收集 Veridium ID 日志

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 代理将 Veridium ID 日志注入到 Google Security Operations。

Veridium ID 是一种生物识别身份验证平台，可针对身份验证事件、账号管理、设备注册和管理操作生成 syslog 消息。解析器使用 Grok 模式和键值对解析从 syslog 消息中提取字段，并将这些字段映射到统一数据模型 (UDM)。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
• Bindplane 代理与 Veridium ID 主机之间的网络连接
• 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开
• 对 Veridium ID 的特权访问权限

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载数据注入身份验证文件。

4. 将文件安全地保存在将要安装 Bindplane 的系统上。

   注意： 此 JSON 文件包含用于向 Google SecOps 验证 Bindplane 代理身份的凭据。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。

3. 复制并保存组织详细信息部分中的客户 ID。

   注意： 配置 Bindplane 代理导出器时需要客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sc query observiq-otel-collector
   

   该服务应显示为 正在运行。

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sudo systemctl status observiq-otel-collector
   

   该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

• Linux：

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows：

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

修改配置文件

• 将 config.yaml 的全部内容替换为以下配置：

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/veridium_id:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: VERIDIUM_ID
          raw_log_field: body
  
  service:
      pipelines:
          logs/veridium_id_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/veridium_id
  

配置参数

替换以下占位符：

• 接收器配置：

  • listen_address：要监听的 IP 地址和端口：
    • 0.0.0.0 侦听所有接口（推荐）
    • 端口 514 是标准 syslog 端口（在 Linux 上需要 root 权限；对于非 root 用户，请使用 1514）
    • Veridium ID 使用 TCP（rsyslog 中的 @@），因此需要 tcplog 接收器

• 导出器配置：

  • creds_file_path：提取身份验证文件的完整路径：
    • Linux：/etc/bindplane-agent/ingestion-auth.json
    • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id：从 Google SecOps 控制台复制的客户 ID
  • endpoint：区域端点网址：
    • 美国：malachiteingestion-pa.googleapis.com
    • 欧洲：europe-malachiteingestion-pa.googleapis.com
    • 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
    • 如需查看完整列表，请参阅区域级端点

保存配置文件

• 修改后，保存文件：
  • Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
  • Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

• 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

  sudo systemctl restart observiq-otel-collector
  

  1. 验证服务是否正在运行：

     sudo systemctl status observiq-otel-collector
     

  2. 检查日志是否存在错误：

     sudo journalctl -u observiq-otel-collector -f
     

• 如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：

  • 以管理员身份运行命令提示符或 PowerShell：

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • 服务控制台：

    1. 按 Win+R，输入 services.msc，然后按 Enter 键。
    2. 找到 observIQ OpenTelemetry 收集器。
    3. 右键点击并选择重新启动。

    4. 验证服务是否正在运行：

       sc query observiq-otel-collector
       

    5. 检查日志是否存在错误：

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

为 Veridium ID 配置 syslog

1. 使用 SSH 或 CLI 登录 Veridium ID 主机。

2. 修改 /etc/rsyslog.conf 或 /etc/rsyslog.d/events.conf 文件：

   vi /etc/rsyslog.conf
   

3. 添加以下配置，将 <bindplane-ip> 和 <bindplane-port> 替换为实际的 Bindplane 代理详细信息：

   module(load="imfile" PollingInterval="10")
   
   input(type="imfile"
     File="/var/log/veridiumid/websecadmin/events.log"
     Tag="ver-adminevents"
     reopenOnTruncate="on")
   
   input(type="imfile"
     File="/var/log/veridiumid/tomcat/events.log"
     Tag="ver-events"
     reopenOnTruncate="on")
   
   if $programname == 'ver-events' then @@<bindplane-ip>:<bindplane-port>
   if $programname == 'ver-adminevents' then @@<bindplane-ip>:<bindplane-port>
   

