Mengumpulkan log MobileIron
Dokumen ini menjelaskan cara menyerap log MobileIron ke Google Security Operations menggunakan agen Bindplane. Parser mengubah log berformat JSON menjadi model data terpadu (UDM). Proses ini mengekstrak kolom dari JSON mentah, memetakannya ke atribut UDM yang sesuai, dan memperkaya data dengan detail khusus platform dan konteks peristiwa keamanan.
Sebelum memulai
- Pastikan Anda memiliki instance Google SecOps.
- Pastikan Anda menggunakan Windows 2016 atau yang lebih baru, atau host Linux dengan
systemd
. - Jika berjalan di belakang proxy, pastikan port firewall terbuka.
- Pastikan Anda memiliki akses istimewa ke MobileIron.
Mendapatkan file autentikasi penyerapan Google SecOps
- Login ke konsol Google SecOps.
- Buka Setelan SIEM > Agen Pengumpulan.
- Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.
Mendapatkan ID pelanggan Google SecOps
- Login ke konsol Google SecOps.
- Buka Setelan SIEM > Profil.
- Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.
Menginstal agen Bindplane
Penginstalan Windows
- Buka Command Prompt atau PowerShell sebagai administrator.
Jalankan perintah berikut:
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
Penginstalan Linux
- Buka terminal dengan hak istimewa root atau sudo.
Jalankan perintah berikut:
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
Referensi penginstalan tambahan
- Untuk opsi penginstalan tambahan, lihat panduan penginstalan ini.
Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps
Akses file konfigurasi:
- Cari file
config.yaml
. Biasanya, file ini berada di direktori/etc/bindplane-agent/
di Linux atau di direktori penginstalan di Windows. - Buka file menggunakan editor teks (misalnya,
nano
,vi
, atau Notepad).
- Cari file
Edit file
config.yaml
sebagai berikut:receivers: udplog: # Replace the port and IP address as required listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the path to the credentials file you downloaded in Step 1 creds: '/path/to/ingestion-authentication-file.json' # Replace with your actual customer ID from Step 2 customer_id: <customer_id> endpoint: malachiteingestion-pa.googleapis.com # Add optional ingestion labels for better organization ingestion_labels: log_type: MOBILEIRON raw_log_field: body service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels
Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
Ganti
<customer_id>
dengan ID pelanggan yang sebenarnya.Perbarui
/path/to/ingestion-authentication-file.json
ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.
Mulai ulang agen Bindplane untuk menerapkan perubahan
Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:
sudo systemctl restart bindplane-agent
Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:
net stop BindPlaneAgent && net start BindPlaneAgent
Mengonfigurasi Server Syslog di MobileIron
- Login ke Pengelola Sistem.
- Buka Setelan > Ekspor Data > Server SysLog.
- Klik Tambahkan.
- Jendela Tambahkan SysLog akan terbuka.
- Berikan detail konfigurasi berikut:
- Server: masukkan alamat IP dan port Bindplane.
- Protocol: pilih UDP (Anda juga dapat memilih TCP atau TLS over TCP, bergantung pada konfigurasi Bindplane Anda).
- Opsional: Sertifikat Server Tepercaya: kolom ini hanya ditampilkan jika Anda memilih TLS over TCP di Protocol.
- Status Admin: Pilih Aktifkan.
- Tingkat keparahan (facility.level): Masukkan
*.info
untuk semua pesan dengan tingkat keparahan info atau yang lebih tinggi.
- Klik Terapkan > OK untuk menyimpan perubahan.
Tabel Pemetaan UDM
Kolom Log | Pemetaan UDM | Logika |
---|---|---|
complianceViolationTypeToReason.BLACKLIST_APPS | security_result.description | Nilai dari kolom complianceViolationTypeToReason.BLACKLIST_APPS , diberi awalan dengan Compliance Violation Type To Reason BLACKLIST APPS - . |
complianceViolationTypeToReason.PC | security_result.description | Nilai dari kolom complianceViolationTypeToReason.PC , diberi awalan dengan Compliance Violation Type To Reason PC - . |
complianceViolationTypeToReason.SA | security_result.description | Nilai dari kolom complianceViolationTypeToReason.SA , diberi awalan dengan Compliance Violation Type To Reason SA - . |
displayName | principal.user.user_display_name | Dipetakan langsung dari displayName . |
emailAddress | principal.user.email_addresses | Dipetakan langsung dari emailAddress . |
firstName | principal.user.first_name | Dipetakan langsung dari firstName . |
id | principal.asset.product_object_id | Dipetakan langsung dari id . |
lastName | principal.user.last_name | Dipetakan langsung dari lastName . |
platformType | principal.asset.platform_software.platform | Dipetakan dari platformType dengan logika berikut:- Jika platformType cocok dengan Windows (tidak peka huruf besar/kecil), tetapkan ke WINDOWS .- Jika platformType cocok dengan MAC , OS X , atau IOS (tidak peka huruf besar/kecil), tetapkan ke MAC .- Jika platformType cocok dengan Linux (tidak peka huruf besar/kecil), tetapkan ke LINUX .- Jika tidak, tetapkan ke UNKNOWN_PLATFORM . |
platformType | principal.asset.platform_software.platform_version | Penggabungan platformType dan platformVersion dengan pemisah - . |
platformVersion | principal.asset.platform_software.platform_version | Penggabungan platformType dan platformVersion dengan pemisah - . |
policyViolatedAt | metadata.event_timestamp | Dikonversi menjadi stempel waktu dari milidetik sejak epoch. |
policyViolatedAt | security_result.about.labels.value | Dipetakan langsung dari policyViolatedAt setelah dikonversi menjadi string. |
policyViolatedID | security_result.rule_id | Dipetakan langsung dari policyViolatedID . |
prettyModel | principal.asset.hardware.model | Dipetakan langsung dari prettyModel . |
T/A | metadata.event_type | Hardcode ke USER_UNCATEGORIZED . |
T/A | metadata.log_type | Hardcode ke MOBILEIRON . |
T/A | metadata.product_name | Hardcode ke MOBILEIRON . |
T/A | metadata.vendor_name | Hardcode ke MOBILEIRON . |
T/A | principal.asset.type | Hardcode ke MOBILE . |
T/A | security_result.about.labels.key | Hardcode ke Policy Violated At . |
T/A | security_result.category | Hardcode ke POLICY_VIOLATION . |
Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.