我们已重新整理文档导航结构，使其与您的运营工作流程直接保持一致。如需了解详情，请参阅版本说明和演示视频。

Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

收集 Omnissa Horizon（以前称为 VMware Horizon）日志

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将 Omnissa Horizon（以前称为 VMware Horizon）日志注入到 Google Security Operations。

Omnissa Horizon 是一款虚拟桌面基础架构 (VDI) 平台，可向最终用户交付虚拟桌面和应用。它可在本地和混合云环境中集中管理虚拟机、监控会话和强制执行政策。解析器使用正则表达式（Grok 模式）从原始 syslog 消息中提取字段，并将这些字段映射到统一数据模型 (UDM)。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
Bindplane 代理与 Omnissa Horizon 连接服务器之间的网络连接
如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开
对 Omnissa Horizon 控制台的特权访问权限（管理员角色）

获取 Google SecOps 注入身份验证文件

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 收集代理。
下载数据注入身份验证文件。将该文件安全地保存在将要安装 Bindplane 的系统上。

注意：此 JSON 文件包含用于向 Google SecOps 验证 Bindplane 代理身份的凭据。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 配置文件。
复制并保存组织详细信息部分中的客户 ID。

注意：配置 Bindplane 代理导出器时需要客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符或 PowerShell。

运行以下命令：

msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

等待安装完成。
运行以下命令，验证安装是否成功：
```
sc query observiq-otel-collector
```

该服务应显示为 正在运行。

Linux 安装

打开具有 root 或 sudo 权限的终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

等待安装完成。

运行以下命令，验证安装是否成功：

sudo systemctl status observiq-otel-collector

该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

Linux：

sudo nano /etc/bindplane-agent/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

将 config.yaml 的全部内容替换为以下配置：

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/vmware_horizon:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: VMWARE_HORIZON
        raw_log_field: body

service:
    pipelines:
        logs/vmware_horizon_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/vmware_horizon

配置参数

替换以下占位符：

接收器配置：
- listen_address：要监听的 IP 地址和端口：
  - 0.0.0.0 侦听所有接口（推荐）
  - 端口 514 是标准 syslog 端口（在 Linux 上需要 root 权限；对于非 root 用户，请使用 1514）
导出器配置：
- creds_file_path：提取身份验证文件的完整路径：
  - Linux：/etc/bindplane-agent/ingestion-auth.json
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id：从 Google SecOps 控制台复制的客户 ID
- endpoint：区域端点网址：
  - 美国：malachiteingestion-pa.googleapis.com
  - 欧洲：europe-malachiteingestion-pa.googleapis.com
  - 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
  - 如需查看完整列表，请参阅区域级端点

保存配置文件

修改后，保存文件：
- Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
- Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

运行以下命令：

sudo systemctl restart observiq-otel-collector

验证服务是否正在运行：

sudo systemctl status observiq-otel-collector

检查日志是否存在错误：

sudo journalctl -u observiq-otel-collector -f

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

请从下列选项中选择一项：
- 以管理员身份运行命令提示符或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服务控制台：
  1. 按 Win+R，输入 services.msc，然后按 Enter 键。
  2. 找到 observIQ OpenTelemetry 收集器。
  3. 右键点击并选择重新启动。
验证服务是否正在运行：
```
sc query observiq-otel-collector
```

检查日志是否存在错误：

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

在 Omnissa Horizon（以前称为 VMware Horizon）中配置 syslog 转发

使用管理员账号登录 Omnissa Horizon Console。
依次前往设置 > 活动配置。
在发送到 Syslog 服务器部分，点击添加。
提供以下配置详细信息：
- 服务器地址：输入 Bindplane 代理主机（例如 192.168.1.100）的 IP 地址。
- 端口：输入 514。
- 协议：选择 UDP。
点击保存。
通过检查 Bindplane 代理日志，验证事件是否正在转发。

注意： Omnissa Horizon 通过 syslog 转发连接服务器事件、代理事件、管理员审核事件和报警事件。启用 syslog 转发功能后，默认情况下会包含所有事件类别。

