收集 BeyondTrust Secure Remote Access（以前称为 BeyondTrust Privileged Remote Access）日志

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将 BeyondTrust Secure Remote Access（以前称为 BeyondTrust Privileged Remote Access）日志注入到 Google Security Operations。

BeyondTrust Secure Remote Access 是一种特权访问管理解决方案，可让组织控制、监控和审核供应商、承包商和连接到关键系统的内部管理员的特权远程访问。它提供凭据注入、即时访问和会话记录功能。BeyondTrust Secure Remote Access 通过 syslog 记录会话活动、身份验证事件和管理操作。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例。
• 搭载 systemd 的 Windows 2016 或更高版本或 Linux 主机。
• 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开。
• 对 BeyondTrust Secure Remote Access B 系列设备界面 (/appliance) 的管理访问权限。

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载数据注入身份验证文件。
   • 将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安装资源

如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

1. 访问配置文件：

   • 找到 config.yaml 文件。通常，该文件位于 Linux 上的 /opt/observiq-otel-collector/ 目录中或 Windows 上的安装目录中。
   • 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

2. 按如下方式修改 config.yaml 文件：

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <your_customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'BEYONDTRUST_REMOTE_ACCESS'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

• 根据基础架构的需要替换端口和 IP 地址。
• 将 <your_customer_id> 替换为实际的客户 ID。

• 将 /path/to/ingestion-authentication-file.json 更新为在第 1 步中保存身份验证文件的文件路径。

  注意： BeyondTrust Secure Remote Access 使用 local0 设备，并默认使用 UDP 端口 514 进行非 TLS Syslog。如果您在设备上配置了 Syslog over TLS，请使用 tcplog 作为接收器，并将端口设置为 6514。

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

1. 运行以下命令：

   sudo systemctl restart observiq-otel-collector
   

2. 验证服务是否正在运行：

   sudo systemctl status observiq-otel-collector
   

3. 检查日志是否存在错误：

   sudo journalctl -u observiq-otel-collector -f
   

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

1. 请从下列选项中选择一项：

   • 以管理员身份运行命令提示符或 PowerShell：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • 服务控制台：
     1. 按 Win+R，输入 services.msc，然后按 Enter 键。
     2. 找到 observIQ OpenTelemetry 收集器。
     3. 右键点击并选择重新启动。

2. 验证服务是否正在运行：

   sc query observiq-otel-collector
   

3. 检查日志是否存在错误：

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

配置 BeyondTrust 安全远程访问 syslog 转发

1. 登录 BeyondTrust Secure Remote Access B 系列设备界面 (/appliance)。
2. 依次前往安全性 > 设备管理。
3. 向下滚动到 Syslog 部分。
4. 在远程 Syslog 服务器字段中，输入 Bindplane 代理主机的主机名或 IP 地址（例如 192.168.1.100）。
5. 为事件通知消息选择消息格式：
   • RFC 5424 - 具有结构化数据的现代 syslog 标准（推荐）。
   • BSD（旧版）- 旧版 BSD syslog 格式 (RFC 3164)。
   • 通过 TLS 传输的 Syslog - 使用 TCP 端口 6514 加密的 Syslog。
6. 如有必要，请更改默认端口：
   • RFC 5424 和 BSD 格式默认使用 UDP 514。
   • Syslog over TLS 默认使用 TCP 6514。

7. 点击保存。

   注意： 您可以在 B 系列设备上配置最多三个 syslog 服务器。添加或更改 syslog 服务器时，系统会向管理员的电子邮件地址发送电子邮件提醒。
   注意： 来自 /login 管理界面（例如用户登录尝试、账号创建和配置更改）和 /appliance 界面的事件都会以 syslog 消息的形式发送。BeyondTrust Secure Remote Access 日志使用 local0 设备发送。

