo nano /etc/rsyslog.d/windchill.conf
```
מוסיפים את השורות הבאות כדי להעביר את קובצי היומן של Windchill לסוכן Bindplane:
```
# Forward PTC Windchill logs to Bindplane agent
module(load="imfile")
input(type="imfile" File="/path/to/windchill/logs/*.log" Tag="windchill" Severity="info" Facility="local0")
if $syslogtag == 'windchill' then @@<bindplane-ip>:514
```
- מחליפים את /path/to/windchill/logs/ בנתיב של ספריית היומן בפועל של Windchill.
- מחליפים את <bindplane-ip> בכתובת ה-IP של המארח של סוכן Bindplane.
מפעילים מחדש את שירות rsyslog:
```
sudo systemctl restart rsyslog
```
כדי לוודא שהיומנים נשלחים, בודקים את היומנים של סוכן Bindplane.

טבלת מיפוי UDM

שדה היומן	מיפוי UDM	לוגיקה
eventlabel	metadata.description	הערך הועתק ישירות
eventtime	metadata.event_timestamp	ההמרה בוצעה באמצעות מסנן תאריכים עם הפורמטים SYSLOGTIMESTAMP ו-ISO8601
	metadata.event_type	הערך הוא USER_LOGIN אם has_principal == "true" ו-has_principal_user == "true" ו-has_target == "true"; הערך הוא USER_RESOURCE_ACCESS אם has_target_resource == "true"; הערך הוא USER_UNCATEGORIZED אם has_principal == "true" ו-has_principal_user == "true"; הערך הוא STATUS_UPDATE אם has_principal == "true"; אחרת הערך הוא GENERIC_EVENT
dbschema	metadata.ingestion_labels	מוזג עם אובייקט db_schema‏ (key="DBSCHEMA", value=dbschema)
dbname	metadata.product_deployment_id	הערך הועתק ישירות
eventlabel, description	metadata.product_event_type	הערך מהתיאור אם הוא לא ריק, אחרת הערך מ-eventlabel
context	metadata.product_log_id	הערך הועתק ישירות
גרסה	metadata.product_version	הערך הועתק ישירות
ohost	observer.hostname	הערך מועתק ישירות אם ohost הוא לא כתובת IP
ohost	observer.ip	הערך מועתק ישירות אם ohost הוא כתובת IP
domainpath	principal.administrative_domain	הערך הועתק ישירות
ipaddress	principal.asset.hostname	הערך מועתק ישירות אם ipaddress הוא לא כתובת IP
ipaddress	principal.asset.ip	הערך מועתק ישירות אם ipaddress הוא כתובת IP
כתובת IP, מארח פיזי	principal.hostname	הערך מ-ipaddress אם הוא לא כתובת IP, אחרת הערך מ-phost אם הוא לא כתובת IP
כתובת IP, מארח פיזי	principal.ip	ערך מ-ipaddress אם הוא כתובת IP, אחרת מ-phost אם הוא כתובת IP
folderpath	principal.process.file.full_path	הערך הועתק ישירות
user_product_object_id	principal.user.product_object_id	הערך הועתק ישירות
user_display_name	principal.user.user_display_name	הערך הועתק ישירות
username, user_userid	principal.user.userid	הערך משם המשתמש אם הוא לא ריק, אחרת הערך מ-user_userid
domain_name	target.domain.name	הערך הועתק ישירות
target_path	target.file.full_path	הערך הועתק ישירות
מרחב שמות	target.namespace	הערך הועתק ישירות
lifecyclestate, targetname, targetnumber, targettype	target.resource.attribute.labels	בוצע מיזוג עם התווית lifecyclestate_label (מפתח=lifecyclestate, ערך=lifecyclestate), התווית targetname_label (מפתח=targetname, ערך=targetname), התווית targetnumber_label (מפתח=targetnumber, ערך=targetnumber), התווית targettype_label (מפתח=targettype, ערך=targettype)
target_number	target.resource.id	הערך הועתק ישירות
target_name	target.resource.name	הערך הועתק ישירות
target_identity	target.resource.product_object_id	הערך הועתק ישירות
target_subtype	target.resource.resource_subtype	הערך הועתק ישירות
	metadata.product_name	הגדרה כ-Windchill
	metadata.vendor_name	ההגדרה היא PTC

שנה רישום

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.