   注意： 应在每个 Web 应用上配置此设置。@@ 前缀表示 TCP 传输。

4. 保存文件并退出。

UDM 映射表

日志字段	UDM 映射	逻辑
_caller.accountId	principal.user.userid	直接从 _caller.accountId 字段映射。
_caller.accountEmailAddressInfo	principal.user.email_addresses	直接从 _caller.accountEmailAddressInfo 字段映射。
_caller.accountExternalId	principal.user.email_addresses	直接从 _caller.accountExternalId 字段映射。
_caller.accountStatus	principal.user.attribute.labels[account_status].value	直接从 _caller.accountStatus 字段映射。
_caller.deviceId	principal.asset.asset_id	以“VERIDIUM_ID:”为前缀，并从 _caller.deviceId 字段映射。
_caller.deviceDescription	principal.asset.attribute.labels[device_description].value	直接从 _caller.deviceDescription 字段映射。
_caller.deviceManufacturer	principal.asset.attribute.labels[device_manufacturer].value	直接从 _caller.deviceManufacturer 字段映射。
_caller.deviceName	principal.asset.attribute.labels[device_name].value	直接从 _caller.deviceName 字段映射。
_caller.deviceOs	principal.asset.platform_software.platform	从 _caller.deviceOs 字段映射。如果值为“iOS”，则映射到“IOS”。如果值为“Android”，则映射到“ANDROID”。如果值为“WIN”或“Windows”，则映射到“WINDOWS”。
_caller.deviceStatus	principal.asset.attribute.labels[device_status].value	直接从 _caller.deviceStatus 字段映射。
_caller.deviceType	principal.asset.attribute.labels[device_type].value	直接从 _caller.deviceType 字段映射。
actionDate	additional.fields[action_date].value.string_value	直接从 actionDate 字段映射。
actionName	metadata.product_event_type	直接从 actionName 字段映射。
accountEmail	principal.user.email_addresses	直接从 accountEmail 字段映射。
accountExternalId	principal.user.email_addresses	直接从 accountExternalId 字段映射。
accountId	principal.user.userid	直接从 accountId 字段映射。
authenticatorDeviceContext.deviceMake	intermediary.asset.hardware.manufacturer	直接从 authenticatorDeviceContext.deviceMake 字段映射。
authenticatorDeviceContext.ip	intermediary.ip	直接从 authenticatorDeviceContext.ip 字段映射。
authenticatorDeviceContext.location.city	intermediary.asset.location.city	直接从 authenticatorDeviceContext.location.coordinates.latitude 字段映射。
authenticatorDeviceContext.location.coordinates.latitude	intermediary.asset.location.region_latitude	直接从 authenticatorDeviceContext.location.coordinates.latitude 字段映射。
authenticatorDeviceContext.location.coordinates.longitude	intermediary.asset.location.region_longitude	直接从 authenticatorDeviceContext.location.coordinates.longitude 字段映射。
authenticatorDeviceContext.location.countryName	intermediary.asset.location.country_or_region	直接从 authenticatorDeviceContext.location.countryName 字段映射。
authenticatorDeviceContext.location.ip	intermediary.ip	直接从 authenticatorDeviceContext.location.ip 字段映射。
authenticationDeviceDescription	intermediary.asset.attribute.labels[authentication_device_description].value	直接从 authenticationDeviceDescription 字段映射。
authenticationDeviceName	intermediary.asset.asset_id	以“VERIDIUM_ID:”为前缀，并从 authenticationDeviceName 字段映射。
authenticationDeviceOs	intermediary.asset.platform_software.platform	从 authenticationDeviceOs 字段映射。如果值为“iOS”，则映射到“IOS”。如果值为“Android”，则映射到“ANDROID”。如果值为“WIN”或“Windows”，则映射到“WINDOWS”。
authenticationDeviceOsVersion	intermediary.asset.platform_software.platform_version	直接从 authenticationDeviceOsVersion 字段映射。
authenticationDevicePhone	intermediary.asset.attribute.labels[authentication_device_phone].value	直接从 authenticationDevicePhone 字段映射。
authenticationDevicePhoneModel	intermediary.asset.attribute.labels[authentication_device_phone_model].value	直接从 authenticationDevicePhoneModel 字段映射。
authenticationDeviceRegistrationTime	intermediary.asset.attribute.labels[authentication_device_registeration_time].value	直接从 authenticationDeviceRegistrationTime 字段映射。
