Mengumpulkan log PTC Windchill

Didukung di:

Google secops SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.
Jika fitur ini tidak terlihat di lingkungan Anda, lihat Mengelola fitur pratinjau atau hubungi administrator sistem Anda.

Dokumen ini menjelaskan cara menyerap log PTC Windchill ke Google Security Operations menggunakan Bindplane.

PTC Windchill adalah platform pengelolaan siklus proses produk (PLM) yang digunakan untuk mengelola data produk, proses, dan kolaborasi di seluruh tim engineering dan manufaktur. Platform ini menghasilkan log akses, audit, dan perubahan konfigurasi dari deployment server lokal.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan server PTC Windchill
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke server PTC Windchill dengan izin administrator

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.

3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

   Catatan: File JSON ini berisi kredensial untuk mengautentikasi agen Bindplane ke Google SecOps.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

• Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Edit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/windchill:
      compression: gzip
      creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: WINDCHILL
      raw_log_field: body
  
  service:
    pipelines:
      logs/windchill_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/windchill
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • listen_address: Alamat IP dan port yang akan diproses:
    • 0.0.0.0 untuk mendengarkan di semua antarmuka (direkomendasikan)
    • Port 514 adalah port syslog standar (memerlukan root di Linux; gunakan 1514 untuk non-root)

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file autentikasi penyerapan:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID Pelanggan yang disalin dari konsol Google SecOps
  • endpoint: URL endpoint regional:
    • Amerika Serikat: malachiteingestion-pa.googleapis.com
    • Eropa: europe-malachiteingestion-pa.googleapis.com
    • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Lihat Endpoint Regional untuk daftar lengkapnya

Simpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux:

1. Jalankan perintah berikut:

   sudo systemctl restart observiq-otel-collector
   

2. Pastikan layanan sedang berjalan:

   sudo systemctl status observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   sudo journalctl -u observiq-otel-collector -f
   

Untuk memulai ulang agen Bindplane di Windows:

1. Pilih salah satu opsi berikut:

   • Command Prompt atau PowerShell sebagai administrator:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Konsol layanan:
     1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
     2. Temukan observIQ OpenTelemetry Collector.
     3. Klik kanan, lalu pilih Mulai Ulang.

2. Pastikan layanan sedang berjalan:

   sc query observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Mengonfigurasi penerusan syslog PTC Windchill

1. Login ke server PTC Windchill sebagai administrator.

2. Konfigurasi rsyslog atau agen syslog untuk meneruskan log aplikasi Windchill. Edit konfigurasi rsyslog:

   sudo nano /etc/rsyslog.d/windchill.conf
   

3. Tambahkan baris berikut untuk meneruskan file log Windchill ke agen Bindplane:

   # Forward PTC Windchill logs to Bindplane agent
   module(load="imfile")
   input(type="imfile" File="/path/to/windchill/logs/*.log" Tag="windchill" Severity="info" Facility="local0")
   if $syslogtag == 'windchill' then @@<bindplane-ip>:514
   

   • Ganti /path/to/windchill/logs/ dengan jalur direktori log Windchill yang sebenarnya.
   • Ganti <bindplane-ip> dengan alamat IP host agen Bindplane.

4. Mulai ulang layanan rsyslog:

   sudo systemctl restart rsyslog
   

5. Pastikan log dikirim dengan memeriksa log agen Bindplane.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
eventlabel	metadata.description	Nilai disalin secara langsung
eventtime	metadata.event_timestamp	Dikonversi menggunakan filter tanggal dengan format SYSLOGTIMESTAMP, ISO8601
	metadata.event_type	Tetapkan ke "USER_LOGIN" jika has_principal == "true" dan has_principal_user == "true" dan has_target == "true"; "USER_RESOURCE_ACCESS" jika has_target_resource == "true"; "USER_UNCATEGORIZED" jika has_principal == "true" dan has_principal_user == "true"; "STATUS_UPDATE" jika has_principal == "true"; atau "GENERIC_EVENT"
dbschema	metadata.ingestion_labels	Digabungkan dengan objek db_schema (key="DBSCHEMA", value=dbschema)
dbname	metadata.product_deployment_id	Nilai disalin secara langsung
eventlabel, description	metadata.product_event_type	Nilai dari deskripsi jika tidak kosong, atau dari eventlabel
konteks	metadata.product_log_id	Nilai disalin secara langsung
versi	metadata.product_version	Nilai disalin secara langsung
ohost	observer.hostname	Nilai disalin secara langsung jika ohost bukan IP
ohost	observer.ip	Nilai disalin secara langsung jika ohost adalah IP
domainpath	principal.administrative_domain	Nilai disalin secara langsung
ipaddress	principal.asset.hostname	Nilai disalin secara langsung jika ipaddress bukan IP
ipaddress	principal.asset.ip	Nilai disalin langsung jika ipaddress adalah IP
ipaddress, phost	principal.hostname	Nilai dari ipaddress jika bukan IP, atau dari phost jika bukan IP
ipaddress, phost	principal.ip	Nilai dari ipaddress jika IP, atau dari phost jika IP
folderpath	principal.process.file.full_path	Nilai disalin secara langsung
user_product_object_id	principal.user.product_object_id	Nilai disalin secara langsung
user_display_name	principal.user.user_display_name	Nilai disalin secara langsung
username, user_userid	principal.user.userid	Nilai dari nama pengguna jika tidak kosong, atau dari user_userid
domain_name	target.domain.name	Nilai disalin secara langsung
target_path	target.file.full_path	Nilai disalin secara langsung
namespace	target.namespace	Nilai disalin secara langsung
lifecyclestate, targetname, targetnumber, targettype	target.resource.attribute.labels	Digabungkan dengan lifecyclestate_label (key="lifecyclestate", value=lifecyclestate), targetname_label (key="targetname", value=targetname), targetnumber_label (key="targetnumber", value=targetnumber), targettype_label (key="targettype", value=targettype)
target_number	target.resource.id	Nilai disalin secara langsung
target_name	target.resource.name	Nilai disalin secara langsung
target_identity	target.resource.product_object_id	Nilai disalin secara langsung
target_subtype	target.resource.resource_subtype	Nilai disalin secara langsung
	metadata.product_name	Disetel ke "Windchill"
	metadata.vendor_name	Tetapkan ke "PTC"

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.