Mengumpulkan log Apache Cassandra

Didukung di:

Dokumen ini menjelaskan cara menyerap log Apache Cassandra ke Google Security Operations menggunakan Bindplane. Parser mengekstrak kolom, lalu mengonversinya menjadi Model Data Terpadu (UDM). Proses ini menggunakan pola grok untuk mengurai pesan awal, lalu menggunakan filter JSON untuk data bertingkat dan melakukan transformasi bersyarat untuk memetakan berbagai kolom ke padanannya di UDM, menangani berbagai tingkat log, dan memperkaya output dengan metadata.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Windows 2016 atau yang lebih baru atau host Linux dengan systemd
  • Jika dijalankan di belakang proxy, port firewall terbuka
  • Akses istimewa ke instance Apache Cassandra

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i `https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi` /quiet

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c `$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)` install_unix.sh

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan.

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

  1. Akses file konfigurasi:
    • Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
    • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

  2. Edit file config.yaml sebagai berikut:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: `0.0.0.0:514`

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'CASSANDRA'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.

  4. Ganti <customer_id> dengan ID pelanggan yang sebenarnya.

  5. Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart bindplane-agent

  • Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

    net stop BindPlaneAgent && net start BindPlaneAgent

Mengonfigurasi ekspor Syslog di Apache Cassandra

  1. Login ke host Apache Cassandra menggunakan SSH.
  2. Buka file konfigurasi logback.xml dan masukkan kode berikut di Baris 28:
    • Untuk sebagian besar versi Apache Cassandra, lokasinya adalah $(CASSANDRA_HOME)/conf.
    • Penginstalan paket Datastax Enterprise, lokasinya adalah /etc/dse.
    • Penginstalan file Tar DSE, lokasinya adalah $(TARBALL_ROOT)/resources/cassandra/conf.

  3. Tambahkan definisi Appender berikut ke file logback.xml di Baris 28:

    <appender name="SYSLOG" class="ch.qos.logback.classic.net.SyslogAppender">
    <syslogHost>bindplane-ip</syslogHost>
    <port>bindplane-port</port>
    <facility>LOCAL7</facility>
    <throwableExcluded>true</throwableExcluded>
    <suffixPattern>%thread:%level:%logger{36}:%msg</suffixPattern>
</appender>

  4. Ganti bindplane-ip dan bindplane-port dengan alamat IP dan port agen Bindplane yang sebenarnya.

  5. Tambahkan kode berikut ke blok logger root <root level=INFO> dalam file logback.xml:

    1. Lokasi tempat baris ini disisipkan bergantung pada versi Apache Cassandra Anda:

      • Apache Cassandra 5.0.x, Baris 123.
      • Apache Cassandra 4.0.x dan 4.1.x, Baris 115.
      • Apache Cassandra 3.11.x dan 3.0.x, Baris 92.
      • Datastax Enterprise (Semua versi), Baris 121.
      <appender-ref ref=`SYSLOG` />

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
agent.ephemeral_id observer.labels.value Nilai agent.ephemeral_id dari pesan JSON dalam.
agent.hostname observer.hostname Nilai agent.hostname dari pesan JSON dalam.
agent.id observer.asset_id Penggabungan filebeat: dan nilai agent.id dari pesan JSON dalam.
agent.name observer.user.userid Nilai agent.name dari pesan JSON dalam.
agent.type observer.application Nilai agent.type dari pesan JSON dalam.
agent.version observer.platform_version Nilai agent.version dari pesan JSON dalam.
cloud.availability_zone principal.cloud.availability_zone Nilai cloud.availability_zone dari pesan JSON dalam.
cloud.instance.id principal.resource.product_object_id Nilai cloud.instance.id dari pesan JSON dalam.
cloud.instance.name principal.resource.name Nilai cloud.instance.name dari pesan JSON dalam.
cloud.machine.type principal.resource.attribute.labels.value Nilai cloud.machine.type dari pesan JSON dalam, dengan key yang sesuai adalah machine_type.
cloud.provider principal.resource.attribute.labels.value Nilai cloud.provider dari pesan JSON dalam, dengan key yang sesuai adalah provider.
event_metadata._id metadata.product_log_id Nilai event_metadata._id dari pesan JSON dalam.
event_metadata.version metadata.product_version Nilai event_metadata.version dari pesan JSON dalam.
host.architecture target.asset.hardware.cpu_platform Nilai host.architecture dari pesan JSON dalam.
host.fqdn target.administrative_domain Nilai host.fqdn dari pesan JSON dalam.
host.hostname target.hostname Nilai host.hostname dari pesan JSON dalam.
host.id target.asset.asset_id Penggabungan Host Id: dan nilai host.id dari pesan JSON dalam.
host.ip target.asset.ip Array alamat IP dari host.ip dalam pesan JSON dalam.
host.mac target.mac Array alamat MAC dari host.mac dalam pesan JSON dalam.
host.os.kernel target.platform_patch_level Nilai host.os.kernel dari pesan JSON dalam.
host.os.platform target.platform Tetapkan ke LINUX jika host.os.platform adalah debian.
host.os.version target.platform_version Nilai host.os.version dari pesan JSON dalam.
hostname principal.hostname Nilai hostname yang diekstrak dari kolom message menggunakan grok.
key security_result.detection_fields.value Nilai key diekstrak dari kolom message menggunakan grok, dengan key yang sesuai adalah key.
log.file.path principal.process.file.full_path Nilai log.file.path dari pesan JSON dalam.
log_level security_result.severity Dipetakan berdasarkan nilai log_level: DEBUG, INFO, AUDIT dipetakan ke INFORMATIONAL; ERROR dipetakan ke ERROR; WARNING dipetakan ke MEDIUM.
log_level security_result.severity_details Nilai log_level yang diekstrak dari kolom message menggunakan grok.
log_type metadata.log_type Nilai log_type dari log mentah.
message security_result.description Deskripsi diekstrak dari kolom message menggunakan grok.
message target.process.command_line Command line diekstrak dari kolom message menggunakan grok.
now security_result.detection_fields.value Nilai now diekstrak dari kolom message menggunakan grok, dengan key yang sesuai adalah now. Diuraikan dari kolom event_time yang diekstrak dari kolom message menggunakan grok. Disetel ke USER_RESOURCE_ACCESS jika hostname dan host.hostname ada, atau disetel ke GENERIC_EVENT. Tetapkan ke CASSANDRA. Tetapkan ke CASSANDRA. Tetapkan ke ephemeral_id. Tetapkan ke VIRTUAL_MACHINE jika cloud.instance.name ada. Disetel ke key dan now untuk kolom deteksi yang sesuai.
timestamp timestamp Dari kolom create_time log mentah.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.