Mengumpulkan log Nix Systems Ubuntu Server (Sistem Unix)

Dokumen ini menjelaskan cara menyerap log Ubuntu Server (Sistem Unix) ke Google Security Operations menggunakan BindPlane. Parser menyerap log berformat syslog dan JSON, menginisialisasi berbagai kolom Model Data Terpadu (UDM) ke string kosong, melakukan beberapa penggantian string pada kolom message, lalu mencoba mengurai pesan sebagai JSON. Jika penguraian JSON gagal, maka akan menggunakan pola grok untuk mengekstrak kolom berdasarkan konten message dan event_details.original, memetakan kolom yang diekstrak ke UDM berdasarkan jenis peristiwa dan berbagai pemeriksaan bersyarat, menangani berbagai format dan struktur log dari berbagai proses dan layanan sistem Unix.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Jika dijalankan di belakang proxy, port firewall terbuka
• Akses istimewa ke server RHEL

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c `$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)` install_unix.sh
   

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan.

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

1. Akses file konfigurasi:
   • Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux.
   • Buka file menggunakan editor teks (misalnya, nano atau vi).

2. Edit file config.yaml sebagai berikut:

   receivers:
     filelog/unix:
       include:
         - /var/log/auth.log
         - /var/log/lastlog
         - /var/log/btmp
         - /var/log/wtmp
         - /var/log/faillog
         - /var/log/dpkg.log
         - /var/log/boot.log
         - /var/log/kern.log
         - /var/log/syslog
       start_at: end
       poll_interval: 5s
   
   exporters:
       chronicle/linux:
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'NIX_SYSTEM'
           override_log_type: false
           raw_log_field: body
   
   service:
     pipelines:
       logs/linux:
         receivers:
         - filelog/linux
     exporters: [chronicle/linux]
   

3. Ganti <customer_id> dengan ID pelanggan yang sebenarnya.

4. Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.

Mulai agen Bindplane dan terapkan perubahan

1. Mulai agen Bindplane:

   sudo systemctl start bindplane-agent
   

2. Aktifkan Layanan pengumpul otel observIQ:

   systemctl enable --now bindplane-agent
   

3. Mulai ulang agen Bindplane jika diperlukan:

   sudo systemctl restart bindplane-agent
   

Tabel pemetaan UDM

event.idm.read_only_udm.metadata.event_type: Awalnya disetel ke GENERIC_EVENT, lalu diganti berdasarkan logika parser. event.idm.read_only_udm.metadata.product_name: Di-hardcode ke Unix System. event.idm.read_only_udm.extensions.auth.type: Tetapkan ke MACHINE untuk jenis peristiwa tertentu. event.idm.read_only_udm.target.asset.attribute.cloud.environment: Setel ke GOOGLE_CLOUD_PLATFORM untuk Google Cloud log audit. event.idm.read_only_udm.target.resource.resource_type: Setel ke VIRTUAL_MACHINE untuk Google Cloud log audit. event.idm.read_only_udm.extensions.auth.mechanism: Tetapkan ke USERNAME_PASSWORD untuk peristiwa login. has_target_resource: Ditetapkan ke true jika resource.labels.instance_id atau _Internal_WorkspaceResourceId ada.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.