Diese Seite wurde von der Cloud Translation API übersetzt.

Veeam-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Veeam-Logs mit Bindplane in Google Security Operations aufnehmen. Der Parser extrahiert Felder aus den Syslog-Nachrichten mithilfe von Grok-Mustern, führt Datentransformationen wie das Ersetzen und Zusammenführen von Feldern durch und ordnet die extrahierten Daten dem einheitlichen Datenmodell (Unified Data Model, UDM) basierend auf dem Ereignistyp und den verfügbaren Feldern zu. Außerdem werden Fehlerbedingungen behandelt und entsprechende Schweregradebenen festgelegt.

Hinweise

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Google SecOps-Instanz
Windows 2016 oder höher oder ein Linux-Host mit systemd
Wenn die Ausführung hinter einem Proxy erfolgt, müssen die Firewallports geöffnet sein.
Privilegierter Zugriff auf Veeam

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie SIEM-Einstellungen > Collection Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > „Profil“ auf.
Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Fenstereinbau

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Rufen Sie die Konfigurationsdatei auf:
- Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
- Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

Bearbeiten Sie die Datei config.yamlso:

receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'VEEAM'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
Ersetzen Sie <customer_id> durch die tatsächliche Kunden-ID.
Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Google SecOps-Aufnahmeauthentifizierungsdatei abrufen gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:
```
sudo systemctl restart bindplane-agent
```
Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

Syslog für Veeam konfigurieren

Melden Sie sich in der Veeam Backup & Replication-Konsole an.
Klicken Sie auf das Menü > „Optionen“ > „SIEM-Integrationen“.
Klicken Sie im Abschnitt Syslog-Server auf Hinzufügen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name: Geben Sie die IP-Adresse und Portnummer des Bindplane-Agents ein, z. B. 192.168.1.1:514.
- Transport: Wählen Sie je nach Ihrer tatsächlichen Bindplane-Agent-Konfiguration UDP oder TCP aus.
Klicken Sie zum Speichern auf OK.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
`application`	`principal.application`	Direkt aus dem Feld `application` zugeordnet, das vom Grok-Muster extrahiert wurde.
`CredentialId`	`principal.resource.attribute.labels.[]`	Direkt aus dem Feld `CredentialId` zugeordnet, das vom KV-Filter extrahiert wurde. Ein Label mit dem Schlüssel „CredentialId“ wird erstellt.
`date_2`, `time_2`, `year`	`metadata.event_timestamp`	Die Felder „`date_2`“, „`time_2`“ und „`year`“ werden verkettet und mit dem Filter „`date`“ geparst, um „`metadata.event_timestamp`“ zu erstellen.
`date_2`, `time_2`	`metadata.event_timestamp`	Die Felder `date_2` und `time_2` werden verkettet und mit dem Filter `date` geparst, um `metadata.event_timestamp` zu erstellen.
`deviceId`	`principal.resource.product_object_id`	Direkt aus dem Feld `deviceId` zugeordnet, das vom KV-Filter extrahiert wurde.
`description`	`security_result.description`	Direkt aus dem Feld `description` zugeordnet, das vom Grok-Muster extrahiert wurde.
`error_code`	`security_result.detection_fields.[]`	Direkt aus dem Feld `error_code` zugeordnet, das vom Grok-Muster extrahiert wurde. Ein Label mit dem Schlüssel „error_code“ wird erstellt.
`executing_feature`	`principal.hostname`, `principal.asset.hostname`	Direkt aus dem Feld `executing_feature` zugeordnet, das vom Grok-Muster extrahiert wurde.
`host`	`principal.hostname`, `principal.asset.hostname`	Direkt aus dem Feld `host` zugeordnet, das vom Grok-Muster extrahiert wurde.
`ManagementIP`	`principal.ip`, `principal.asset.ip`	Direkt aus dem Feld `ManagementIP` zugeordnet, das vom KV-Filter extrahiert wurde.
`pid`	`principal.process.pid`	Direkt aus dem Feld `pid` zugeordnet, das vom Grok-Muster extrahiert wurde.
`previousSeverity`	`security_result.severity_details`	Direkt aus dem Feld `previousSeverity` zugeordnet, das vom Grok-Muster extrahiert wurde.
`prod_event_type`	`metadata.product_event_type`	Direkt aus dem Feld `prod_event_type` zugeordnet, das vom Grok-Muster extrahiert wurde.
`query`	`security_result.detection_fields.[]`	Direkt aus dem Feld `query` zugeordnet, das vom Grok-Muster extrahiert wurde. Ein Label mit dem Schlüssel „query“ wird erstellt.
`reportingAddress`	`principal.ip`, `principal.asset.ip`	Direkt aus dem Feld `reportingAddress` zugeordnet, das vom Grok-Muster extrahiert wurde.
`severity`	`security_result.severity`	Wird aus dem Feld `severity` zugeordnet. Der Wert wird durch bedingte Logik basierend auf dem Feld `severity` bestimmt (ERROR, MAJOR/WARN, INFO werden bestimmten UDM-Schweregraden zugeordnet).
`src_ip`	`principal.ip`, `principal.asset.ip`	Direkt aus dem Feld `src_ip` zugeordnet, das vom Grok-Muster extrahiert wurde.
`summary`	`security_result.summary`	Direkt aus dem Feld `summary` zugeordnet, das vom Grok-Muster extrahiert wurde.
`target_ip`	`target.ip`, `target.asset.ip`	Direkt aus dem Feld `target_ip` zugeordnet, das vom Grok-Muster extrahiert wurde.
`thread_id`	`security_result.detection_fields.[]`	Direkt aus dem Feld `thread_id` zugeordnet, das vom Grok-Muster extrahiert wurde. Ein Label mit dem Schlüssel „thread_id“ wird erstellt.
(–)	`event_type`	Wird durch die Logik im Parser bestimmt. Wenn sowohl für `principal` als auch für `target` MID-Daten vorhanden sind, ist es `NETWORK_UNCATEGORIZED`. Wenn nur `principal` MID-Daten hat, ist es `STATUS_UPDATE`. Andernfalls ist es `GENERIC_EVENT`.
(–)	`metadata.event_type`	Kopiert aus dem intern generierten Feld `event_type`.
(–)	`metadata.vendor_name`	Fest codiert auf „VEEAM“.
(–)	`metadata.product_name`	Fest codiert auf „Veeam“.
(–)	`event.timestamp`	Der Ereigniszeitstempel wird aus dem Feld `collection_time` des Logeintrags übernommen.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten