Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

收集 Absolute Secure Endpoint 日志

解析器版本： 2.0

支持范围：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 代理将 Absolute Secure Endpoint（以前称为 Absolute Data &Device Security）日志注入到 Google Security Operations 中。解析器会从 SIEM 连接器日志中提取 SYSLOG + 或 KV (CEF) 格式的字段。它使用 grok 模式来识别和提取字段，然后根据是否存在 kv_pair 或 cef 数据使用条件逻辑将提取的字段映射到 UDM 架构。系统会根据识别出的字段及其值应用特定的映射和转换，同时处理状态检测信号和安全性事件数据。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
运行 Bindplane 代理的 Windows 2016 或更高版本或 Linux 主机（带 systemd）
用于托管 Absolute SIEM Connector 服务的 Windows Server（2012 或更高版本）
在托管 SIEM Connector 的 Windows Server 上安装 Microsoft .NET Framework 4.0 或更高版本
对 Absolute Secure Endpoint 控制台拥有特权访问权限，并且已启用 SIEM 集成
如果通过代理运行，请确保防火墙端口根据 Bindplane 代理要求处于打开状态

获取 Bindplane 代理的 Google SecOps 凭据

如需对 Bindplane 代理进行 Google SecOps 身份验证，请选择以下方法之一：

新部署：使用 Chronicle API（方法 1）。
旧版部署：继续使用注入身份验证文件（方法 2），直到注入 API 于 2027 年 7 月 20 日停用为止。

方法 1：为 Chronicle API 创建服务帐号（推荐）

登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
依次前往 IAM 和管理 > 服务账号。
点击创建服务账号 。
提供以下配置详细信息：
- 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
- 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
点击创建并继续 。
在向此服务帐号授予对项目的访问权限 部分，点击选择角色 ，然后选择 Chronicle Editor 。
点击继续，然后点击完成。
点击您创建的服务帐号，然后前往密钥标签页。
点击添加密钥 > 创建新密钥。
选择 JSON ，然后点击创建。密钥文件会下载到您的计算机。
将密钥文件另存为 Bindplane 收集器目录中的 ingestion-auth.json（在 Linux 上为 /opt/observiq-otel-collector/ingestion-auth.json，在 Windows 上为 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json），或者更新 creds_file_path 在 config.yaml 中以与您保存该文件的路径匹配。
依次前往 IAM 和管理 > 设置 ，然后复制项目编号 。您需要此编号进行导出器配置。

方法 2：下载注入身份验证文件（旧版）

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 收集代理。
下载注入身份验证文件 。
将该文件安全地保存在将安装 Bindplane 代理的系统上。

获取您的 Google SecOps 客户 ID

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 个人资料。
从组织详细信息 部分复制并保存客户 ID 。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符 或 PowerShell 。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安装

使用 root 或 sudo 权限打开终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安装资源

如需了解其他安装选项，请参阅 Bindplane 代理安装指南。

将 Bindplane 代理配置为注入 Syslog 并发送到 Google SecOps

按如下方式访问配置文件：
- 打开 config.yaml 文件：在 Linux 上为 /opt/observiq-otel-collector/config.yaml，在 Windows 上为 C:\Program Files\observIQ OpenTelemetry Collector\config.yaml。
- 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

按如下方式修改 config.yaml 文件：

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    endpoint: chronicle.googleapis.com
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    # Replace with your actual customer ID
    customer_id: '<CUSTOMER_ID>'
    # Adjust the path to the service account key file you saved in Option 1
    creds_file_path: '/path/to/secops-key.json'
    compression: gzip
    log_type: 'ABSOLUTE'
    raw_log_field: body
    # Add optional ingestion labels for better organization
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

根据基础架构的需要替换端口和 IP 地址。
将 <LOCATION> 替换为 Google SecOps 实例的区域。导出器会使用此值为 chronicle.googleapis.com 添加前缀。
将 <PROJECT_NUMBER> 替换为 IAM 和管理 > 设置 中的项目编号。
将 <CUSTOMER_ID> 替换为实际的客户 ID。
将 /path/to/secops-key.json 更新为保存服务帐号密钥文件（方法 1）的文件路径。

旧版注入 API 导出器

如果您使用方法 2 中的注入身份验证文件，请将 exporters 代码块替换为以下内容。将 creds_file_path 设置为注入身份验证文件的路径，并且如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的区域端点（例如 europe-malachiteingestion-pa.googleapis.com）。

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the ingestion authentication file you downloaded in Option 2
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'ABSOLUTE'
    raw_log_field: body
    ingestion_labels:

