收集 IBM Informix 日志
本文档介绍了如何使用 Bindplane 代理将 IBM Informix 日志注入到 Google Security Operations 中。
IBM Informix 是一款高性能关系型数据库管理系统，可通过其安全审核功能提供全面的审核日志记录功能。借助“审核到 Syslog”(ASL) 功能，审核记录可以发送到 syslog 守护程序，以便集中收集日志和集成 SIEM。
准备工作
请确保满足以下前提条件：
- Google SecOps 实例
- Windows Server 2016 或更高版本，或者具有
systemd的 Linux 主机 - Bindplane 代理与 IBM Informix 服务器之间的网络连接
- 如果通过代理运行，请确保防火墙端口已根据 Bindplane 代理要求打开
- 对具有 AAO（审核管理员）角色的 IBM Informix 服务器的管理员访问权限
- IBM Informix 12.10 或更高版本（ASL 功能是在版本 12.10 中引入的）
- 为要监控的用户或事件配置的审核掩码
获取 Google SecOps 注入身份验证文件
- 登录 Google SecOps 控制台。
- 依次前往 SIEM 设置 > 收集代理。
下载注入身份验证文件。将文件安全地保存在将要安装 Bindplane 的系统上。
获取 Google SecOps 客户 ID
- 登录 Google SecOps 控制台。
- 依次前往 SIEM 设置 > 配置文件。
复制并保存组织详细信息部分中的客户 ID。
安装 Bindplane 代理
按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。
Windows 安装
- 以管理员身份打开命令提示符或 PowerShell。
运行以下命令：
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet等待安装完成。
运行以下命令来验证安装：
sc query observiq-otel-collector该服务应显示为 RUNNING。
Linux 安装
- 打开具有 root 或 sudo 权限的终端。
运行以下命令：
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh等待安装完成。
运行以下命令来验证安装：
sudo systemctl status observiq-otel-collector该服务应显示为有效（正在运行）。
其他安装资源
如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。
配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps
找到配置文件
Linux：
sudo nano /etc/bindplane-agent/config.yamlWindows：
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
修改配置文件
将
config.yaml的全部内容替换为以下配置：receivers: udplog: listen_address: "0.0.0.0:514" exporters: chronicle/informix: compression: gzip creds_file_path: '/etc/bindplane-agent/ingestion-auth.json' customer_id: 'YOUR_CUSTOMER_ID' endpoint: malachiteingestion-pa.googleapis.com log_type: INFORMIX raw_log_field: body ingestion_labels: env: production source: informix_audit service: pipelines: logs/informix_to_chronicle: receivers: - udplog exporters: - chronicle/informix替换以下占位符：
接收器配置：
listen_address：要监听的 IP 地址和端口：0.0.0.0:514在端口 514（标准 syslog 端口）上监听所有接口- 如果以非根用户身份在 Linux 上运行，请使用端口
1514或更高端口 - 调整端口号以匹配 Informix syslog 配置
导出器配置：
creds_file_path：提取身份验证文件的完整路径。请确保将下载的提取身份验证文件另存为ingestion-auth.json，并将其保存在以下某个位置：- Linux：
/etc/bindplane-agent/ingestion-auth.json - Windows：
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux：
customer_id：将YOUR_CUSTOMER_ID替换为上一步中的客户 IDendpoint：区域端点网址：- 美国：
malachiteingestion-pa.googleapis.com - 欧洲：
europe-malachiteingestion-pa.googleapis.com - 亚洲：
asia-southeast1-malachiteingestion-pa.googleapis.com - 如需查看完整列表，请参阅区域级端点
- 美国：
log_type：设置为INFORMIXingestion_labels：用于对日志进行分类的可选标签（可根据需要自定义）
TCP syslog 的配置示例
如果您希望使用 TCP 来确保可靠的交付，请改用以下配置：
