Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Cisco CTS 記錄

剖析器版本：6.0

支援：

Google SecOps SIEM

本文說明如何使用 Bindplane 代理，將 Cisco CTS 記錄檔擷取至 Google Security Operations。

Cisco TelePresence System (CTS) 是指舊版視訊會議硬體端點，包括 CTS 500、CTS 1000、CTS 1100、CTS 1300、CTS 3000、CTS 3200 和 TX 系列系統。這些沉浸式遠端會議室系統提供高畫質視訊會議功能，並透過 Cisco Unified Communications Manager (CUCM) 管理。系統會針對系統作業、通話活動和疑難排解產生系統記錄訊息。

事前準備

請確認您符合下列必要條件：

Google SecOps 執行個體
Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
Bindplane 代理程式與 Cisco TelePresence System 之間的網路連線
如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
Cisco Unified Communications Manager (CUCM) 的管理員存取權
Cisco TelePresence System 系統管理介面的管理員權限
從 CTS 編解碼器到 Bindplane 代理程式的網路連線 (UDP 通訊埠 514 或已設定的通訊埠)

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

新部署作業：使用 Chronicle API (選項 1)。
舊版部署作業：在 2027 年 7 月 20 日停用 Ingestion API 前，請繼續使用擷取驗證檔案 (選項 2)。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
按一下「建立服務帳戶」。
請提供下列設定詳細資料：
- 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如 bindplane-ingest)。
- 「服務帳戶說明」：輸入說明 (例如 Bindplane agent log ingestion)。
點按「Create and continue」(建立並繼續)。
在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
依序點選「繼續」和「完成」。
按一下您建立的服務帳戶，然後前往「金鑰」分頁。
依序點選「新增金鑰」>「建立新的金鑰」。
選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 為 /opt/observiq-otel-collector/ingestion-auth.json，Windows 為 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存檔案的路徑相符。
依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。設定匯出工具時會用到。

方法 2：下載擷取驗證檔案 (舊版)

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」 > 「設定檔」。
複製並儲存「機構詳細資料」部分的客戶 ID。

注意： 設定 Bindplane 代理程式匯出工具時，必須提供客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝
1. 以管理員身分開啟命令提示字元或 PowerShell。
2. 執行下列指令：
```
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
```
3. 等待安裝完成。
4. 執行下列指令，確認安裝成功：
```
sc query observiq-otel-collector
```
  服務應顯示為「RUNNING」。
安裝 Linux
1. 開啟具有 root 或 sudo 權限的終端機。
2. 執行下列指令：
```
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
```
3. 等待安裝完成。
4. 執行下列指令，確認安裝成功：
```
sudo systemctl status observiq-otel-collector
```
  服務應顯示為「active (running)」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄並傳送至 Google SecOps

找出設定檔

Linux：

sudo nano /opt/observiq-otel-collector/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的全部內容替換為下列設定：

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/cisco_cts:
        protocol: https
        # Region of your instance, for example us, europe, asia-southeast1
        location: <LOCATION>
        # Project number of the Google Cloud project linked to the instance
        project: '<PROJECT_NUMBER>'
        compression: gzip
        creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: chronicle.googleapis.com
        log_type: CISCO_CTS
        raw_log_field: body

service:
    pipelines:
        logs/cts_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/cisco_cts

請替換下列預留位置：
- 接收器設定：
  - 接收器使用 udplog 接收 UDP syslog (CTS 裝置的標準)
  - listen_address 設為 0.0.0.0:514，用於監聽 UDP 通訊埠 514 上的所有介面
  - 如果 Linux 系統並非以 root 身分執行，請將通訊埠變更為 1514 以上
- 匯出工具設定：
  - creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：
    - Linux：/opt/observiq-otel-collector/ingestion-auth.json
    - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  - customer_id：將 YOUR_CUSTOMER_ID 替換為您的 customer ID。詳情請參閱「取得 Google SecOps 客戶 ID」。
  - location：將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。如需完整清單，請參閱「區域性端點」。
  - project：依序前往「IAM 與管理」>「設定」，然後將 <PROJECT_NUMBER> 替換為專案編號。
  - endpoint：請將此值設為 chronicle.googleapis.com。
  - log_type：設為 CISCO_CTS (必須完全相符)

舊版 Ingestion API 匯出工具

如果您使用方式 2 的擷取驗證檔案，請將 exporters 區塊替換成下列內容。將 creds_file_path 設為擷取驗證檔案的路徑，如果您的執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

exporters:
    chronicle/cisco_cts:
        compression: gzip
        creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CISCO_CTS
        raw_log_field: body

儲存設定檔

編輯完畢後，請儲存檔案：

Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，套用變更

如要在 Linux 重新啟動 Bindplane 代理程式，請按照下列步驟操作：
1. 執行下列指令：
```
sudo systemctl restart observiq-otel-collector
```
2. 確認服務是否正在執行：
```
sudo systemctl status observiq-otel-collector
```
3. 查看記錄檔是否有錯誤：
```
sudo journalctl -u observiq-otel-collector -f
```
如要在 Windows 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：
1. 您可以選擇下列其中一個選項：
  - 以管理員身分開啟命令提示字元或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
  - 服務控制台：
  1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
  2. 找出「observIQ OpenTelemetry Collector」。
  3. 按一下滑鼠右鍵，然後選取「重新啟動」。
2. 確認服務正在執行：
```
sc query observiq-otel-collector
```
3. 查看記錄檔是否有錯誤：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

