收集 BMC Helix Discovery 日志

解析器版本： 2.0

支持：

Google SecOps SIEM

此解析器使用 grok 模式从 BMC Helix Discovery 系统日志消息中提取字段。它侧重于登录/退出事件和状态更新。它会将提取的字段（例如时间戳、用户名、来源 IP 和说明）映射到 UDM。系统会根据提取的 product_event_type 和日志详细信息对事件进行分类。

准备工作

确保您拥有 Google Security Operations 实例。
确保您使用的是 Windows 2016 或更高版本，或者具有 systemd 的 Linux 主机。
如果通过代理运行，请确保防火墙端口处于开放状态。
确保您拥有对 BeyondTrust 实例的特权访问权限。

获取 Google SecOps 注入身份验证文件

登录 Google SecOps 控制台。
前往 SIEM 设置 > 收集代理。
下载数据注入身份验证文件。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
前往 SIEM 设置 > 个人资料。
从组织详细信息 部分复制并保存客户 ID 。

安装 Bindplane 代理

对于 Windows 安装，请运行以下脚本：
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
对于 Linux 安装，请运行以下脚本：
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
如需了解其他安装选项，请参阅此安装指南。

将 Bindplane 代理配置为注入 Syslog 并发送到 Google SecOps

访问安装了 Bindplane 的机器。

按如下方式修改 config.yaml 文件：

receivers:
    tcplog:
        # Replace the below port <54525> and IP <0.0.0.0> with your specific values
        listen_address: "0.0.0.0:54525" 

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the creds location below according the placement of the credentials file you downloaded
        creds: '{ json file for creds }'
        # Replace <customer_id> below with your actual ID that you copied
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # You can apply ingestion labels below as preferred
        ingestion_labels:
        log_type: SYSLOG
        namespace: BMC_HELIX_DISCOVERY
        raw_log_field: body
service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - tcplog
            exporters:
                - chronicle/chronicle_w_labels

重启 Bindplane 代理以应用更改：
```
sudo systemctl restart bindplane
```

从 BMC Helix Discovery 导出 Syslog

以 根用户 身份访问 BMC Discovery 实例。
修改 syslog 配置 文件：etc/rsyslog.conf
在顶部添加以下条目：# Send everything to the remote syslog server。

将 IP 地址替换为您的 syslog 服务器的 IP 地址：

# Send everything to the remote syslog server

*.* @192.168.1.100

在设备上重启 syslog 服务：

sudo /usr/bin/systemctl restart rsyslog.service

测试转发配置。
使用 logger 实用程序发送 syslog 消息：
```
logger this is a test of remote logging
```

验证是否已记录此消息：

su -
Password:

tail -n5 /var/log/messages
Jan 17 11:42:10 localhost seclab: this is a test of remote logging

UDM 映射表

日志字段	UDM 映射	逻辑
`data`	metadata.description	从日志消息中提取的事件说明。
`data`	metadata.product_event_type	从日志消息中提取的原始事件类型。
`data`	principal.ip	从日志消息的说明字段中提取的来源 IP 地址。
`data`	security_result.summary	从日志消息中提取的事件摘要。
`data`	target.user.userid	从日志消息中提取的用户名。解析器会创建一个空对象。从原始日志中的顶级 `timestamp` 字段复制。由解析器根据 `product_event_type` 和 `desc` 字段确定。如果 `product_event_type` 为“logon”或 `desc` 包含“logged on”，则设置为“USER_LOGIN”。如果 `product_event_type` 为“logoff”或 `desc` 包含“logged off”，则设置为“USER_LOGOUT”。否则，如果存在 `src_ip`，则设置为“STATUS_UPDATE”。默认值为“GENERIC_EVENT”。硬编码为“BMC_HELIX_DISCOVERY”。硬编码为“BMC_HELIX_DISCOVERY”。硬编码为“BMC_HELIX_DISCOVERY”。

更新日志

查看此解析器的更新日志