UDM 映射表

日志字段	UDM 映射	逻辑
`ActionId`	`metadata.product_log_id`	原始日志中的 `ActionId` 值会映射到 `metadata.product_log_id`。
`admin_domain`	`principal.administrative_domain`	原始日志中的 `admin_domain` 值会映射到 `principal.administrative_domain`。
`BrokerName`	`principal.hostname`	原始日志中的 `BrokerName` 值会映射到 `principal.hostname`。
`BrokerSessionId`	`network.session_id`	原始日志中的 `BrokerSessionId` 值会映射到 `network.session_id`。
`ClientIpAddress`	`principal.ip`	原始日志中的 `ClientIpAddress` 值会映射到 `principal.ip`。
`CurrentSessionLength`	`network.session_duration.seconds`	原始日志中的 `CurrentSessionLength` 值会转换为整数，然后映射到 `network.session_duration.seconds`。
`description`	`metadata.description`	原始日志中的 `description` 值会映射到 `metadata.description`。
`DesktopDisplayName`	`principal.hostname`	原始日志中的 `DesktopDisplayName` 值会映射到 `principal.hostname`。
`EventType`	`metadata.product_event_type`	原始日志中的 `EventType` 值会映射到 `metadata.product_event_type`。
`ForwardedClientIpAddress`	`principal.nat_ip`	原始日志中的 `ForwardedClientIpAddress` 值会映射到 `principal.nat_ip`。
`GlobalEntitlementName`	`target.user.group_identifiers`	原始日志中的 `GlobalEntitlementName` 值会映射到 `target.user.group_identifiers`。
`host`	`principal.hostname`	原始日志中的 `host` 值会映射到 `principal.hostname`。
`MachineDnsName`	`principal.url`	原始日志中的 `MachineDnsName` 值会映射到 `principal.url`。
`MachineName`	`intermediary.hostname`	原始日志中的 `MachineName` 值会映射到 `intermediary.hostname`。
`Module`	`additional.fields`	原始日志中值为 `Module` 的键“Module”已添加到 `additional.fields` 数组中。
`pid`	`principal.process.pid`	原始日志中的 `pid` 值会映射到 `principal.process.pid`。
`PoolId`	`additional.fields`	系统会将原始日志中值为 `PoolId` 的键“PoolId”添加到 `additional.fields` 数组。
`program`	`principal.application`	原始日志中的 `program` 值会映射到 `principal.application`。
`SessionType`	`additional.fields`	原始日志中值为 `SessionType` 的键“SessionType”已添加到 `additional.fields` 数组中。
`Severity`	`security_result.severity`	原始日志中的 `Severity` 值会转换为大写，映射到通用严重程度，然后映射到 `security_result.severity`。
`timestamp`	`metadata.event_timestamp`	原始日志中的 `timestamp` 值会转换为适当的格式，然后映射到 `metadata.event_timestamp`。
`UserDisplayName`	`target.user.user_display_name`	原始日志中的 `UserDisplayName` 值会映射到 `target.user.user_display_name`。
`UserName`	`target.user.userid`	原始日志中的 `UserName` 值会映射到 `target.user.userid`。
`UserSID`	`target.user.windows_sid`	原始日志中的 `UserSID` 值会映射到 `target.user.windows_sid`。
`ViewApiMethodName`	`additional.fields`	将原始日志中值为 `ViewApiMethodName` 的键“ViewApiMethodName”添加到 `additional.fields` 数组。
`ViewApiServiceName`	`additional.fields`	系统会将原始日志中值为 `ViewApiServiceName` 的键“ViewApiServiceName”添加到 `additional.fields` 数组中。
