收集 RSA Authentication Manager 記錄

本文說明如何使用 Google Security Operations 轉送器收集 RSA Authentication Manager 記錄。

詳情請參閱「將資料擷取至 Google Security Operations」。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文件中的資訊適用於具有 RSA_AUTH_MANAGER 攝取標籤的剖析器。

設定 RSA Authentication Manager

1. 使用管理員憑證登入 RSA Authentication Manager Security 控制台。
2. 在「設定」選單中，按一下「系統設定」。
3. 在「系統設定」視窗的「基本設定」部分，選取「記錄」。
4. 在「選取執行個體」部分，選取環境中設定的「主要」執行個體類型，然後按一下「下一步」繼續。
5. 在「設定」部分，為顯示的下列區段設定記錄：
   • 記錄等級
   • 記錄資料目的地
   • 記錄檔資料遮蓋
6. 在「記錄層級」部分，設定下列記錄：
   • 將「追蹤記錄」設為「嚴重」。
   • 將「管理員稽核記錄」設為「成功」。
   • 將「Runtime audit log」(執行階段稽核記錄) 設為「Success」(成功)。
   • 將「系統記錄」設為「警告」。

7. 在「記錄檔資料目的地」部分，針對下列記錄檔層級資料，選取「Save to internal database and remote syslog for the following hostname or IP address」(將下列主機名稱或 IP 位址的資料儲存至內部資料庫和遠端系統記錄)，然後輸入 Google Security Operations 的 IP 位址：

   • 管理稽核記錄資料
   • 執行階段稽核記錄資料
   • 系統記錄資料

   系統記錄訊息會透過編號較高的 UDP 通訊埠傳輸。

8. 在「記錄資料遮蓋」部分，於「遮蓋權杖序號：要顯示的權杖序號位數」欄位中，輸入最大值，該值等於可用權杖中顯示的位數，例如 12。

   詳情請參閱「記錄資料遮蓋」。

9. 按一下 [儲存]。

設定 Google Security Operations 轉送器和系統記錄，擷取 RSA Authentication Manager 記錄

1. 依序選取「SIEM 設定」>「轉送器」。
2. 按一下「新增轉寄者」。
3. 在「轉寄者名稱」欄位中，輸入轉寄者的專屬名稱。
4. 依序點選「提交」和「確認」。轉送器新增完成後，系統會顯示「新增收集器設定」視窗。
5. 在「Collector name」(收集器名稱) 欄位中，輸入收集器的專屬名稱。
6. 選取「RSA」做為「記錄類型」。
7. 選取「Syslog」做為「收集器類型」。
8. 設定下列必要輸入參數：
   • 通訊協定：指定收集器用來監聽系統記錄資料的連線通訊協定。
   • 地址：指定收集器所在位置的目標 IP 位址或主機名稱，並監聽系統記錄資料。
   • 通訊埠：指定收集器所在位置的目標通訊埠，並監聽系統記錄檔資料。
9. 按一下「提交」。

如要進一步瞭解 Google Security Operations 轉送器，請參閱 Google Security Operations 轉送器說明文件。如要瞭解各轉送器類型的相關規定，請參閱「依類型設定轉送器」。如果在建立轉寄者時遇到問題，請與 Google Security Operations 支援團隊聯絡。

欄位對應參考資料

這個剖析器會從 RSA Authentication Manager CSV 記錄中擷取欄位，並處理記錄格式的變化。這個外掛程式會先使用 grok 剖析記錄行，然後運用 CSV 篩選功能擷取個別欄位，並將這些欄位對應至標準化名稱 (例如 username、clientip 和 operation_status)，確保與 UDM 相容。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。