我们已重新整理文档导航结构，使其与您的运营工作流程直接保持一致。如需了解详情，请参阅版本说明和演示视频。

Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

收集 Netscout OCI 日志

支持：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将 NETSCOUT nGeniusONE 日志注入 Google Security Operations。

NETSCOUT nGeniusONE（观察者基础架构）是一个网络性能监控和流量分析平台，可提供深度数据包检查、网络流量实时可见性和安全威胁检测。该平台支持通过 syslog 转发安全事件和提醒，包括用于 SIEM 集成的 CEF 格式。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
Windows Server 2016 或更高版本，或具有 systemd 的 Linux 主机
Bindplane 代理与 NETSCOUT nGeniusONE 服务器之间的网络连接
如果通过代理运行，请确保防火墙端口根据 Bindplane 代理要求处于打开状态
对 NETSCOUT nGeniusONE 管理控制台的特权访问权限，且具有管理员权限

获取 Google SecOps 注入身份验证文件

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 收集代理。
下载数据注入身份验证文件 。将该文件安全地保存在将安装 Bindplane 的系统上。

**注意**：此 JSON 文件包含用于向 Google SecOps 验证 Bindplane 代理的凭据。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 个人资料。
从组织详细信息 部分复制并保存客户 ID 。

**注意**：配置 Bindplane 代理导出器需要客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符 或 PowerShell 。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安装完成。
运行以下命令，验证安装是否成功：
```
sc query observiq-otel-collector
```

该服务应显示为正在运行 。

Linux 安装

使用 root 或 sudo 权限打开终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安装完成。

运行以下命令，验证安装是否成功：

sudo systemctl status observiq-otel-collector

该服务应显示为活跃 (正在运行) 。

其他安装资源

如需了解其他安装选项和问题排查，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并发送到 Google SecOps

找到配置文件

Linux ：

sudo systemctl status observiq-otel-collector

Windows ：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

将 config.yaml 的全部内容替换为以下配置：

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/netscout_oci:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: NETSCOUT_OCI
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/netscout_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/netscout_oci

配置参数

替换以下占位符：

接收器配置：
- udplog：基于协议的接收器类型：
  - UDP syslog 的 udplog
  - TCP syslog 的 tcplog
- 0.0.0.0：要监听的 IP 地址：
  - 0.0.0.0，用于监听所有接口（推荐）
  - 用于监听一个接口的特定 IP 地址
- 514：要监听的端口号（例如 514、1514、6514）
导出器配置：
- netscout_oci：导出器的描述性名称
- creds_file_path：注入身份验证文件的完整路径：
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <customer_id>：上一步中的客户 ID
- endpoint：区域级端点网址：
  - 美国：malachiteingestion-pa.googleapis.com
  - 欧洲: europe-malachiteingestion-pa.googleapis.com
  - 亚洲: asia-southeast1-malachiteingestion-pa.googleapis.com
  - 如需查看完整列表，请参阅区域级端点
- NETSCOUT_OCI：日志类型，与 Chronicle 中显示的内容完全一致
- ingestion_labels：YAML 格式的可选标签（例如 env: production）
流水线配置：
- netscout_to_chronicle：流水线的描述性名称

保存配置文件

修改后，保存文件：
- Linux：按 Ctrl+O，然后按 Enter，再按 Ctrl+X
- Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

运行以下命令：

sudo systemctl restart observiq-otel-collector

验证服务是否正在运行：

sudo systemctl status observiq-otel-collector

检查日志中的错误：

sudo journalctl -u observiq-otel-collector -f

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

请从下列选项中选择一项：
- 以管理员身份运行命令提示符或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服务控制台：
  1. 按 Win+R，输入 services.msc，然后按 Enter 键。
  2. 找到 observIQ OpenTelemetry Collector 。
  3. 右键点击并选择重启。
验证服务是否正在运行：
```
sc query observiq-otel-collector
```

检查日志中的错误：

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

配置 NETSCOUT nGeniusONE syslog 转发

使用管理员权限登录 nGeniusONE 管理控制台。
依次前往设置 > 全局设置 > 通知设置。
在 Syslog 部分中，配置以下内容：
- Syslog 服务器地址：输入 Bindplane 代理主机（例如 192.168.1.100）的 IP 地址。
- Syslog 端口：输入 514（必须与 Bindplane 代理接收器端口匹配）。
- 协议：选择 UDP （必须与 Bindplane 代理接收器类型匹配）。
选择要转发的事件类型和严重级别。
点击保存以应用配置。
通过检查 Bindplane 代理日志，验证是否收到了 syslog 消息。

UDM 映射表

日志字段	UDM 映射	逻辑
Policy,Classification	additional.fields	其他自定义字段
vuln	extensions.vulns.vulnerabilities	漏洞列表
desc	metadata.description	事件的说明
event_type	metadata.event_type	事件的类型
type	metadata.product_event_type	特定于产品的事件类型
device_version	metadata.product_version	产品的版本
dvchost,dvc,shost,src,src_iporhost	principal.asset.hostname	与正文相关联的资产的主机名
dvchost,dvc,shost,src,src_iporhost	principal.asset.ip	与正文相关联的资产的 IP 地址
dvchost,dvc,shost,src,src_iporhost	principal.hostname	与正文相关联的主机名
dvchost,dvc,shost,src,src_iporhost	principal.ip	与正文相关联的 IP 地址
serverPort	principal.port	与正文相关联的端口号
event_name,Category	security_result.category_details	有关类别的其他详细信息
iocDescription	security_result.description	安全性结果的说明
OmnisSecurityHostType,HostGroupCount,HostGroup,IOCSeverity,IOCConfidence,OmnisSecurityHostCount,OmnisSecurityInterfaceCount,OmnisSecurityViolationCount,App,UserIdentity,mitreTactic,mitreTechnique,srcCount,dstCount,srcHostGroupCount,dstHostGroupCount,interfaceCount,violationCount,dstHostGroup,srcHostGroup	security_result.detection_fields	用于检测的字段
security_rule_name	security_result.rule_name	触发事件的规则的名称
severity	security_result.severity	安全性结果的严重级别
App	target.application	与目标相关联的应用
target_host	target.asset.hostname	与目标相关联的资产的主机名
target_ip	target.asset.ip	与目标相关联的资产的 IP 地址
dhost,dst,target_host	target.hostname	与目标相关联的主机名
dhost,dst,target_ip	target.ip	与目标相关联的 IP 地址
remoteGeolocation	target.location.name	与目标相关联的位置的名称
target_port	target.port	与目标相关联的端口号
OmnisSecurityUrl	target.url	与目标相关联的网址
end	vuln.scan_end_time	漏洞扫描的结束时间
start	vuln.scan_start_time	漏洞扫描的开始时间
	metadata.vendor_name	供应商的名称
device_product	metadata.product_name	产品的名称
`mitreTactic", "mitreTechnique", "srcCount", "dstCount", "srcHostGroupCount", "dstHostGroupCount", "interfaceCount", "violationCount", "dstHostGroup", and "srcHostGroup`	`security_result.detection_fields`	从更新日志映射
`Policy" and "Classification`	`additional.fields`	从更新日志映射

更新日志

查看此解析器的更新日志