HPE iLO-Protokolle erfassen

In diesem Dokument wird beschrieben, wie Sie HPE iLO-Logs (Hewlett Packard Enterprise Integrated Lights-Out) mit Bindplane in Google Security Operations aufnehmen. Der Parsercode versucht zuerst, die Roh-Lognachricht als JSON zu parsen. Andernfalls werden mithilfe von regulären Ausdrücken (grok-Mustern) Felder aus der Nachricht basierend auf gängigen HP iLO-Protokollformaten extrahiert.

Hinweise

Folgende Voraussetzungen müssen erfüllt sein:

• Google SecOps-Instanz
• Windows 2016 oder höher oder Linux-Host mit systemd
• Wenn die Ausführung hinter einem Proxy erfolgt, sind die Firewallports geöffnet.
• Privilegierter Zugriff auf HPE iLO

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

1. Melden Sie sich in der Google SecOps Console an.
2. Gehen Sie zu SIEM-Einstellungen > Erfassungsagenten.
3. Lade die Datei zur Authentifizierung der Datenaufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps Console an.
2. Gehen Sie zu SIEM-Einstellungen > Profil.
3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder die PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Weitere Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden.

Bindplane-Agent so konfigurieren, dass er Syslog-Daten aufnimmt und an Google SecOps sendet

1. Rufen Sie die Konfigurationsdatei auf:

   • Suchen Sie die Datei config.yaml. Normalerweise befindet es sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
   • Öffnen Sie die Datei mit einem Texteditor, z. B. nano, vi oder Notepad.

2. Bearbeiten Sie die Datei config.yamlso:

           receivers:
               udplog:
                   # Replace the port and IP address as required
                   listen_address: "0.0.0.0:514"
   
           exporters:
               chronicle/chronicle_w_labels:
                   compression: gzip
                   # Adjust the path to the credentials file you downloaded in Step 1
                   creds: '/path/to/ingestion-authentication-file.json'
                   # Replace with your actual customer ID from Step 2
                   customer_id: <customer_id>
                   endpoint: malachiteingestion-pa.googleapis.com
                   # Add optional ingestion labels for better organization
                   ingestion_labels:
                       log_type: HPE_ILO
                       raw_log_field: body
   
           service:
               pipelines:
                   logs/source0__chronicle_w_labels-0:
                       receivers:
                           - udplog
                       exporters:
                           - chronicle/chronicle_w_labels
   

3. Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.

4. Ersetzen Sie <customer_id> durch die tatsächliche Kundennummer.

5. Aktualisieren Sie /path/to/ingestion-authentication-file.json im Abschnitt Authentifizierungsdatei für die Datenaufnahme von Google SecOps abrufen auf den Pfad, unter dem die Authentifizierungsdatei gespeichert wurde.

Starten Sie den Bindplane-Agent neu, um die Änderungen anzuwenden

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

  sudo systemctl restart bindplane-agent
  

• Sie können den Bindplane-Agenten unter Windows entweder über die Dienste-Konsole oder mit dem folgenden Befehl neu starten:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Syslog in HP iLO konfigurieren

1. Melden Sie sich in der HPE iLO-Web-Benutzeroberfläche an.
2. Rufen Sie den Tab Verwaltung > Remote Syslog auf.
3. Klicken Sie auf Enable (Aktivieren), um iLO Remote Syslog zu aktivieren.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Remote Syslog Port: Geben Sie die Bindplane-Portnummer ein (z. B. 514).
   • Remote Syslog Server: Geben Sie die Bindplane-IP-Adresse ein.
5. Klicken Sie auf Test-Syslog senden und prüfen Sie, ob es in Google SecOps eingegangen ist.
6. Klicken Sie auf Übernehmen.

UDM-Zuordnungstabelle

Änderungen

2023-11-27

Fehlerkorrektur:

• Setzen Sie metadata.event_type auf USER_LOGIN, wenn die Protokolle vom Typ Browser Login sind.
• Setzen Sie metadata_event_type auf STATUS_UPDATE, wenn principal.hostname vorhanden ist.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten