ANSIBLE_AWX

本文档介绍了如何使用 Bindplane 将 Ansible AWX 日志注入到 Google Security Operations。解析器从 JSON 格式的 Ansible AWX 日志中提取字段。 它使用 JSON 解析来提取日志字段，然后将这些值映射到统一数据模型 (UDM)。它还会为事件源和类型设置默认元数据值。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例。
• Windows 2016 或更高版本，或者具有 systemd 的 Linux 主机。
• 如果通过代理运行，请确保防火墙端口已根据 Bindplane 代理要求打开。
• 以管理员权限对 Ansible AWX 管理控制台或设备进行特权访问。

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载注入身份验证文件。将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 个人资料。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安装资源

如需了解其他安装选项，请参阅安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

1. 访问配置文件：
   • 找到 config.yaml 文件。通常，它位于 Linux 上的 /opt/observiq-otel-collector/ 目录或 Windows 上的 C:Program FilesobservIQ OpenTelemetry Collector 目录中。
   • 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

2. 按如下方式修改 config.yaml 文件：

   receivers:
   udplog:
       # Using high port to avoid requiring root privileges
       listen_address: "0.0.0.0:514"
   
   exporters:
   chronicle/awx:
       endpoint: malachiteingestion-pa.googleapis.com
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: YOUR_CUSTOMER_ID
       log_type: 'ANSIBLE_AWX'
       raw_log_field: body
   
   service:
   pipelines:
       logs/awx:
       receivers:
           - udplog
       exporters:
           - chronicle/awx
   

   • 根据基础架构的需要替换端口和 IP 地址。
   • 将 YOUR_CUSTOMER_ID 替换为实际的客户 ID。
   • 将 /path/to/ingestion-authentication-file.json 更新为在第 1 步中保存身份验证文件的路径。

重启 Bindplane 代理以应用更改

• 如需在 Linux 中重启 BindPlane 代理，请运行以下命令：

  sudo systemctl restart observiq-otel-collector
  

• 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

  sc stop observiq-otel-collector && sc start observiq-otel-collector
  

在 Ansible AWX 上配置外部日志记录

1. 登录 Ansible AWX 管理控制台。
2. 从导航栏中前往设置。
3. 从系统选项中选择日志记录设置。
4. 提供以下配置详细信息：
   • 日志汇总器：输入 Bindplane 代理 IP 地址。
   • 日志聚合器端口：输入 Bindplane 代理端口号（例如 514）。
   • 日志记录聚合器类型：从列表中选择其他。
   • Logging Aggregator Username：留空（syslog 不需要此字段）。
   • 日志聚合器密码/令牌：留空（syslog 不需要）。
   • 日志记录聚合器协议：选择 UDP（建议用于 syslog）。
   • 日志记录聚合器级别阈值：选择 Info 或您偏好的日志级别。
   • 启用外部日志记录：将切换开关点按为开启。
   • 要将数据发送到日志聚合器的记录器：选择相关日志类型：
     • awx：常规服务器日志
     • activity_stream：AWX 对象更改记录
     • job_events：Ansible 回调模块数据
     • system_tracking：系统事实和配置数据
   • 单独记录系统跟踪事实：切换为关闭（默认）。
5. 点击保存以应用设置。
6. 可选：点击测试以验证与 Bindplane 代理的连接。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。