ANSIBLE_AWX

Questo documento spiega come importare i log di Ansible AWX in Google Security Operations utilizzando Bindplane. Il parser estrae i campi dai log Ansible AWX in formato JSON. Utilizza l'analisi JSON per estrarre i campi di log e poi mappa questi valori al Unified Data Model (UDM). Imposta anche i valori predefiniti dei metadati per l'origine e il tipo di evento.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps.
• Un host Windows 2016 o versioni successive oppure Linux con systemd.
• Se l'agente viene eseguito tramite un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
• Accesso privilegiato alla console di gestione o all'appliance Ansible AWX con autorizzazioni di amministratore.

Recuperare il file di autenticazione importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:
   • Individua il file config.yaml. In genere, si trova nella directory /opt/observiq-otel-collector/ su Linux o nella directory C:Program FilesobservIQ OpenTelemetry Collector su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
   udplog:
       # Using high port to avoid requiring root privileges
       listen_address: "0.0.0.0:514"
   
   exporters:
   chronicle/awx:
       endpoint: malachiteingestion-pa.googleapis.com
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: YOUR_CUSTOMER_ID
       log_type: 'ANSIBLE_AWX'
       raw_log_field: body
   
   service:
   pipelines:
       logs/awx:
       receivers:
           - udplog
       exporters:
           - chronicle/awx
   

   • Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
   • Sostituisci YOUR_CUSTOMER_ID con l'ID cliente effettivo.
   • Aggiorna /path/to/ingestion-authentication-file.json al percorso in cui è stato salvato il file di autenticazione nel passaggio 1.

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente BindPlane in Linux, esegui questo comando:

  sudo systemctl restart observiq-otel-collector
  

• Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

  sc stop observiq-otel-collector && sc start observiq-otel-collector
  

Configura la registrazione esterna su Ansible AWX

1. Accedi alla console di gestione Ansible AWX.
2. Vai a Impostazioni dalla barra di navigazione.
3. Seleziona Impostazioni di registrazione dalle opzioni Sistema.
4. Fornisci i seguenti dettagli di configurazione:
   • Aggregatore di logging: inserisci l'indirizzo IP dell'agente Bindplane.
   • Logging Aggregator Port (Porta dell'aggregatore di logging): inserisci il numero di porta dell'agente Bindplane (ad esempio, 514).
   • Tipo di aggregatore di log: seleziona Altro dall'elenco.
   • Logging Aggregator Username (Nome utente dell'aggregatore di logging): lascia vuoto (non necessario per syslog).
   • Logging Aggregator Password/Token (Password/token dell'aggregatore di log): lascia vuoto (non necessario per syslog).
   • Protocollo di aggregazione dei log: seleziona UDP (opzione consigliata per syslog).
   • Soglia del livello di aggregatore di logging: seleziona Info o il livello di log che preferisci.
   • Attiva logging esterno: fai clic sul pulsante di attivazione/disattivazione ON.
   • Registratori da cui inviare i dati all'aggregatore di log: seleziona i tipi di log pertinenti:
     • awx: Log del server generici
     • activity_stream: Record delle modifiche agli oggetti AWX
     • job_events: dati del modulo di callback Ansible
     • system_tracking: Dati di configurazione e fatti del sistema
   • Registra singolarmente i dati di monitoraggio del sistema: disattiva l'opzione (impostazione predefinita).
5. Fai clic su Salva per applicare le impostazioni.
6. (Facoltativo) Fai clic su Test per verificare la connessione all'agente Bindplane.

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.