收集 BeyondTrust Secure Remote Access (舊稱 BeyondTrust Privileged Remote Access) 記錄

支援：

本文說明如何使用 Bindplane，將 BeyondTrust Secure Remote Access (舊稱 BeyondTrust Privileged Remote Access) 記錄檔擷取至 Google Security Operations。

BeyondTrust Secure Remote Access 是一項特殊存取權管理解決方案，可讓組織控管、監控及稽核特殊遠端存取權，適用對象包括供應商、承包商，以及連線至重要系統的內部管理員。提供憑證注入、即時存取和工作階段記錄功能。BeyondTrust Secure Remote Access 會透過 syslog 記錄工作階段活動、驗證事件和管理動作。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體。
  • Windows 2016 以上版本或 Linux 主機 (含 systemd)。
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟。
  • BeyondTrust Secure Remote Access B 系列裝置介面 (/appliance) 的管理員存取權。

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

  • 新部署作業：使用 Chronicle API (選項 1)。
  • 舊版部署作業：在 2027 年 7 月 20 日停用 Ingestion API 前，請繼續使用擷取驗證檔案 (選項 2)。
  1. 登入 Google Cloud 控制台，然後選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
  2. 依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
  3. 按一下「建立服務帳戶」。
  4. 請提供下列設定詳細資料：
    • 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如 bindplane-ingest)。
    • 服務帳戶說明：輸入說明 (例如 Bindplane agent log ingestion)。
  5. 點按「Create and continue」(建立並繼續)。
  6. 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
  7. 依序點選「繼續」和「完成」。
  8. 按一下您建立的服務帳戶，然後前往「金鑰」分頁標籤。
  9. 依序點選「新增金鑰」>「建立新的金鑰」。
  10. 選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
  11. 將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 為 /opt/observiq-otel-collector/ingestion-auth.json，Windows 為 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存檔案的路徑相符。
  12. 依序前往「IAM 與管理」>「設定」，然後複製「專案編號」。匯出工具設定時會用到。

方法 2：下載擷取驗證檔案 (舊版)

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM Settings」 > 「Collection Agents」。
  3. 下載擷取驗證檔案。
  4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。
  3. 複製並儲存「機構詳細資料」部分的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟命令提示字元或 PowerShell。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

  1. 開啟具有 root 或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理，擷取系統記錄檔並傳送至 Google SecOps

  1. 存取設定檔：

    • 找出 config.yaml 檔案。通常位於 Linux 的 /opt/observiq-otel-collector/ 目錄，或 Windows 的安裝目錄。
    • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

  2. 按照下列方式編輯 config.yaml 檔案：

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <your_customer_id>
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'BEYONDTRUST_REMOTE_ACCESS'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
  • 視基礎架構需求更換連接埠和 IP 位址。
  • 將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會以這個值做為 chronicle.googleapis.com 的前置字元。
  • 將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。
  • 將 <your_customer_id> 替換為實際的客戶 ID。

  • 將 /path/to/ingestion-authentication-file.json 更新為步驟 1 中儲存服務帳戶金鑰檔案 (選項 1) 的檔案路徑。

舊版 Ingestion API 匯出工具

  • 如果您使用方式 2 的擷取驗證檔案，請將 exporters 區塊替換成下列內容。將 creds_file_path 設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <your_customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'BEYONDTRUST_REMOTE_ACCESS'
    raw_log_field: body
    ingestion_labels:

重新啟動 Bindplane 代理程式，套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

  1. 執行下列指令：

    sudo systemctl restart observiq-otel-collector

  2. 確認服務是否正在執行：

    sudo systemctl status observiq-otel-collector

  3. 查看記錄檔是否有錯誤：

    sudo journalctl -u observiq-otel-collector -f

如要在 Windows 重新啟動 Bindplane 代理程式，請按照下列步驟操作：

  1. 您可以選擇下列其中一個選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：
    net stop observiq-otel-collector && net start observiq-otel-collector
    • 服務控制台：
      1. 按下 Win+R 鍵，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出「observIQ OpenTelemetry Collector」。
      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

  2. 確認服務正在執行：

    sc query observiq-otel-collector

  3. 檢查記錄是否有錯誤：

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

設定 BeyondTrust Secure Remote Access 系統記錄轉送

  1. 登入 BeyondTrust Secure Remote Access B Series Appliance 介面 (/appliance)。
  2. 依序前往「安全性」>「設備管理」。
  3. 向下捲動至「系統記錄」Syslog部分。
  4. 在「Remote Syslog Server」(遠端 Syslog 伺服器) 欄位中，輸入 Bindplane 代理程式主機的主機名稱或 IP 位址 (例如 192.168.1.100)。
  5. 選取事件通知訊息的「訊息格式」：
    • RFC 5424 - 現代化系統記錄標準，包含結構化資料 (建議)。
    • BSD (舊版)：舊版 BSD syslog 格式 (RFC 3164)。
    • 透過 TLS 傳送系統記錄 - 使用 TCP 通訊埠 6514 加密系統記錄。
  6. 如有需要，請變更預設通訊埠：
    • RFC 5424 和 BSD 格式預設為 UDP 514。
    • Syslog over TLS 預設為 TCP 6514。