receivers: tcplog: listen_address: "0.0.0.0:514" exporters: chronicle/informix: compression: gzip creds_file_path: '/etc/bindplane-agent/ingestion-auth.json' customer_id: 'YOUR_CUSTOMER_ID' endpoint: malachiteingestion-pa.googleapis.com log_type: INFORMIX raw_log_field: body service: pipelines: logs/informix_to_chronicle: receivers: - tcplog exporters: - chronicle/informix
保存配置文件
修改后，保存文件：
- Linux：依次按
Ctrl+O、Enter和Ctrl+X - Windows：依次点击文件 > 保存
重启 Bindplane 代理以应用更改
如需在 Linux 中重启 Bindplane 代理，请执行以下操作：
运行以下命令：
sudo systemctl restart observiq-otel-collector验证服务是否正在运行：
sudo systemctl status observiq-otel-collector检查日志是否存在错误：
sudo journalctl -u observiq-otel-collector -f
如需在 Windows 中重启 Bindplane 代理，请执行以下操作：
请从下列选项中选择一项：
以管理员身份运行命令提示符或 PowerShell：
net stop observiq-otel-collector && net start observiq-otel-collector服务控制台：
- 按
Win+R，输入services.msc，然后按 Enter 键。 - 找到 observIQ OpenTelemetry 收集器。
- 右键点击并选择重新启动。
- 按
验证服务是否正在运行：
sc query observiq-otel-collector检查日志是否存在错误：
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
配置 IBM Informix syslog 转发
创建审核遮罩
在启用审核之前，您必须创建审核掩码，以定义要针对哪些用户审核哪些事件。
以具有 AAO 角色的用户身份连接到 IBM Informix 服务器。
为所有用户创建默认审核掩码，以审核常见的数据库事件：
onaudit -a -u _default -e +OPDB,GRDB,CRTB,ALTB,DRTB此命令会创建
_default掩码并审核以下事件：- OPDB：打开数据库
- GRDB：授予数据库访问权限
- CRTB：创建表
- ALTB：Alter Table
- DRTB：删除表
如需针对数据修改启用行级审核，请创建包含行级事件的掩码：
onaudit -a -u _require -e +DLRW,INRW,UPRW,RDRW此命令会创建
_require掩码和审核：- DLRW：删除行
- INRW：插入行
- UPRW：更新行
- RDRW：读取行
如需为特定用户创建掩码，请将
_default替换为用户名：onaudit -a -u username -e +OPDB,GRDB,CRTB,ALTB,DRTB,DLRW,INRW,UPRW验证审核掩码是否已创建：
onaudit -o
启用审核到 Syslog (ASL)
启用 ASL 审核并配置 syslog 参数：
onaudit -E on -F LOG_LOCAL0 -I informix_audit -P LOG_INFO此命令会执行以下操作：
-E on：启用“审核到 Syslog”功能-F LOG_LOCAL0：将 syslog 设备设置为 LOG_LOCAL0（建议用于过滤）-I informix_audit：将 syslog 标识符设置为informix_audit（显示在 syslog 消息中）-P LOG_INFO：将 syslog 优先级设置为 LOG_INFO
为数据库管理员启用强制审核：
onaudit -A on -S on此命令会执行以下操作：
-A on：为 DBSA（数据库服务器管理员）组启用强制审核-S on：为 DBSSO（数据库安全官）组启用强制审核
如果您想为带有 AUDIT 标志的表启用行级审核，请执行以下操作：
onaudit -R 1这会将 ADTROWS 参数设置为 1，从而启用选择性行级审核。
验证审核配置：
onaudit -c输出应如下所示：
ADT_SYSLOG_ENABLED = 1ADT_SYSLOG_FACILITY = LOG_LOCAL0ADT_SYSLOG_IDENTIFIER = informix_auditADT_SYSLOG_PRIORITY = LOG_INFOADT_DBSA = 1（如果已启用）ADT_DBSSO = 1（如果已启用）
配置 syslog 守护程序以转发到 Bindplane 代理
Informix ASL 功能会将审核记录发送到本地 syslog 守护程序。您必须配置 syslog 守护程序，以将这些消息转发到 Bindplane 代理。
对于 rsyslog（在 Linux 上最常见）：
创建新的 rsyslog 配置文件：
sudo nano /etc/rsyslog.d/30-informix-audit.conf添加以下配置以转发 Informix 审核日志：
# Forward Informix audit logs to Bindplane agent local0.* @127.0.0.1:514如果您在
onaudit -F命令中配置了其他功能，请将local0替换为您的功能（例如local1、local2等）。如果 Bindplane 代理位于其他服务器上，请将
127.0.0.1替换为 Bindplane 代理的 IP 地址。对于 TCP 转发（更可靠），请使用
@@而不是@：local0.* @@127.0.0.1:514保存文件并重启 rsyslog：
sudo systemctl restart rsyslog验证 rsyslog 是否正在运行：
sudo systemctl status rsyslog
对于 syslog-ng：
修改 syslog-ng 配置文件：
sudo nano /etc/syslog-ng/syslog-ng.conf添加以下配置：
