Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

收集 Voltage 日志

支持：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 代理将 Voltage SecureMail 日志注入到 Google Security Operations。

Voltage SecureMail 是一个电子邮件加密平台，可针对电子邮件加密/解密事件、政策执行和管理操作生成 syslog 消息。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
Bindplane 代理与 Voltage SecureMail 服务器之间的网络连接
如果通过代理运行，请确保防火墙端口根据 Bindplane 代理要求处于开放状态
对 Voltage SecureMail 管理控制台的特权访问权限

获取 Bindplane 代理的 Google SecOps 凭证

如需向 Google SecOps 验证 Bindplane 代理的身份，请选择以下方法之一：

新部署：使用 Chronicle API（选项 1）。
旧版部署：继续使用提取身份验证文件（方法 2），直到提取 API 于 2027 年 7 月 20 日停用。

方法 1：为 Chronicle API 创建服务账号（推荐）

登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
前往 IAM 和管理 > 服务账号。
点击创建服务账号。
提供以下配置详细信息：
- 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
- 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
点击创建并继续。
在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
点击继续，然后点击完成。
点击您创建的服务账号，然后前往密钥标签页。
依次点击添加密钥 > 创建新密钥。
选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
将密钥文件另存为 Bindplane 收集器目录（在 Linux 上为 /opt/observiq-otel-collector/ingestion-auth.json，在 Windows 上为 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的 ingestion-auth.json，或更新 config.yaml 中的 creds_file_path 以与您保存密钥文件的路径相匹配。
前往 IAM 和管理 > 设置，然后复制项目编号。您在配置导出器时需要用到该名称。

方法 2：下载数据注入身份验证文件（旧版）

登录 Google SecOps 控制台。
前往 SIEM 设置> 收集代理。
下载数据注入身份验证文件。
将文件安全地保存在将安装 Bindplane 代理的系统上。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
前往 SIEM 设置 > 个人资料。
复制并保存组织详细信息部分中的客户 ID。

注意：配置 Bindplane 代理导出器时需要客户 ID。

安装 Bindplane 代理

根据以下说明，在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符或 PowerShell。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安装完成。
运行以下命令，验证安装是否成功：
```
sc query observiq-otel-collector
```
该服务应显示为正在运行。

Linux 安装

打开具有 root 或 sudo 权限的终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安装完成。
运行以下命令，验证安装是否成功：
```
sudo systemctl status observiq-otel-collector
```
该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

Linux：

sudo nano /opt/observiq-otel-collector/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

将 config.yaml 的全部内容替换为以下配置：

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/voltage:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: VOLTAGE
    raw_log_field: body

service:
  pipelines:
    logs/voltage_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/voltage

配置参数

替换以下占位符：

接收器配置：
- listen_address：要监听的 IP 地址和端口：
  - 0.0.0.0，以监听所有接口（推荐）
  - 端口 514 是标准 syslog 端口（在 Linux 上需要 root 权限；对于非 root 用户，请使用 1514）
导出器配置：
- creds_file_path：服务账号 JSON 密钥文件的完整路径（选项 1）：
  - Linux：/opt/observiq-otel-collector/ingestion-auth.json
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id：从 Google SecOps 控制台复制的客户 ID
- location：将 <LOCATION> 替换为 Google SecOps 实例所在的区域（例如 us、europe 或 asia-southeast1）。导出工具会在此值前面加上 chronicle.googleapis.com。如需查看完整列表，请参阅区域级端点。
- project：将 <PROJECT_NUMBER> 替换为“IAM 和管理”>“设置”中的项目编号。
- endpoint：保持设置为 chronicle.googleapis.com。

旧版提取 API 导出工具

如果您使用选项 2 中的数据注入身份验证文件，请将 exporters 代码块替换为以下内容。将 creds_file_path 设置为数据注入身份验证文件的路径，如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的区域端点（例如 europe-malachiteingestion-pa.googleapis.com）。
```
exporters:
  chronicle/voltage:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: VOLTAGE
    raw_log_field: body
```