  7. 按一下 [儲存]。

確認系統記錄傳送

  1. 設定 syslog 轉送後，請啟動測試支援工作階段，或登入 /login 管理介面。

  2. 在 Bindplane 代理程式主機上，確認系統是否收到記錄：

    sudo journalctl -u observiq-otel-collector -f

詳情請參閱 BeyondTrust Privileged Remote Access 系統記錄說明文件。

UDM 對應表

記錄欄位 UDM 對應 邏輯
_field additional.fields 已合併
additional_device_product additional.fields 已合併
additional_device_vendor additional.fields 已合併
additional_dst_priv additional.fields 已合併
additional_event_name additional.fields 已合併
additional_external_key_label additional.fields 已合併
additional_jumpGroupId additional.fields 已合併
additional_jumpGroupName additional.fields 已合併
additional_jumpGroupType additional.fields 已合併
additional_jumpointId additional.fields 已合併
additional_jumpointName additional.fields 已合併
additional_segment_number additional.fields 已合併
additional_site_id additional.fields 已合併
additional_total_segments additional.fields 已合併
appliance_identifier_label additional.fields 已合併
appliance_label additional.fields 已合併
eventid_label additional.fields 已合併
eventsubject_label additional.fields 已合併
eventtype_label additional.fields 已合併
format_version_label additional.fields 已合併
nvps_actiontype_label additional.fields 已合併
nvps_authenticationtype_label additional.fields 已合併
nvps_createdate_label additional.fields 已合併
nvps_eventseverity_label additional.fields 已合併
nvps_subjectdescription_label additional.fields 已合併
product_label additional.fields 已合併
eventName extensions.auth.auth_details 直接對應
mechanism extensions.auth.mechanism 已合併
target extensions.auth.type 已對應："rep_client", "web/login" → MACHINE、"rep_client", "web/login" → SSO、`rep_c...
intermediary_hostname intermediary.asset.hostname 直接對應
intermediary_ip intermediary.asset.ip 已合併
intermediary_hostname intermediary.hostname 直接對應
intermediary_ip intermediary.ip 已合併
msg metadata.description 直接對應
datetime metadata.event_timestamp 剖析為 RFC 3339
eventdate metadata.event_timestamp 已剖析為 MMM dd yyyy HH:mm:ss
timestamp metadata.event_timestamp 已剖析為 ISO8601
timestampvalue metadata.event_timestamp 剖析為 yyyy-MM-ddTHH:mm:ssZZ
when metadata.event_timestamp 剖析為 UNIX
device_vendor metadata.event_type 對應：Bomgar → GENERIC_EVENT
eventName metadata.event_type 對應：(?i)login → USER_LOGIN，(?i)logout → USER_LOGOUT
has_principal metadata.event_type 已對應：true → NETWORK_CONNECTION、true → STATUS_UPDATE
category metadata.product_event_type 直接對應
event_name metadata.product_event_type 直接對應
id metadata.product_event_type 直接對應
nvps_auditid metadata.product_log_id 直接對應
product_log_id metadata.product_log_id 直接對應
device_version metadata.product_version 直接對應
version metadata.product_version 直接對應
sessionId network.session_id 直接對應
agentid observer.application 直接對應
product_event_type principal.asset.hostname 直接對應
nvps_ipaddress principal.asset.ip 已合併
sourceip principal.asset.ip 已合併
product_event_type principal.hostname 直接對應
nvps_ipaddress principal.ip 已合併
sourceip principal.ip 已合併
srcHost principal.ip 已合併
who_ip principal.ip 已合併
process_id principal.process.pid 直接對應
srcUser principal.user.user_display_name 直接對應
user_display_name principal.user.user_display_name 直接對應
srcUid principal.user.userid 直接對應
user principal.user.userid 直接對應
userid principal.user.userid 直接對應
who principal.user.userid 直接對應
security_action security_result.action 已合併
status security_result.action_details 直接對應
reason security_result.description 直接對應
severity security_result.severity 對應值 (共 5 個，例如 0 → UNKNOWN_SEVERITY、1 → LOW、2 → MEDIUM)
eventName security_result.summary 直接對應
eventname security_result.summary 直接對應
nvps_systemname target.application 直接對應
target target.application 直接對應
filePath target.file.full_path 直接對應
fsize target.file.size 直接對應
deviceHost target.hostname 直接對應
site target.hostname 直接對應
dstHost target.ip 已合併
nvps_username_label target.resource.attribute.labels 已合併
nvps_appuserid target.user.product_object_id 直接對應
dstUser target.user.user_display_name 直接對應
dstUid target.user.userid 直接對應
不適用 extensions.auth.type 常數：MACHINE
不適用 metadata.event_type 常數：USER_LOGIN
不適用 metadata.product_name 常數：BeyondTrust Secure Remote Access
不適用 metadata.vendor_name 常數：BeyondTrust
不適用 security_result.severity 常數：UNKNOWN_SEVERITY

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。