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请运行以下命令：
```
sudo systemctl restart observiq-otel-collector
```
如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

在 Windows Server 上安装 Absolute SIEM Connector

Absolute SIEM Connector 是一项 Windows 服务，可从 Absolute Monitoring Center 检索提醒事件数据，并以 CEF 格式通过 syslog 转发这些数据。SIEM Connector 以 MSI 安装程序的形式提供，Absolute Data &Device Security (DDS) Professional 和 Premium 客户可以从 Absolute Customer Center 免费下载该安装程序。

登录 Absolute Secure Endpoint 控制台 (https://cc.absolute.com/)。
前往 Customer Center 或 Downloads 部分。
下载 Absolute SIEM Connector MSI 安装程序。
将安装程序传输到您的 Windows Server。
以管理员身份在 Windows Server 上运行安装程序。
按照安装向导完成安装。
记下安装目录（通常为 C:\Program Files\Absolute Software\Absolute SIEM Connector）。

在 Absolute Secure Endpoint 控制台中启用 SIEM 集成

在 SIEM Connector 可以检索事件之前，您必须在 Absolute Secure Endpoint 控制台中启用 SIEM 集成。

登录 Absolute Secure Endpoint 控制台 (https://cc.absolute.com/)。
前往设置或管理部分。
前往 SIEM 集成 设置。
点击 Enable SIEM Integration （启用 SIEM 集成），或将 SIEM 集成设置切换为开启。
选择要转发到 SIEM 的事件类型。
- 您还可以选择所有事件类型 以转发所有可用日志。
点击保存或应用配置。

配置 Absolute SIEM Connector

安装 SIEM Connector 并在控制台中启用 SIEM 集成后，请将连接器配置为向 Bindplane 代理发送事件，如下所示：

在安装了 Absolute SIEM Connector 的 Windows Server 上，打开 Absolute SIEM Connector 配置工具 。
- 您可以在开始菜单 下的 Absolute Software 中或安装目录中找到此工具。
提供以下配置详细信息：
- Syslog 服务器主机：输入 Bindplane 代理主机的主机名或 IP 地址。
- Syslog 服务器端口：输入 514（或在 Bindplane 中配置的端口）。
- 协议：根据您的 Bindplane 配置选择 UDP 或 TCP 。
- 格式：确认已选择 CEF （通用事件格式）。
- 更新间隔：设置连接器从 Absolute 检索事件的频率。最短为 2 分钟，最长为 1,440 分钟或 24 小时。默认值为 60 分钟。
- 时区：事件以 UTC 时区传输，以确保系统之间的一致性。
点击保存。
启动或重启 Absolute SIEM Connector 服务：
- 打开服务 (services.msc)。
- 选择 Absolute SIEM Connector 服务。
- 点击启动或重启。

UDM 映射表

日志字段	UDM 映射	逻辑
`pid`	`about.process.pid`	直接映射
`hostname`	`intermediary.hostname`	直接映射
`dvc_ip`	`intermediary.ip`	已合并
`Alert Time`	`metadata.event_timestamp`	解析为 `RFC3339`
`date`	`metadata.event_timestamp`	解析为 `yyyy-MM-dd HH:mm:ss UTC`
`event_type`	`metadata.event_type`	直接映射
`eventType`	`metadata.product_event_type`	直接映射
`event_class`	`metadata.product_event_type`	直接映射
`device_version`	`metadata.product_version`	直接映射
`Serial Number`	`principal.asset.asset_id`	直接映射
`Computer Name`	`principal.hostname`	直接映射
`actorName`	`principal.hostname`	直接映射
`objectName`	`principal.hostname`	直接映射
`objectID`	`principal.resource.product_object_id`	直接映射
`objectType`	`principal.resource.resource_type`	直接映射
`roles`	`principal.user.attribute.roles`	已合并
`actorID`	`principal.user.product_object_id`	直接映射
`actorName`	`principal.user.userid`	直接映射
`Condition`	`security_result.description`	直接映射
`esn_label`	`security_result.detection_fields`	已合并
`kv_pair`	`security_result.detection_fields`	已映射：`ESN` → `esn_label`
`verb`	`security_result.summary`	直接映射
`Alert ID`	`security_result.threat_id`	直接映射
`Alert Name`	`security_result.threat_name`	直接映射
`field_`	`target.resource.attribute.labels`	已合并
不适用	`metadata.event_type`	常量：`GENERIC_EVENT`
不适用	`metadata.product_name`	常量：`ABSOLUTE_PLATFORM`
不适用	`metadata.vendor_name`	常量：`ABSOLUTE`

更新日志

查看此解析器的更新日志