	`extensions.auth.type`	如果 `EventType` 字段的值为“ADMIN_USERLOGGEDOUT”“AGENT_CONNECTED”“AGENT_DISCONNECTED”“AGENT_ENDED”“AGENT_PENDING”“AGENT_PENDING_EXPIRED”“AGENT_RECONNECTED”“BROKER_DESKTOP_REQUEST”“BROKER_LMV_REMOTE_POD_DESKTOP_LAUNCH”“BROKER_MACHINE_ALLOCATED”“BROKER_USER_AUTHFAILED_BAD_USER_PASSWORD”“BROKER_USER_LOCK_SSO”“BROKER_USERLOGGEDIN”“BROKER_USERLOGGEDOUT”“VLSI_USERLOGGEDIN”“VLSI_INSUFFICIENT_PERMISSION”“VLSI_USERLOGGEDIN_REST”“TIMING_PROFILER_TUNNEL_CONNECTION”“TIMING_PROFILER_GET_LAUNCH_ITEMS”“TIMING_PROFILER_USER_AUTHENTICATION”中的一个，则该值设置为“SSO”。
	`metadata.event_type`	该值由 `EventType` 字段确定。如果 `EventType` 是“ADMIN_USERLOGGEDOUT”“AGENT_DISCONNECTED”“AGENT_ENDED”“AGENT_PENDING_EXPIRED”“BROKER_USER_LOCK_SSO”“BROKER_USERLOGGEDOUT”之一，则 `metadata.event_type` 为“USER_LOGOUT”。如果 `EventType` 是“AGENT_CONNECTED”“AGENT_PENDING”“AGENT_RECONNECTED”“BROKER_USERLOGGEDIN”“VLSI_USERLOGGEDIN”“VLSI_INSUFFICIENT_PERMISSION”“VLSI_USERLOGGEDIN_REST”之一，则 `metadata.event_type` 为“USER_LOGIN”。如果 `EventType` 为“TIMING_PROFILER_GET_LAUNCH_ITEMS”，则 `metadata.event_type` 为“STATUS_UNCATEGORIZED”。如果 `EventType` 为“AGENT_SHUTDOWN”，则 `metadata.event_type` 为“STATUS_SHUTDOWN”。如果 `EventType` 是“AGENT_STARTUP”或“BROKER_LMV_REMOTE_POD_DESKTOP_LAUNCH”之一，则 `metadata.event_type` 为“STATUS_STARTUP”。否则，`metadata.event_type` 为“GENERIC_EVENT”。
	`metadata.log_type`	该值设置为“VMWARE_HORIZON”。
	`metadata.product_name`	该值设置为“HORIZON”。
	`metadata.vendor_name`	该值设置为“VMWARE”。
`SecurityID`	`event.idm.read_only_udm.principal.user.windows_sid`	从变更日志映射
`AccountName`	`event.idm.read_only_udm.principal.user.userid`	从变更日志映射
`AccountDomain`	`event.idm.read_only_udm.principal.administrative_domain`	从变更日志映射
`ObjectServer`	`event.idm.read_only_udm.target.application`	从变更日志映射
`ObjectName`	`event.idm.read_only_udm.target.user.windows_sid`	从变更日志映射
`HandleID`	`event.idm.read_only_udm.target.resource.product_object_id`	从变更日志映射
`ProcessID`	`event.idm.read_only_udm.principal.process.pid`	从变更日志映射
`ProcessName`	`event.idm.read_only_udm.principal.process.file.full_path`	从变更日志映射
`LogonID`	`event.idm.read_only_udm.principal.user.attribute.labels`	从变更日志映射
`ObjectType`	`event.idm.read_only_udm.target.resource.attribute.labels`	从变更日志映射
`AccessMask`	`event.idm.read_only_udm.security_result.detection_fields`	从变更日志映射
`TransactionID`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`PrivilegesUsedforAccessCheck`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`Accesses`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`AccessReasons`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`Properties`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`RestrictedSIDCount`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`usr`	`target.user.userid`	从变更日志映射
`MachineId`	`principal.asset.asset_id`	从变更日志映射
`int_host`	`intermediary.hostname`	从变更日志映射
`ip_1`	`principal.ip`	从变更日志映射
`port_number`	`principal.port`	从变更日志映射

更新日志

查看相应解析器的更改日志