收集 Absolute Secure Endpoint 日志
解析器版本：2.0
支持范围：
Google SecOps
SIEM
本文档介绍了如何使用 Bindplane 代理将 Absolute Secure Endpoint（以前称为 Absolute Data & Device Security）日志注入 Google Security Operations。解析器会从 SIEM 连接器日志中提取 SYSLOG + 或 KV (CEF) 格式的字段。它使用 grok 模式来识别和提取字段，然后根据是否存在 kv_pair 或 cef 数据，使用条件逻辑将提取的字段映射到 UDM 架构。系统会根据识别出的字段及其值应用特定的映射和转换，同时处理状态心跳和安全性事件数据。
准备工作
请确保满足以下前提条件：
- Google SecOps 实例
- 运行 Bindplane 代理的 Windows 2016 或更高版本或 Linux 主机（具有 systemd）
- 用于托管 Absolute SIEM Connector 服务的 Windows Server（2012 或更高版本）
- 在托管 SIEM 连接器的 Windows Server 上安装 Microsoft .NET Framework 4.0 或更高版本
- 对 Absolute Secure Endpoint 控制台的特权访问权限，并启用了 SIEM 集成
- 如果在代理后面运行，请确保按照 Bindplane 代理要求打开防火墙端口
获取 Bindplane 代理的 Google SecOps 凭证
如需向 Google SecOps 验证 Bindplane 代理，请选择以下方法之一：
- 新部署：使用 Chronicle API（选项 1）。
- 旧版部署：继续使用数据注入身份验证文件（方法 2），直到 Ingestion API 于 2027 年 7 月 20 日停用。
方法 1：为 Chronicle API 创建服务账号（推荐）
- 登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
- 依次前往 IAM 和管理 > 服务账号。
- 点击创建服务账号。
- 提供以下配置详细信息：
- 服务账号名称：输入账号的名称（例如
bindplane-ingest）。 - 服务账号说明：输入说明（例如
Bindplane agent log ingestion）。
- 服务账号名称：输入账号的名称（例如
- 点击创建并继续。
- 在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
- 点击继续，然后点击完成。
- 点击您创建的服务账号，然后前往密钥标签页。
- 依次点击添加密钥 > 创建新密钥。
- 选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
- 将密钥文件另存为 Bindplane 收集器目录（Linux 上的
/opt/observiq-otel-collector/ingestion-auth.json或 Windows 上的C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的ingestion-auth.json，或更新config.yaml中的creds_file_path以匹配您保存它的路径。 - 前往 IAM 和管理 > 设置，然后复制项目编号。您在配置导出器时需要用到该名称。
方法 2：下载数据注入身份验证文件（旧版）
- 登录 Google SecOps 控制台。
- 依次前往设置 > 数据管理 > 收集代理。如果您使用的是仅限 SIEM 的平台，请依次前往设置 > 收集代理。
- 下载数据注入身份验证文件。
- 将该文件安全地保存在将要安装 Bindplane 代理的系统上。
获取 Google SecOps 客户 ID
- 登录 Google SecOps 控制台。
- 依次前往设置 > 管理 > 个人资料。如果您使用的是仅限 SIEM 的平台，请依次前往设置 > 个人资料。
- 从组织详细信息部分复制并保存客户 ID。
安装 Bindplane 代理
根据以下说明，在 Windows 或 Linux 操作系统上安装 Bindplane 代理。
Windows 安装
- 以管理员身份打开命令提示符或 PowerShell。
运行以下命令：
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
Linux 安装
- 打开具有 root 或 sudo 权限的终端。
运行以下命令：
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
其他安装资源
如需了解其他安装选项，请参阅 Bindplane 代理安装指南。
配置 Bindplane 代理以注入 Syslog 并发送到 Google SecOps
按如下方式访问配置文件：
- 打开
config.yaml文件：在 Linux 上为/opt/observiq-otel-collector/config.yaml，在 Windows 上为C:\Program Files\observIQ OpenTelemetry Collector\config.yaml。 - 使用文本编辑器（例如
nano、vi或记事本）打开该文件。
- 打开
按如下方式修改
config.yaml文件：receivers: udplog: # Replace the port and IP address as required listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: protocol: https endpoint: chronicle.googleapis.com # Region of your instance, for example us, europe, asia-southeast1 location: <LOCATION> # Project number of the Google Cloud project linked to the instance project: '<PROJECT_NUMBER>' # Replace with your actual customer ID customer_id: '<CUSTOMER_ID>' # Adjust the path to the service account key file you saved in Option 1 creds_file_path: '/path/to/secops-key.json' compression: gzip log_type: 'ABSOLUTE' raw_log_field: body # Add optional ingestion labels for better organization ingestion_labels: service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels- 根据基础架构的要求替换端口和 IP 地址。
- 将
<LOCATION>替换为 Google SecOps 实例所在的区域。导出器会为此值添加chronicle.googleapis.com前缀。 - 将
<PROJECT_NUMBER>替换为 IAM 和管理 > 设置中的项目编号。 - 将
<CUSTOMER_ID>替换为实际客户 ID。 - 将
/path/to/secops-key.json更新为服务账号密钥文件（选项 1）的保存路径。
旧版提取 API 导出工具
如果您使用选项 2 中的数据注入身份验证文件，请将