保存配置文件

修改后，保存文件：
- Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
- Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

sudo systemctl restart observiq-otel-collector

验证服务是否正在运行：

sudo systemctl status observiq-otel-collector

检查日志中的错误：

sudo journalctl -u observiq-otel-collector -f

如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：
- 以管理员身份运行命令提示符或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服务控制台：
  1. 按 Win+R，输入 services.msc，然后按 Enter 键。
  2. 找到 observIQ OpenTelemetry 收集器。
  3. 右键点击，然后选择重新启动。
  4. 验证服务是否正在运行：
```
sc query observiq-otel-collector
```
  5. 检查日志中的错误：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

在 Voltage SecureMail 中配置 syslog

登录 Voltage SecureMail 管理控制台。
依次前往系统 > Syslog 设置。
提供以下配置详细信息：
- 服务器地址：输入 Bindplane 代理 IP 地址。
- 端口：输入 514。
- 协议：选择 UDP。
- Facility（设施）：选择适当的 syslog 设施。
- Log Level：选择所需的日志级别。
点击保存。

UDM 映射表

日志字段	UDM 映射	逻辑
`attemptedAuthMethods_label`	`additional.fields`	已合并
`authTokens_label`	`additional.fields`	已合并
`elapsedTimeMillis_label`	`additional.fields`	已合并
`isUserPassSet_label`	`additional.fields`	已合并
`keyId_label`	`additional.fields`	已合并
`leadingDigits_label`	`additional.fields`	已合并
`masked_label`	`additional.fields`	已合并
`merchantId_label`	`additional.fields`	已合并
`out_label`	`additional.fields`	已合并
`phaseBit_label`	`additional.fields`	已合并
`proxyType_label`	`additional.fields`	已合并
`rollover_label`	`additional.fields`	已合并
`trailingDigits_label`	`additional.fields`	已合并
`AuthenticationMethod`	`extensions.auth.mechanism`	已映射：`USER_PASSWORD` → `mechanism`
`mechanism`	`extensions.auth.mechanism`	已合并
`has_principal`	`extensions.auth.type`	已映射：`true` → `AUTHTYPE_UNSPECIFIED`
`proxyConnectionIp`	`intermediary.asset.ip`	已合并
`inter_hostname`	`intermediary.hostname`	直接映射
`proxyConnectionIp`	`intermediary.ip`	已合并
`description`	`metadata.description`	直接映射
`has_principal`	`metadata.event_type`	映射：`true` → `USER_LOGIN`、`true` → `NETWORK_CONNECTION`、`true` → `STATUS_UPDATE`
`has_user`	`metadata.event_type`	已映射：`true` → `USER_UNCATEGORIZED`
`prod_event_name`	`metadata.product_event_type`	直接映射
`event_id`	`metadata.product_log_id`	直接映射
`cef_product`	`metadata.product_name`	直接映射
`version`	`metadata.product_version`	直接映射
`request`	`network.http.referral_url`	直接映射
`length`	`network.received_bytes`	直接映射
`requestTimeMillis`	`network.session_duration.nanos`	直接映射
`timeMillis`	`network.session_duration.seconds`	直接映射
`sessionid`	`network.session_id`	直接映射
`cvProduct`	`observer.application`	直接映射
`cvapi_label`	`observer.labels`	已合并
`cvdevice_label`	`observer.labels`	已合并
`cvframework_label`	`observer.labels`	已合并
`cvos`	`observer.platform`	已映射：`Li` → `LINUX`，`Win` → `WINDOWS`
`requestClientApplication`	`principal.application`	直接映射
`src_hostname`	`principal.asset.hostname`	直接映射
`ip`	`principal.asset.ip`	已合并
`src_ip`	`principal.asset.ip`	已合并
`src_hostname`	`principal.hostname`	直接映射
`ip`	`principal.ip`	已合并
`src_ip`	`principal.ip`	已合并
`src_port`	`principal.port`	已重命名/映射
`identity`	`principal.user.email_addresses`	已映射：`(.)@(.)` → `identity`
`user`	`principal.user.userid`	直接映射
`username`	`principal.user.userid`	直接映射
`sec_action`	`security_result.action`	已合并
`msg`	`security_result.description`	直接映射
`CachedAuthentication_label`	`security_result.detection_fields`	已合并
`acceptBadData_label`	`security_result.detection_fields`	已合并
`algorithm_label`	`security_result.detection_fields`	已合并
`authMethodName_label`	`security_result.detection_fields`	已合并
`authTimeMillis_label`	`security_result.detection_fields`	已合并