验证 syslog 传送

1. 配置 syslog 转发后，请发起测试支持会话或登录 /login 管理界面。

2. 在 Bindplane 代理主机上，验证是否正在接收日志：

   sudo journalctl -u observiq-otel-collector -f
   

如需了解详情，请参阅 BeyondTrust Privileged Remote Access syslog 文档。

UDM 映射表

日志字段	UDM 映射	逻辑
_field	additional.fields	已合并
additional_device_product	additional.fields	已合并
additional_device_vendor	additional.fields	已合并
additional_dst_priv	additional.fields	已合并
additional_event_name	additional.fields	已合并
additional_external_key_label	additional.fields	已合并
additional_jumpGroupId	additional.fields	已合并
additional_jumpGroupName	additional.fields	已合并
additional_jumpGroupType	additional.fields	已合并
additional_jumpointId	additional.fields	已合并
additional_jumpointName	additional.fields	已合并
additional_segment_number	additional.fields	已合并
additional_site_id	additional.fields	已合并
additional_total_segments	additional.fields	已合并
appliance_identifier_label	additional.fields	已合并
appliance_label	additional.fields	已合并
eventid_label	additional.fields	已合并
eventsubject_label	additional.fields	已合并
eventtype_label	additional.fields	已合并
format_version_label	additional.fields	已合并
nvps_actiontype_label	additional.fields	已合并
nvps_authenticationtype_label	additional.fields	已合并
nvps_createdate_label	additional.fields	已合并
nvps_eventseverity_label	additional.fields	已合并
nvps_subjectdescription_label	additional.fields	已合并
product_label	additional.fields	已合并
eventName	extensions.auth.auth_details	直接映射
mechanism	extensions.auth.mechanism	已合并
target	extensions.auth.type	映射："rep_client", "web/login" → MACHINE、"rep_client", "web/login" → SSO、`rep_c...
intermediary_hostname	intermediary.asset.hostname	直接映射
intermediary_ip	intermediary.asset.ip	已合并
intermediary_hostname	intermediary.hostname	直接映射
intermediary_ip	intermediary.ip	已合并
msg	metadata.description	直接映射
datetime	metadata.event_timestamp	解析为 RFC 3339
eventdate	metadata.event_timestamp	解析为 MMM dd yyyy HH:mm:ss
timestamp	metadata.event_timestamp	解析为 ISO8601
timestampvalue	metadata.event_timestamp	解析为 yyyy-MM-ddTHH:mm:ssZZ
when	metadata.event_timestamp	解析为 UNIX
device_vendor	metadata.event_type	已映射：Bomgar → GENERIC_EVENT
eventName	metadata.event_type	映射：(?i)login → USER_LOGIN，(?i)logout → USER_LOGOUT
has_principal	metadata.event_type	已映射：true → NETWORK_CONNECTION、true → STATUS_UPDATE
category	metadata.product_event_type	直接映射
event_name	metadata.product_event_type	直接映射
id	metadata.product_event_type	直接映射
nvps_auditid	metadata.product_log_id	直接映射
product_log_id	metadata.product_log_id	直接映射
device_version	metadata.product_version	直接映射
version	metadata.product_version	直接映射
sessionId	network.session_id	直接映射
agentid	observer.application	直接映射
product_event_type	principal.asset.hostname	直接映射
nvps_ipaddress	principal.asset.ip	已合并
sourceip	principal.asset.ip	已合并
product_event_type	principal.hostname	直接映射
nvps_ipaddress	principal.ip	已合并
sourceip	principal.ip	已合并
srcHost	principal.ip	已合并
who_ip	principal.ip	已合并
process_id	principal.process.pid	直接映射
srcUser	principal.user.user_display_name	直接映射
user_display_name	principal.user.user_display_name	直接映射
srcUid	principal.user.userid	直接映射
user	principal.user.userid	直接映射
userid	principal.user.userid	直接映射
who	principal.user.userid	直接映射
security_action	security_result.action	已合并
status	security_result.action_details	直接映射
reason	security_result.description	直接映射
severity	security_result.severity	映射的值（总共 5 个，例如 0 → UNKNOWN_SEVERITY、1 → LOW、2 → MEDIUM）
eventName	security_result.summary	直接映射
eventname	security_result.summary	直接映射
nvps_systemname	target.application	直接映射
target	target.application	直接映射
filePath	target.file.full_path	直接映射
fsize	target.file.size	直接映射
deviceHost	target.hostname	直接映射
site	target.hostname	直接映射
dstHost	target.ip	已合并
nvps_username_label	target.resource.attribute.labels	已合并
nvps_appuserid	target.user.product_object_id	直接映射
dstUser	target.user.user_display_name	直接映射
dstUid	target.user.userid	直接映射
不适用	extensions.auth.type	常量：MACHINE
不适用	metadata.event_type	常量：USER_LOGIN
不适用	metadata.product_name	常量：BeyondTrust Secure Remote Access
不适用	metadata.vendor_name	常量：BeyondTrust
不适用	security_result.severity	常量：UNKNOWN_SEVERITY

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。