收集 Precisely Ironstream for IBM z/OS 日志

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 代理将 Precisely Ironstream for IBM z/OS 日志注入到 Google Security Operations。

Precisely Ironstream for IBM z/OS 是一种大型机数据流式传输解决方案，可从 IBM z/OS 系统捕获 SMF 记录、syslog 和安全事件。Ironstream 可将日志数据从大型机流式传输到着陆区服务器，然后通过 syslog 将这些日志转发到 Bindplane 代理。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
• Bindplane 代理与 Ironstream 临时区服务器之间的网络连接
• 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开
• 对运行 Precisely Ironstream 的 IBM z/OS 系统的特权访问权限
• Ironstream 已配置为将 SMF 记录、syslog 或安全事件导出到着陆区服务器

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载数据注入身份验证文件。

4. 将文件安全地保存在将要安装 Bindplane 的系统上。

   注意： 此 JSON 文件包含用于向 Google SecOps 验证 Bindplane 代理身份的凭据。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。

3. 复制并保存组织详细信息部分中的客户 ID。

   注意： 配置 Bindplane 代理导出器时需要客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sc query observiq-otel-collector
   

   该服务应显示为 正在运行。

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sudo systemctl status observiq-otel-collector
   

   该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

• Linux：

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows：

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

修改配置文件

• 将 config.yaml 的全部内容替换为以下配置：

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/ironstream_zos:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: IRONSTREAM_ZOS
          raw_log_field: body
  
  service:
      pipelines:
          logs/ironstream_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/ironstream_zos
  

配置参数

替换以下占位符：

• 接收器配置：

  • listen_address：要监听的 IP 地址和端口：
    • 0.0.0.0 侦听所有接口（推荐）
    • 端口 514 是标准 syslog 端口（在 Linux 上需要 root 权限；对于非 root 用户，请使用 1514）

• 导出器配置：

  • creds_file_path：提取身份验证文件的完整路径：
    • Linux：/etc/bindplane-agent/ingestion-auth.json
    • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id：从 Google SecOps 控制台复制的客户 ID
  • endpoint：区域端点网址：
    • 美国：malachiteingestion-pa.googleapis.com
    • 欧洲：europe-malachiteingestion-pa.googleapis.com
    • 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
    • 如需查看完整列表，请参阅区域级端点

保存配置文件

• 修改后，保存文件：
  • Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
  • Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

• 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

  sudo systemctl restart observiq-otel-collector
  

  1. 验证服务是否正在运行：

     sudo systemctl status observiq-otel-collector
     

  2. 检查日志是否存在错误：

     sudo journalctl -u observiq-otel-collector -f
     

• 如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：

  • 以管理员身份运行命令提示符或 PowerShell：

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • 服务控制台：

    1. 按 Win+R，输入 services.msc，然后按 Enter 键。
    2. 找到 observIQ OpenTelemetry 收集器。
    3. 右键点击并选择重新启动。

    4. 验证服务是否正在运行：

       sc query observiq-otel-collector
       

    5. 检查日志是否存在错误：

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

配置 Ironstream syslog 转发

Precisely Ironstream 可将日志数据从 IBM z/OS 流式传输到着陆区服务器（Linux 或 Windows）。将着陆区配置为通过 syslog 将这些日志转发到 Bindplane 代理。

1. 登录着陆区服务器上的 Ironstream 管理控制台。
2. 依次前往配置 > 输出目的地。
3. 点击添加目的地以创建新的 syslog 输出。
4. 提供以下配置详细信息：
   • 目标类型：选择 Syslog。
   • Syslog 服务器：输入 Bindplane 代理主机（例如 192.168.1.100）的 IP 地址。
   • 端口：输入 514。
   • 协议：选择 TCP。
   • 格式：根据您的需求选择 BSD (RFC 3164) 或 IETF (RFC 5424)。
5. 选择要转发的数据源：
   • SMF 记录
   • z/OS syslog
   • 安全事件（RACF、ACF2 或 Top Secret）
6. 点击保存以应用配置。
7. 重启 Ironstream 服务以激活新的输出目的地。

8. 通过检查 Bindplane 代理日志，验证是否正在接收日志。

   注意： 如需详细了解配置选项，请参阅 Precisely Ironstream 文档。Ironstream 支持同时将多种 z/OS 数据类型流式传输到同一 syslog 目标位置。

UDM 映射表

日志字段	UDM 映射	逻辑
jsondata.*	additional.fields	不符合标准 UDM 架构的其他数据
	metadata.event_type	事件类型（例如 USER_LOGIN、NETWORK_CONNECTION）
SMF119SC_SARIP_IPV4_0001、SMF119SC_SALIP_IPV4_0001	principal.asset.ip	与正文相关联的资产的 IP 地址
SMF119SC_SARIP_IPV4_0001、SMF119SC_SALIP_IPV4_0001	principal.ip	主账号的 IP 地址
DESTINATION_SEQUENCE_NUMBER	target.resource.attribute.labels	与目标资源关联的标签
	metadata.product_name	生成日志的产品的名称
	metadata.vendor_name	生成日志的供应商的名称

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。