Mengumpulkan log MobileIron

Didukung di:

Dokumen ini menjelaskan cara menyerap log MobileIron ke Google Security Operations menggunakan agen Bindplane. Parser mengubah log berformat JSON menjadi model data terpadu (UDM). Proses ini mengekstrak kolom dari JSON mentah, memetakannya ke atribut UDM yang sesuai, dan memperkaya data dengan detail khusus platform dan konteks peristiwa keamanan.

Sebelum memulai

  • Pastikan Anda memiliki instance Google SecOps.
  • Pastikan Anda menggunakan Windows 2016 atau yang lebih baru, atau host Linux dengan systemd.
  • Jika berjalan di belakang proxy, pastikan port firewall terbuka.
  • Pastikan Anda memiliki akses istimewa ke MobileIron.

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.
  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
    

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.
  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
    

Referensi penginstalan tambahan

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

  1. Akses file konfigurasi:

    1. Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
    2. Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).
  2. Edit file config.yaml sebagai berikut:

    receivers:
        udplog:
            # Replace the port and IP address as required
            listen_address: "0.0.0.0:514"
    
    exporters:
        chronicle/chronicle_w_labels:
            compression: gzip
            # Adjust the path to the credentials file you downloaded in Step 1
            creds: '/path/to/ingestion-authentication-file.json'
            # Replace with your actual customer ID from Step 2
            customer_id: <customer_id>
            endpoint: malachiteingestion-pa.googleapis.com
            # Add optional ingestion labels for better organization
            ingestion_labels:
                log_type: MOBILEIRON
                raw_log_field: body
    
    service:
        pipelines:
            logs/source0__chronicle_w_labels-0:
                receivers:
                    - udplog
                exporters:
                    - chronicle/chronicle_w_labels
    
  3. Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.

  4. Ganti <customer_id> dengan ID pelanggan yang sebenarnya.

  5. Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart bindplane-agent
    
  • Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

    net stop BindPlaneAgent && net start BindPlaneAgent
    

Mengonfigurasi Server Syslog di MobileIron

  1. Login ke Pengelola Sistem.
  2. Buka Setelan > Ekspor Data > Server SysLog.
  3. Klik Tambahkan.
  4. Jendela Tambahkan SysLog akan terbuka.
  5. Berikan detail konfigurasi berikut:
    • Server: masukkan alamat IP dan port Bindplane.
    • Protocol: pilih UDP (Anda juga dapat memilih TCP atau TLS over TCP, bergantung pada konfigurasi Bindplane Anda).
    • Opsional: Sertifikat Server Tepercaya: kolom ini hanya ditampilkan jika Anda memilih TLS over TCP di Protocol.
    • Status Admin: Pilih Aktifkan.
    • Tingkat keparahan (facility.level): Masukkan *.info untuk semua pesan dengan tingkat keparahan info atau yang lebih tinggi.
  6. Klik Terapkan > OK untuk menyimpan perubahan.

Tabel Pemetaan UDM

Kolom Log Pemetaan UDM Logika
complianceViolationTypeToReason.BLACKLIST_APPS security_result.description Nilai dari kolom complianceViolationTypeToReason.BLACKLIST_APPS, diberi awalan dengan Compliance Violation Type To Reason BLACKLIST APPS -.
complianceViolationTypeToReason.PC security_result.description Nilai dari kolom complianceViolationTypeToReason.PC, diberi awalan dengan Compliance Violation Type To Reason PC -.
complianceViolationTypeToReason.SA security_result.description Nilai dari kolom complianceViolationTypeToReason.SA, diberi awalan dengan Compliance Violation Type To Reason SA -.
displayName principal.user.user_display_name Dipetakan langsung dari displayName.
emailAddress principal.user.email_addresses Dipetakan langsung dari emailAddress.
firstName principal.user.first_name Dipetakan langsung dari firstName.
id principal.asset.product_object_id Dipetakan langsung dari id.
lastName principal.user.last_name Dipetakan langsung dari lastName.
platformType principal.asset.platform_software.platform Dipetakan dari platformType dengan logika berikut:
- Jika platformType cocok dengan Windows (tidak peka huruf besar/kecil), tetapkan ke WINDOWS.
- Jika platformType cocok dengan MAC, OS X, atau IOS (tidak peka huruf besar/kecil), tetapkan ke MAC.
- Jika platformType cocok dengan Linux (tidak peka huruf besar/kecil), tetapkan ke LINUX.
- Jika tidak, tetapkan ke UNKNOWN_PLATFORM.
platformType principal.asset.platform_software.platform_version Penggabungan platformType dan platformVersion dengan pemisah -.
platformVersion principal.asset.platform_software.platform_version Penggabungan platformType dan platformVersion dengan pemisah -.
policyViolatedAt metadata.event_timestamp Dikonversi menjadi stempel waktu dari milidetik sejak epoch.
policyViolatedAt security_result.about.labels.value Dipetakan langsung dari policyViolatedAt setelah dikonversi menjadi string.
policyViolatedID security_result.rule_id Dipetakan langsung dari policyViolatedID.
prettyModel principal.asset.hardware.model Dipetakan langsung dari prettyModel.
T/A metadata.event_type Hardcode ke USER_UNCATEGORIZED.
T/A metadata.log_type Hardcode ke MOBILEIRON.
T/A metadata.product_name Hardcode ke MOBILEIRON.
T/A metadata.vendor_name Hardcode ke MOBILEIRON.
T/A principal.asset.type Hardcode ke MOBILE.
T/A security_result.about.labels.key Hardcode ke Policy Violated At.
T/A security_result.category Hardcode ke POLICY_VIOLATION.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.