收集 Ribbon Analytics Platform 日志

支持的平台：

本文档介绍了如何使用 Bindplane 代理将 Ribbon Analytics Platform 日志注入到 Google Security Operations。

Ribbon Analytics Platform 是一款网络分析和会话边界控制器平台，用于监控语音和数据通信。它会针对通话详细记录、会话事件和系统健康状况信息生成 syslog 消息。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例
  • Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
  • Bindplane 代理与 Ribbon Analytics Platform 之间的网络连接
  • 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开
  • 对 Ribbon Analytics Platform 管理界面的特权访问权限

获取 Google SecOps 注入身份验证文件

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。
  3. 下载数据注入身份验证文件。

  4. 将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 配置文件。

  3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sc query observiq-otel-collector

    该服务应显示为 正在运行。

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sudo systemctl status observiq-otel-collector

    该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

  • Linux：

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

  • 将 config.yaml 的全部内容替换为以下配置：

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/ribbon_analytics:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: RIBBON_ANALYTICS_PLATFORM
        raw_log_field: body

service:
    pipelines:
        logs/ribbon_analytics_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/ribbon_analytics

配置参数

替换以下占位符：

  • 接收器配置：

    • listen_address：要监听的 IP 地址和端口：
      • 0.0.0.0 侦听所有接口（推荐）
      • 端口 514 是标准 syslog 端口（在 Linux 上需要 root 权限；对于非 root 用户，请使用 1514）

  • 导出器配置：

    • creds_file_path：提取身份验证文件的完整路径：
      • Linux：/etc/bindplane-agent/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id：从 Google SecOps 控制台复制的客户 ID
    • endpoint：区域端点网址：
      • 美国：malachiteingestion-pa.googleapis.com
      • 欧洲：europe-malachiteingestion-pa.googleapis.com
      • 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
      • 如需查看完整列表，请参阅区域级端点

保存配置文件

  • 修改后，保存文件：
    • Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

  • 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

    sudo systemctl restart observiq-otel-collector

    1. 验证服务是否正在运行：

      sudo systemctl status observiq-otel-collector

    2. 检查日志是否存在错误：

      sudo journalctl -u observiq-otel-collector -f

  • 如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：

    • 以管理员身份运行命令提示符或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 服务控制台：

      1. 按 Win+R，输入 services.msc，然后按 Enter 键。
      2. 找到 observIQ OpenTelemetry 收集器。
      3. 右键点击并选择重新启动。

      4. 验证服务是否正在运行：

        sc query observiq-otel-collector

      5. 检查日志是否存在错误：

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

配置 Ribbon Analytics Platform syslog 转发

  1. 登录 Ribbon 管理界面。
  2. 前往设置 > 远程日志服务器。
  3. 添加具有以下配置的新远程日志服务器：
    • Host：输入 Bindplane 代理主机 IP 地址。
    • 端口：输入 514。
    • 协议：选择 UDP。
  4. 点击保存。