authenticationDeviceType	intermediary.asset.attribute.labels[authentication_device_type].value	直接从 authenticationDeviceType 字段映射。
authenticationResult	extensions.auth.auth_details	直接从 authenticationResult 字段映射。
context.deviceMake	principal.asset.hardware.manufacturer	直接从 context.deviceMake 字段映射。
context.ip	principal.ip	直接从 context.ip 字段映射。
context.location.countryName	principal.location.country_or_region	直接从 context.location.countryName 字段映射。
context.location.ip	principal.ip	直接从 context.location.ip 字段映射。
context.osVersion	principal.asset.platform_software.platform_version	直接从 context.osVersion 字段映射。
context.userAgentRaw	network.http.user_agent	直接从 context.userAgentRaw 字段映射。
exploiterDeviceContext.deviceMake	src.asset.hardware.manufacturer	直接从 exploiterDeviceContext.deviceMake 字段映射。
exploiterDeviceContext.ip	src.ip	直接从 exploiterDeviceContext.ip 字段映射。
exploiterDeviceContext.location.city	src.asset.location.city	直接从 exploiterDeviceContext.location.city 字段映射。
exploiterDeviceContext.location.coordinates.latitude	src.asset.location.region_latitude	直接从 exploiterDeviceContext.location.coordinates.latitude 字段映射。
exploiterDeviceContext.location.coordinates.longitude	src.asset.location.region_longitude	直接从 exploiterDeviceContext.location.coordinates.longitude 字段映射。
exploiterDeviceContext.location.countryName	src.asset.location.country_or_region	直接从 exploiterDeviceContext.location.countryName 字段映射。
exploiterDeviceContext.location.ip	src.ip	直接从 exploiterDeviceContext.location.ip 字段映射。
exploiterDeviceContext.osName	src.asset.platform_software.platform	从 exploiterDeviceContext.osName 字段映射。如果值为“WIN”或“Windows”，则映射到“WINDOWS”。如果值为“iOS”，则映射到“IOS”。如果值为“Android”，则映射到“ANDROID”。
exploiterDeviceContext.osVersion	src.asset.platform_software.platform_version	直接从 exploiterDeviceContext.osVersion 字段映射。
exploiterDeviceName	src.asset.attribute.labels[exploiter_device_name].value	直接从 exploiterDeviceName 字段映射。
hostname	principal.hostname	直接从 hostname 字段映射。
ipAddress	principal.ip	直接从 ipAddress 字段映射。
location	principal.location.city	直接从 location 字段映射。
location.city	about.location.city	直接从 location.city 字段映射。
location.coordinates.latitude	about.location.region_latitude	直接从 location.coordinates.latitude 字段映射。
location.coordinates.longitude	about.location.region_longitude	直接从 location.coordinates.longitude 字段映射。
location.countryName	about.location.country_or_region	直接从 location.countryName 字段映射。
location.ip	about.ip	直接从 location.ip 字段映射。
metadata.collected_timestamp	metadata.collected_timestamp	直接从 collected_time 字段映射。
metadata.event_timestamp	metadata.event_timestamp	直接从 event_time 字段映射。
metadata.event_type	metadata.event_type	设置为“USER_UNCATEGORIZED”。
metadata.product_event_type	metadata.product_event_type	直接从 actionName 字段映射。
metadata.product_name	metadata.product_name	设置为“VERIDIUM_ID”。
namespace	principal.namespace	直接从 namespace 字段映射。
pid	principal.process.pid	直接从 pid 字段映射。
request.context.userAgentRaw	network.http.user_agent	直接从 request.context.userAgentRaw 字段映射。
request.sessionId	network.session_id	直接从 request.sessionId 字段映射。
requestMethod	network.http.method	直接从 requestMethod 字段映射。
requestURI	network.http.referral_url	直接从 requestURI 字段映射。
security_result.severity	security_result.severity	从 severity 字段映射。如果值为“INFO”，则映射到“INFORMATIONAL”。
	principal.application	直接从 application 字段映射。
	principal.asset.hostname	直接从 hostname 字段映射。

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。