# Define destination for Bindplane agent destination d_bindplane { udp("127.0.0.1" port(514)); }; # Filter for Informix audit logs filter f_informix { facility(local0); }; # Log path to forward Informix logs log { source(s_src); filter(f_informix); destination(d_bindplane); };保存文件并重启 syslog-ng：
sudo systemctl restart syslog-ng
测试配置
通过连接到数据库来生成测试审核事件：
dbaccess stores_demo然后退出数据库。
检查 Bindplane 代理日志，验证是否正在接收审核记录：
Linux：
sudo journalctl -u observiq-otel-collector -f | grep informixWindows：
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log" | findstr informix您还可以使用
onshowaudit实用程序查看 syslog 文件中的审核记录：onshowaudit -f /var/log/syslog -u your_username
审核日志格式
通过 syslog 发送的 Informix 审核日志采用以下格式：
Jan 12 11:59:21 hostname informix_audit: ONLN|2021-01-12 18:59:21.512|hostname|31055|servername|username|0:OPDB:stores_demo:0:-格式包括：
- Syslog 时间戳和主机名（由 syslog 守护程序添加）
- Syslog 标识符（使用
-I选项配置） - 服务器状态（ONLN = 在线）
- Informix 时间戳
- 主机名
- 进程 ID
- 服务器名称
- 用户名
- 活动代码和详细信息（以竖线分隔）
其他配置选项
如需设置 syslog 选项，请执行以下操作：
onaudit -O LOG_NDELAY,LOG_PID可用选项：
LOG_NDELAY：立即打开连接（默认）LOG_ODELAY：延迟打开连接（与 LOG_NDELAY 互斥）LOG_PID：在消息中包含进程 IDLOG_CONS：如果 syslog 不可用，则写入控制台LOG_PERROR：写入 stderr 和 syslog
如需更改审核文件路径（对于经典审核），请执行以下操作：
onaudit -p /path/to/audit/directory设置审核文件大小上限：
onaudit -s 50000000这会将大小上限设置为 50 MB（以字节为单位的值）。
如需手动开始创建新的审核文件，请执行以下操作：
onaudit -n如需设置错误处理模式，请执行以下操作：
onaudit -e 1
错误模式：
0：继续处理并记录错误（默认）1：暂停线程，直到可以写入审核记录3：关闭服务器
UDM 映射表
| 日志字段 | UDM 映射 | 逻辑 |
|---|---|---|
| id、dequeue_count、RequestId | about.labels | 与“消息 ID”“出队次数”“请求 ID”的标签合并 |
| 时间戳 | metadata.event_timestamp | 已使用以下格式转换：yyyy-MM-dd HH:mm:ss.SSS |
| 类型 | metadata.event_type | 如果 type == 'ERROR'，则设置为 'GENERIC_EVENT'，否则设置为 'SYSTEM_AUDIT_LOG_UNCATEGORIZED' |
| serverName | principal.asset.asset_id | 如果类型不是“ERROR”，则由“PRODUCT_SPECIFIC_ID: ”和 serverName 连接而成 |
| hostName | principal.hostname | 如果类型不为“ERROR”，则直接复制值 |
| processId | principal.process.pid | 如果类型不为“ERROR”，则直接复制值 |
| eventOutput、eventName | principal.resource.attribute.labels | 与“活动输出”“活动名称”的标签合并 |
| dbName | principal.resource.name | 如果数据不等于“”，则直接复制值 |
| principal.resource.type | 如果 data != ""，则设置为“DATABASE” | |
| userName | principal.user.userid | 如果类型不为“ERROR”，则直接复制值 |
| errorCode、type | security_result.action | 如果 type == 'ERROR'，则设置为 'BLOCK''; 如果 errorCode == '0'，则设置为 'ALLOW''; 否则设置为 'BLOCK' |
| 异常 | security_result.description | 如果 kv_data_1 != ""，则直接复制值 |
| ErrorCode | security_result.rule_name | 如果 kv_data_1 != ""，则直接复制值 |
| 说明 | security_result.summary | 如果说明不为空，则直接复制值 |
| blob_name, file_name | target.file.full_path | 如果 type == 'ERROR'，则为 blob_name 中的值；否则为 file_name |
| metadata.product_name | 设置为“INFORMIX” | |
| metadata.vendor_name | 设置为“IBM” |