UDM 映射表

日志字段 UDM 映射 逻辑
type_name about 已映射：SYSCALL → about
type_syscall_props.AUID about.user.user_display_name 直接映射
type_syscall_props.auid about.user.userid 直接映射
additional_delay_data additional.fields 已合并
additional_delays_data additional.fields 已合并
additional_dns_data additional.fields 已合并
additional_field additional.fields 已合并
additional_relay_data additional.fields 已合并
auth_realm_field additional.fields 已合并
log_details_label additional.fields 已合并
_mechanism extensions.auth.mechanism 已合并
audit_message extensions.auth.type 映射：`type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
msg2 extensions.auth.type 已映射：login failure → MACHINE
type_name extensions.auth.type 映射：USER_LOGIN → MACHINE，`"LOGIN", "USER_START", "USER_AUTH", "CRED_ACQ", "CRED_REF...
dvc intermediary.hostname 直接映射
dvc intermediary.ip 已合并
description metadata.description 直接映射
error_message metadata.description 直接映射
msg2 metadata.description 直接映射
event_timestamp metadata.event_timestamp 解析为 UNIX
timestamp metadata.event_timestamp 解析为 MMM d HH:mm:ss
event_type metadata.event_type 已映射：GENERIC_EVENT → STATUS_UPDATE
has_principal metadata.event_type 已映射：true → STATUS_UPDATE
msg2 metadata.event_type 映射：HTTP → NETWORK_HTTP，login failure → USER_LOGIN
target_user_present metadata.event_type 已映射：true → USER_UNCATEGORIZED
type_name metadata.event_type 已映射：SYSCALL → USER_UNCATEGORIZED
applica metadata.product_event_type 直接映射
audit_message metadata.product_event_type 映射值（共 6 个，例如 pam_krb5.*authentication fails for → PAM_KRB5_AUTH_ERROR，`...
eventType metadata.product_event_type 直接映射
p_event_type metadata.product_event_type 直接映射
type metadata.product_event_type 直接映射
type_name metadata.product_event_type 直接映射
jsonPayload._AUDIT_ID metadata.product_log_id 直接映射
product_log_id metadata.product_log_id 直接映射
audit_message network.application_protocol 已映射：type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → SSH
auth network.application_protocol 已映射：ssh → SSH
message network.application_protocol 已映射：ssh/ssh2 → SSH
tty network.application_protocol 已映射：ssh → SSH
audit_message network.direction 已映射：type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → OUTBOUND，`type=(CRYPTO_SESSION/CRYPTO_K...
mailid network.email.mail_id 直接映射
to_email network.email.to 已映射：^.+@.+$ → to_email
response_code network.http.response_code 直接映射
audit_message network.ip_protocol 已映射：type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → TCP
bytes_sent network.sent_bytes 直接映射
type_crypto_props.ksize network.sent_bytes 已重命名/已映射
jsonPayload._AUDIT_SESSION network.session_id 直接映射
sessionid network.session_id 直接映射
type_anom_props.ses network.session_id 已重命名/已映射
type_syscall_props.ses network.session_id 直接映射
type_crypto_props.cipher network.tls.cipher 直接映射
type_crypto_props.pfs network.tls.curve 直接映射
applica principal.application 直接映射
jsonPayload._COMM principal.application 直接映射
type_anom_props.comm principal.application 直接映射
type_syscall_props.comm principal.application 直接映射
type_syscall_props.terminal principal.application 直接映射
%{rhost} principal.asset.hostname 已合并
rhost principal.asset.hostname 当 kvdata != `` 时进行映射
princi_ip principal.asset.ip 已合并
rhost principal.asset.ip 已合并
srcIp principal.asset.ip 已映射：`^(?:(25[0-5]/2[0-4][0-9]/1[0-9]{2}/[1-9]?[0-9]).){3}(25[0-5]/2[0-4][0-9]/1[0-9]{2}...
%{rhost} principal.hostname 已合并
jsonPayload._HOSTNAME principal.hostname 直接映射
principal_hostname principal.hostname 直接映射
rhost principal.hostname 当 kvdata != `` 时进行映射
audit_message principal.ip 映射：`type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
prin_ip principal.ip 已合并
princi_ip principal.ip 已合并
rhost principal.ip 已合并
srcIp principal.ip 已映射：`^(?:(25[0-5]/2[0-4][0-9]/1[0-9]{2}/[1-9]?[0-9]).){3}(25[0-5]/2[0-4][0-9]/1[0-9]{2}...
type_crypto_props.laddr principal.ip 已合并
srcPort principal.port 已重命名/已映射
type_crypto_props.lport principal.port 已重命名/已映射
auth principal.process.command_line 直接映射
proctitle_value principal.process.command_line 直接映射
type_syscall_props.cmd principal.process.command_line 直接映射
event.idm.read_only_udm.target.process.file.full_path principal.process.file.full_path 直接映射
proctitle_value principal.process.file.full_path 直接映射
audit_message principal.process.file.names 映射：`type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
filename principal.process.file.names 已合并
jsonPayload._PPID principal.process.parent_process.pid 直接映射
type_syscall_props.ppid principal.process.parent_process.pid 直接映射
jsonPayload._PID principal.process.pid 直接映射
pi principal.process.pid 直接映射
process_pid principal.process.pid 直接映射
type_crypto_props.spid principal.process.pid 直接映射
type_syscall_props.pid principal.process.pid 直接映射
email principal.user.email_addresses 已映射：^.+@.+$ → email
user_name principal.user.email_addresses 已映射：^.+@.+$ → user_name
type_syscall_props.UID principal.user.user_display_name 直接映射
type_syscall_props.acct principal.user.user_display_name 直接映射
jsonPayload._AUDIT_FIELD_SUID principal.user.userid 直接映射
principal_user_userid principal.user.userid 直接映射
ruser principal.user.userid 直接映射
type_crypto_props.suid principal.user.userid 直接映射
user_name principal.user.userid 直接映射
usr principal.user.userid 直接映射
a0_label security_result.about.labels 已合并
