Mengumpulkan log Comforte SecurDPS

Didukung di:

Dokumen ini menjelaskan cara menyerap log Comforte SecurDPS ke Google Security Operations menggunakan agen Bindplane.

Comforte SecurDPS adalah platform perlindungan data yang menyediakan tokenisasi dan enkripsi untuk data sensitif di lingkungan pemrosesan pembayaran dan transaksi. Layanan ini menghasilkan log audit untuk operasi perlindungan data, peristiwa akses, dan tindakan penegakan kebijakan.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Konektivitas jaringan antara agen Bindplane dan server Comforte SecurDPS
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
  • Akses istimewa ke server Comforte SecurDPS dengan izin administrator

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan.

  4. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.

  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sc query observiq-otel-collector

    Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sudo systemctl status observiq-otel-collector

    Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

  • Ganti seluruh konten config.yaml dengan konfigurasi berikut:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/comforte_securdps:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: COMFORTE_SECURDPS
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/securdps_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/comforte_securdps

Parameter konfigurasi

Ganti placeholder berikut:

  • Konfigurasi penerima:

    • udplog: Jenis penerima berdasarkan protokol:
      • udplog untuk syslog UDP
      • tcplog untuk syslog TCP
    • 0.0.0.0: Alamat IP yang akan didengarkan:
      • 0.0.0.0 untuk mendengarkan di semua antarmuka (direkomendasikan)
      • Alamat IP tertentu untuk memproses permintaan di satu antarmuka
    • 514: Nomor port yang akan diproses (misalnya, 514, 1514, 6514)

  • Konfigurasi eksportir:

    • comforte_securdps: Nama deskriptif untuk eksportir
    • creds_file_path: Jalur lengkap ke file autentikasi penyerapan:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <customer_id>: ID Pelanggan dari langkah sebelumnya
    • endpoint: URL endpoint regional:
      • Amerika Serikat: malachiteingestion-pa.googleapis.com
      • Eropa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Lihat Endpoint Regional untuk mengetahui daftar lengkapnya
    • COMFORTE_SECURDPS: Jenis log persis seperti yang muncul di Chronicle
    • ingestion_labels: Label opsional dalam format YAML (misalnya, env: production)

  • Konfigurasi pipeline:

    • securdps_to_chronicle: Nama deskriptif untuk pipeline

Simpan file konfigurasi

  • Setelah mengedit, simpan file:
    • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
    • Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart observiq-otel-collector

    1. Pastikan layanan sedang berjalan:

      sudo systemctl status observiq-otel-collector

    2. Periksa log untuk mengetahui error:

      sudo journalctl -u observiq-otel-collector -f

  • Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

    • Command Prompt atau PowerShell sebagai administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Konsol layanan:

      1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
      2. Temukan observIQ OpenTelemetry Collector.
      3. Klik kanan, lalu pilih Mulai Ulang.

      4. Pastikan layanan sedang berjalan:

        sc query observiq-otel-collector

      5. Periksa log untuk mengetahui error:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi penerusan syslog Comforte SecurDPS

  1. Login ke konsol administrasi Comforte SecurDPS dengan kredensial administrator.
  2. Buka System > Configuration > Logging.
  3. Aktifkan Penerusan Syslog untuk log audit.
  4. Berikan detail konfigurasi berikut:
    • Server Syslog: Masukkan alamat IP host agen Bindplane (misalnya, 192.168.1.100).
    • Port: Masukkan 514 (harus cocok dengan port penerima agen BindPlane).
    • Protocol: Pilih UDP.
    • Fasilitas: Pilih local0 atau fasilitas yang sesuai untuk lingkungan Anda.
    • Tingkat Keparahan: Pilih Informasi atau yang lebih rendah untuk mencatat semua peristiwa audit.
  5. Pilih kategori log yang akan diteruskan:
    • Operasi perlindungan data (tokenisasi, enkripsi)
    • Akses dan peristiwa autentikasi
    • Perubahan kebijakan dan tindakan administratif
    • Peristiwa error dan peringatan
  6. Klik Simpan untuk menerapkan konfigurasi.

  7. Pastikan pesan syslog diterima dengan memeriksa log agen Bindplane.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
record.index, record.cribl_pipe additional.fields Digabungkan dengan label yang dibuat dari record.index dan record.cribl_pipe
record.msg_data, description metadata.description Nilai dari record.msg_data jika berada di cabang JSON, atau dari deskripsi
metadata_event_type metadata.event_type Ditetapkan berdasarkan tanda: NETWORK_CONNECTION jika principal_mid_present dan target_mid_present, atau USER_UNCATEGORIZED jika target_user_present, atau STATUS_UPDATE jika principal_mid_present, atau GENERIC_EVENT
record.sourcetype, prod_event_type metadata.product_event_type Nilai dari record.sourcetype jika berada di cabang JSON, atau dari prod_event_type
metadata.product_name Ditetapkan ke "Comforte SecureDPS"
metadata.vendor_name Tetapkan ke "COMFORTE_SECURDPS"
host principal.asset.hostname Nilai dari host jika bukan IP
validated_host, principal_ip principal.asset.ip Nilai dari validated_host jika host adalah IP di cabang JSON, atau dari principal_ip
host principal.hostname Nilai dari host jika bukan IP
validated_host, principal_ip principal.ip Nilai dari validated_host jika host adalah IP di cabang JSON, atau dari principal_ip
principal_port principal.port Nilai dari principal_port, dikonversi menjadi bilangan bulat
record.facility, record.facilityName, _STRATEGY, _PROTECTS, _DENIEDPROTECTS, _REVEALS, _DENIEDREVEALS, _LOOKUPS, _INTERVAL security_result.detection_fields Digabungkan dengan label yang dibuat dari record.facility, record.facilityName, _STRATEGY, _PROTECTS, _DENIEDPROTECTS, _REVEALS, _DENIEDREVEALS, _LOOKUPS, _INTERVAL
sec_description security_result.description Nilai dari sec_description
record.severityName, severity security_result.severity Disetel ke INFORMATIONAL jika cocok dengan (?i)(info), WARNING jika cocok dengan (?i)(warn), ERROR jika cocok dengan (?i)(error)
record.severity, severity security_result.severity_details Nilai dari record.severity jika berada di cabang JSON, atau dari severity
app, _APPLICATION target.application Nilai dari _APPLICATION jika tidak kosong, atau dari aplikasi
_IPADDRESS target.asset.ip Nilai dari _IPADDRESS
sha_256_value target.file.sha256 Nilai dari sha_256_value jika cocok dengan pola hex
_IPADDRESS target.ip Nilai dari _IPADDRESS
pid target.process.pid Nilai dari pid
sha256 target.resource.attribute.labels Digabungkan dengan sha256_label jika sha_256_value tidak cocok dengan pola hex
_ZOSUSER target.user.userid Nilai dari _ZOSUSER

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.