`authType_label`	`security_result.detection_fields`	已合并
`format_label`	`security_result.detection_fields`	已合并
`fullIdentity_label`	`security_result.detection_fields`	已合并
`hsmEnabled_label`	`security_result.detection_fields`	已合并
`returnEncryptedKeyOption_label`	`security_result.detection_fields`	已合并
`returnFullIdentity_label`	`security_result.detection_fields`	已合并
`wrappedMode_label`	`security_result.detection_fields`	已合并
`severity`	`security_result.severity`	映射：`"0", "1", "2"` → `INFORMATIONAL`、`"3", "4"` → `LOW`、`"5", "6"` → `MEDIUM`、`“7”、…
`severity`	`security_result.severity_details`	直接映射
`district`	`target.administrative_domain`	直接映射
`shost`	`target.asset.hostname`	直接映射
`dst_ip`	`target.asset.ip`	已合并
`shost`	`target.hostname`	直接映射
`dst_ip`	`target.ip`	已合并
`cmd_line`	`target.process.command_line`	直接映射
`pid`	`target.process.pid`	直接映射
`path`	`target.resource.name`	直接映射
`tar_user`	`target.user.userid`	直接映射
不适用	`extensions.auth.type`	常量：`AUTHTYPE_UNSPECIFIED`
不适用	`metadata.event_type`	常量：`USER_LOGIN`
不适用	`metadata.product_name`	常量：`VOLTAGE`
不适用	`metadata.vendor_name`	常量：`VOLTAGE`
不适用	`observer.platform`	常量：`LINUX`
不适用	`security_result.severity`	常量：`INFORMATIONAL`
`district`	`event.idm.read_only_udm.target.administrative_domain`	从更新日志映射
`identity`	`event.idm.read_only_udm.principal.user.email_addresses`	从更新日志映射
`src`	`event.idm.read_only_udm.principal.ip`和`event.idm.read_only_udm.principal.asset.ip`之间	从更新日志映射
`username`	`event.idm.read_only_udm.principal.user.userid`	从更新日志映射
`shost`	`event.idm.read_only_udm.target.hostname`和`event.idm.read_only_udm.target.asset.hostname`之间	从更新日志映射
`requestClientApplication`	`event.idm.read_only_udm.principal.application`	从更新日志映射
`length`	`event.idm.read_only_udm.network.received_bytes`	从更新日志映射
`AuthenticationMethod`	`event.idm.read_only_udm.extensions.auth.mechanism`	从更新日志映射
`cvProduct`	`event.idm.read_only_udm.observer.application`	从更新日志映射
`cvapi`	`event.idm.read_only_udm.observer.labels`	从更新日志映射
`cvframework`	`event.idm.read_only_udm.observer.labels`	从更新日志映射
`cvdevice`	`event.idm.read_only_udm.observer.labels`	从更新日志映射
`cvos`	`event.idm.read_only_udm.observer.platform`	从更新日志映射
`msg`	`event.idm.read_only_udm.security_result.description`	从更新日志映射
`proxyConnectionIp`	`event.idm.read_only_udm.intermediary.ip`和`event.idm.read_only_udm.intermediary.asset.ip`之间	从更新日志映射
`:`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`,`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`and`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`cached`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射
`fullIdentity`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射
`algorithm`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射
`returnEncryptedKeyOption`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射
`authMethodName`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射
`authType`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射
`authTimeMillis`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射
`hsmEnabled`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射
`wrappedMode`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射
`format`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射
`returnFullIdentity`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射
`acceptBadData`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射
`CachedAuthentication`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射

更新日志

查看此解析器的更新日志