a1_label security_result.about.labels 已合并
a2_label security_result.about.labels 已合并
a3_label security_result.about.labels 已合并
audit_message security_result.about.labels 映射的值（总共 7 个，例如 `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CH...
exit_label security_result.about.labels 已合并
syscall_label security_result.about.labels 已合并
tty_label security_result.about.labels 已合并
jsonPayload._AUDIT_FIELD_ARCH security_result.about.platform_version 直接映射
type_syscall_props.arch security_result.about.platform_version 直接映射
type_syscall_props.key security_result.about.registry.registry_key 直接映射
product_log_id security_result.about.registry.registry_value_data 直接映射
action security_result.action 已合并
action_data security_result.action 已映射：`"authentication failure", "Authentication failure", "Failed password", "Connection ...
audit_message security_result.action 映射：`type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
security_action security_result.action 已合并
action_data security_result.action_details 直接映射
auth security_result.action_details 已映射：sshd → FAILURE
status security_result.action_details 直接映射
type_crypto_props.res security_result.action_details 已重命名/已映射
type_syscall_props.res security_result.action_details 直接映射
a0_label security_result.detection_fields 已合并
a1_label security_result.detection_fields 已合并
a2_label security_result.detection_fields 已合并
a3_label security_result.detection_fields 已合并
audit_message security_result.detection_fields 映射：`type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
auid_field security_result.detection_fields 已合并
auth security_result.detection_fields 已映射：sshd → authentication_protocol_field、sshd → authentication_mechanism_field 等
authentication_mechanism_field security_result.detection_fields 已合并
authentication_protocol_field security_result.detection_fields 已合并
bootid_label security_result.detection_fields 已合并
connection_state_field security_result.detection_fields 已合并
cwd_field security_result.detection_fields 已合并
exit_label security_result.detection_fields 已合并
jsonPayload._AUDIT_TYPE_NAME security_result.rule_id 直接映射
type_name security_result.rule_id 直接映射
msg_desc security_result.summary 直接映射
secsummary security_result.summary 直接映射
type_anom_props.reason security_result.summary 直接映射
type_syscall_props.op security_result.summary 直接映射
type_syscall_props.res security_result.summary 直接映射
type_syscall_props.success security_result.summary 直接映射
type_path1_props.name src.file.full_path 已重命名/已映射
type_crypto_props.terminal target.application 已重命名/已映射
target_hostname target.asset.hostname 直接映射
type_crypto_props.hostname target.asset.hostname 直接映射
dst_ip target.asset.ip 已合并
resource.labels.project_id target.cloud.project.name 直接映射
filepath target.file.full_path 直接映射
jsonPayload._AUDIT_FIELD_FILE target.file.full_path 直接映射
target_file_full_path target.file.full_path 直接映射
jsonPayload._AUDIT_FIELD_HASH target.file.sha256 直接映射
target_hostname target.hostname 直接映射
type_crypto_props.hostname target.hostname 直接映射
audit_message target.ip 已映射：type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → tar_ip
dst_ip target.ip 已合并
tar_ip target.ip 已合并
resource.labels.location target.location.name 直接映射
dst_port target.port 直接映射
target_port target.port 直接映射
type_crypto_props.rport target.port 已重命名/已映射
args target.process.command_line 已重命名/已映射
cmnd target.process.command_line 直接映射
command_line target.process.command_line 直接映射
cwd target.process.file.full_path 直接映射
jsonPayload._EXE target.process.file.full_path 直接映射
proctitle_value target.process.file.full_path 直接映射
type_anom_props.exe target.process.file.full_path 已重命名/已映射
type_crypto_props.exe target.process.file.full_path 已重命名/已映射
type_syscall_props.exe target.process.file.full_path 直接映射
type_anom_props.pid target.process.pid 已重命名/已映射
type_crypto_props.pid target.process.pid 已重命名/已映射
resource.labels.cluster_name target.resource.name 直接映射
audit_message target.resource.type 映射：`type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
type_name target.resource.type 已映射："USER_ACCT", "USER_ROLE_CHANGE","USER_MGMT" → SETTING
target_email target.user.email_addresses 已映射：^.+@.+$ → target_email
type_syscall_props.ID target.user.user_display_name 直接映射
type_syscall_props.acct target.user.user_display_name 直接映射
event.idm.read_only_udm.principal.user.userid target.user.userid 已重命名/已映射
jsonPayload._UID target.user.userid 直接映射
type_crypto_props.uid target.user.userid 直接映射
type_syscall_props.acct target.user.userid 直接映射
type_syscall_props.id target.user.userid 直接映射
type_syscall_props.uid target.user.userid 直接映射
user_name target.user.userid 直接映射
username target.user.userid 直接映射
不适用 extensions.auth.type 常量：AUTHTYPE_UNSPECIFIED
不适用 metadata.event_type 常量：STATUS_UPDATE
不适用 metadata.product_event_type 常量：PAM_KRB5_AUTH_ERROR
不适用 metadata.product_name 常量：AuditD
不适用 metadata.vendor_name 常量：Linux
不适用 network.application_protocol 常量：SSH
不适用 network.direction 常量：OUTBOUND
不适用 network.ip_protocol 常量：TCP
不适用 principal.platform 常量：LINUX
不适用 principal.user.userid 常量：event.idm.read_only_udm.target.user.userid
不适用 security_result.action_details 常量：FAILURE
不适用 target.resource.type 常量：SETTING

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。