exporters代码块替换为以下内容。将creds_file_path设置为数据注入身份验证文件的路径，如果您的实例位于美国境外，请将malachiteingestion-pa.googleapis.com替换为您的区域端点（例如europe-malachiteingestion-pa.googleapis.com）。exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the path to the ingestion authentication file you downloaded in Option 2 creds_file_path: '/path/to/ingestion-authentication-file.json' customer_id: '<CUSTOMER_ID>' endpoint: malachiteingestion-pa.googleapis.com log_type: 'ABSOLUTE' raw_log_field: body ingestion_labels:
重启 Bindplane 代理以应用更改
如需在 Linux 中重启 Bindplane 代理，请运行以下命令：
sudo systemctl restart observiq-otel-collector如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：
net stop observiq-otel-collector && net start observiq-otel-collector
在 Windows Server 上安装 Absolute SIEM Connector
Absolute SIEM Connector 是一项 Windows 服务，可从 Absolute Monitoring Center 检索提醒事件数据，并通过 syslog 以 CEF 格式转发这些数据。SIEM Connector 以 MSI 安装程序的形式提供，Absolute Data & Device Security (DDS) 专业版和高级版客户可从 Absolute 客户中心免费下载。
- 登录 Absolute Secure Endpoint 控制台 (
https://cc.absolute.com/)。 - 前往客户中心或下载部分。
- 下载 Absolute SIEM Connector MSI 安装程序。
- 将安装程序传输到 Windows Server。
- 以管理员身份在 Windows Server 上运行安装程序。
- 按照安装向导的提示完成安装。
- 请记下安装目录（通常为
C:\Program Files\Absolute Software\Absolute SIEM Connector）。
在 Absolute Secure Endpoint 控制台中启用 SIEM 集成
您必须先在 Absolute Secure Endpoint 控制台中启用 SIEM 集成，SIEM Connector 才能检索事件。
- 登录 Absolute Secure Endpoint 控制台 (
https://cc.absolute.com/)。 - 前往设置或管理部分。
- 前往 SIEM 集成设置。
- 点击启用 SIEM 集成，或将 SIEM 集成设置切换为开启。
- 选择要转发到 SIEM 的事件类型。
- 您也可以选择所有事件类型，以转发所有可用日志。
- 点击保存或应用配置。
配置 Absolute SIEM Connector
在控制台中安装 SIEM 连接器并启用 SIEM 集成后，请按照以下步骤配置连接器，以便将事件发送到 Bindplane 代理：
- 在安装了 Absolute SIEM Connector 的 Windows Server 上，打开 Absolute SIEM Connector Configuration Tool。
- 您可以在开始菜单中的 Absolute Software 下或安装目录中找到此信息。
- 提供以下配置详细信息：
- Syslog 服务器主机：输入 Bindplane 代理主机的 IP 地址或主机名。
- Syslog 服务器端口：输入
514（或在 Bindplane 中配置的端口）。 - 协议：根据您的 Bindplane 配置，选择 UDP 或 TCP。
- 格式：确认已选择 CEF（通用事件格式）。
- 更新间隔：设置连接器从 Absolute 检索事件的频率。最小值为 2 分钟，最大值为 1,440 分钟或 24 小时。默认值为 60 分钟。
- 时区：事件以 UTC 时区传输，以确保各系统之间的一致性。
- 点击保存。
- 启动或重启 Absolute SIEM Connector 服务：
- 打开服务 (services.msc)。
- 选择 Absolute SIEM Connector 服务。
- 点击开始或重启。
UDM 映射表
| 日志字段 | UDM 映射 | 逻辑 |
|---|---|---|
pid |
about.process.pid |
直接映射 |
hostname |
intermediary.hostname |
直接映射 |
dvc_ip |
intermediary.ip |
已合并 |
Alert Time |
metadata.event_timestamp |
已解析为 RFC3339 |
date |
metadata.event_timestamp |
已解析为 yyyy-MM-dd HH:mm:ss UTC |
event_type |
metadata.event_type |
直接映射 |
eventType |
metadata.product_event_type |
直接映射 |
event_class |
metadata.product_event_type |
直接映射 |
device_version |
metadata.product_version |
直接映射 |
Serial Number |
principal.asset.asset_id |
直接映射 |
Computer Name |
principal.hostname |
直接映射 |
actorName |
principal.hostname |
直接映射 |
objectName |
principal.hostname |
直接映射 |
objectID |
principal.resource.product_object_id |
直接映射 |
objectType |
principal.resource.resource_type |
直接映射 |
roles |
principal.user.attribute.roles |
已合并 |
actorID |
principal.user.product_object_id |
直接映射 |
actorName |
principal.user.userid |
直接映射 |
Condition |
security_result.description |
直接映射 |
esn_label |
security_result.detection_fields |
已合并 |
kv_pair |
security_result.detection_fields |
已映射：ESN → esn_label |
verb |
security_result.summary |
直接映射 |
Alert ID |
security_result.threat_id |
直接映射 |
Alert Name |
security_result.threat_name |
直接映射 |
field_ |
target.resource.attribute.labels |
已合并 |
| 不适用 | metadata.event_type |
常量：GENERIC_EVENT |
| 不适用 | metadata.product_name |
常量：ABSOLUTE_PLATFORM |
| 不适用 | metadata.vendor_name |
常量：ABSOLUTE |