收集 Verba Recording System 日志

支持的平台：

Google SecOps SIEM

注意： 此功能受《Google Security Operations 服务专用条款》的正式发布前产品条款的约束。我们对正式发布前功能的支持可能有限，并且对正式发布前功能的更改与其他正式发布前版本可能不兼容。如需了解详情，请参阅 Google SecOps 技术支持服务准则和 Google SecOps 服务专用条款。

本文档介绍了如何使用 Bindplane 将 Verba Recording System 日志注入到 Google Security Operations。

Verba Recording System（现为 Verint）是一种通信合规性记录平台，用于捕获和归档语音、视频和即时通讯互动。Bindplane 代理直接从本地文件系统收集 Verba 日志文件。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• Windows Server 2016 或更高版本，支持 observiq-otel-collector 服务
• 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开
• 对 Verba Recording System 服务器具有管理员权限的特权访问权限

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。

3. 下载注入身份验证文件。将该文件安全地保存在将要安装 Bindplane 的系统上。

   注意： 此 JSON 文件包含用于向 Google SecOps 验证 Bindplane 代理身份的凭据。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。

3. 复制并保存组织详细信息部分中的客户 ID。

   注意： 配置 Bindplane 代理导出器时需要客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sc query observiq-otel-collector
   

该服务应显示为 正在运行。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入日志并将其发送到 Google SecOps

找到配置文件

• Windows：

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

修改配置文件

• 将 config.yaml 的全部内容替换为以下配置：

  receivers:
      filelog:
          include:
              - C:\Program Files\Verba\log\*.log
          start_at: beginning
  
  exporters:
      chronicle/verba_rec:
          compression: gzip
          creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: VERBA_REC
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/verba_to_chronicle:
              receivers:
                  - filelog
              exporters:
                  - chronicle/verba_rec
  

配置参数

替换以下占位符：

• 接收器配置：

  • filelog：用于从磁盘收集日志文件的接收器类型
  • include：要监控的文件路径列表。默认 Verba 录制系统日志位置：
    • C:\Program Files\Verba\log\*.log
    • C:\Verba\log\*.log（替代安装路径）
  • start_at：设置为 beginning 可读取现有日志，设置为 end 可仅读取新条目

• 导出器配置：

  • verba_rec：导出器的描述性名称
  • creds_file_path：提取身份验证文件的完整路径：
    • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <customer_id>：上一步中的客户 ID
  • endpoint：区域端点网址：
    • 美国：malachiteingestion-pa.googleapis.com
    • 欧洲：europe-malachiteingestion-pa.googleapis.com
    • 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
    • 如需查看完整列表，请参阅区域级端点
  • VERBA_REC：日志类型，与在 Chronicle 中显示的完全一致
  • ingestion_labels：YAML 格式的可选标签（例如 env: production）

• 流水线配置：

  • verba_to_chronicle：流水线的描述性名称

保存配置文件

• 修改后，保存文件：
  • Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

1. 请从下列选项中选择一项：

   • 以管理员身份运行命令提示符或 PowerShell：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • 服务控制台：
     1. 按 Win+R，输入 services.msc，然后按 Enter 键。
     2. 找到 observIQ OpenTelemetry 收集器。
     3. 右键点击并选择重新启动。

2. 验证服务是否正在运行：

   sc query observiq-otel-collector
   

3. 检查日志是否存在错误：

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

配置 Verba 录制系统日志记录

Verba 录制系统将审核和合规性录制日志存储在应用服务器上。您可以从文件系统中收集日志，也可以从 Web 控制台中导出日志。

验证日志文件位置

1. 以管理员权限登录 Verba Recording System 服务器。

2. 导航到 Verba 日志目录。默认位置包括：

   • C:\Program Files\Verba\log\
   • `C:\Verba\log`（替代安装路径）
   注意： 确切的日志路径取决于您的 Verba 安装配置。请参阅相应版本的 Verba Recording System Administration Guide（Verba 录制系统管理指南）。

3. 确保 config.yaml 中的 Bindplane 代理 include 路径与 Verba 服务器上的实际日志文件位置相符。

（可选）从 Verba Web 控制台导出审核日志

1. 以管理员身份登录 Verba Recording System（Verba 录制系统）网页控制台。
2. 依次前往系统 > 日志 > 审核轨迹。
3. 配置搜索参数：
   • 日期范围：选择开始日期和结束日期。
   • 事件类别：选择要导出的日志类别（例如，录制活动事件、用户活动、系统事件、合规性事件）。
   • 用户：您可以选择按特定用户进行过滤。
4. 点击搜索以检索审核记录。
5. 点击导出为 CSV 以下载日志数据。

6. 将导出的文件保存到 Bindplane 代理监控的日志目录（例如 `C:\Program Files\Verba\log`）。

   注意： Bindplane 代理服务账号必须具有对 Verba 日志目录的读取权限。

UDM 映射表

日志字段	UDM 映射	逻辑
column2、column3、column4、column5、column7	metadata.description	如果值不为空，则直接复制
	metadata.event_type	如果 column1 或 column6 不为空，则设置为“USER_UNCATEGORIZED”，否则设置为“GENERIC_EVENT”
第 1 列	principal.user.userid	对 column1 应用正则表达式以移除“ \([^)]+\)$"（如果非空）后的值
column8	security_result.action_details	如果值不为空，则直接复制
column2、column3、column4、column5、column7	security_result.detection_fields	如果非空，则与根据每个列创建的标签对象合并；每个标签的键都设置为特定字符串（例如，列 2 的“时间戳”），值从列中复制
column9	security_result.summary	如果值不为空，则直接复制
column6	target.user.userid	对 column6 应用正则表达式以移除“ \([^)]+\)$”（如果非空）后的值
	metadata.product_name	设置为“Verba_Recording_Systems”
	metadata.vendor_name	设置为“Verba_Recording_Systems”

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。