設定 Cisco CTS 系統記錄轉送

Cisco TelePresence System (CTS) 系統記錄轉送功能是透過 Cisco Unified Communications Manager (CUCM) 設定。必須在每部 CTS 裝置的產品專屬設定版面配置中，設定外部 Syslog 位址。

在 CUCM 中設定外部系統記錄位址

使用網路瀏覽器登入 Cisco Unified Communications Manager Administration 介面。
依序前往「裝置」 > 「手機」。
使用搜尋功能找出 Cisco TelePresence System 裝置。
按一下裝置名稱，開啟「手機設定」視窗。
向下捲動至「產品專屬設定版面配置」部分。
找出「External SYSLOG Address」欄位。
在「External SYSLOG Address」欄位中，輸入 syslog 伺服器位址，格式如下：
- 僅限 IP 位址：192.168.1.100 (使用預設通訊埠 514)
- 設有通訊埠的 IP 位址：192.168.1.100:514
- 僅限主機名稱：bindplane-server.example.com (使用預設通訊埠 514)
- 含通訊埠的主機名稱：bindplane-server.example.com:1514
注意： IP 位址或主機名稱應指向 Bindplane 代理程式主機。通訊埠必須與 Bindplane 代理程式 config.yaml 檔案中設定的通訊埠相符 (預設為 514)。欄位長度上限為 60 個半形字元。
按一下頁面底部的「儲存」，儲存設定。
按一下「Apply Config」，將變更套用至裝置。

注意： 系統會顯示訊息，指出正在套用設定。等待程序完成。
按一下「重設」或「重新啟動」，重新啟動 CTS 裝置並啟用系統記錄轉送功能。

注意： 重新啟動期間，CTS 裝置無法用於通話。請在維護期間安排重新啟動。

驗證 CTS 裝置上的系統記錄設定

開啟網路瀏覽器，前往 CTS 管理介面：https://<CTS-IP-ADDRESS>。
使用在 CUCM 設定的 SSH 管理員使用者名稱和密碼登入。
依序前往「Configuration」>「Network Settings」。
確認「Syslog Address」欄位顯示 Bindplane 代理程式的 IP 位址或主機名稱。

注意： 這個欄位為唯讀，會反映 CUCM 中設定的值。

為多部 CTS 裝置設定系統記錄

如果您有多部 CTS 裝置，請為每部裝置重複設定步驟：

在 CUCM 中，依序前往「Device」 > 「Phone」。
搜尋並選取各個 CTS 裝置。
在「Product Specific Configuration Layout」部分，設定「External SYSLOG Address」欄位。
儲存並套用每部裝置的設定。
重新啟動每部裝置，啟用系統記錄轉送功能。

確認是否收到系統記錄訊息

查看 Bindplane 代理程式記錄，確認是否收到 syslog 訊息：

Linux：

sudo journalctl -u observiq-otel-collector -f | grep -i cisco

Windows：

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log" | findstr /i cisco

登入 Google SecOps 控制台。
前往「搜尋」，然後執行最近 CTS 記錄的搜尋查詢：
```
metadata.log_type = "CISCO_CTS"
```
確認搜尋結果中顯示的記錄檔是否具有最近的時間戳記。

Syslog 訊息格式

Cisco TelePresence System 會以 RFC 3164 (BSD syslog) 格式傳送系統記錄訊息。訊息包括：

通話活動、視訊/音訊事件和系統作業的系統作業 (sysop) 記錄訊息
設施代碼：因訊息類型而異
預設通訊埠：UDP 514
訊息儲存空間：CTS 裝置上最多可儲存 20 個輪替記錄檔

排解系統記錄轉送問題

如果未收到系統記錄訊息：

驗證 CTS 轉碼器與 Bindplane 代理程式之間的網路連線：
```
ping <BINDPLANE_AGENT_IP>
```
確認防火牆規則允許從 CTS IP 位址到 Bindplane 代理程式的通訊埠 514 (或已設定的通訊埠) UDP 流量。
請檢查 CUCM 產品專屬設定版面配置中的外部 SYSLOG 位址是否設定正確。
確認 CTS 裝置在套用系統記錄設定後已重新啟動。
在 CTS 管理介面記錄中，依序點選「疑難排解」 > 「記錄檔」，查看是否有任何與系統記錄相關的錯誤。
確認 Bindplane 代理程式正在監聽正確的通訊埠：
- Linux：
```
sudo netstat -ulnp | grep 514
```
- Windows：
```
netstat -an | findstr :514
```

UDM 對應表

記錄欄位	UDM 對應	邏輯
AuditDetails, data2	security_result.description	如果 AuditDetails 不為空白，則為 AuditDetails 的值，否則為 data2
ClientAddress、LoginFrom	principal.ip	ClientAddress 的值 (如果不是空白且不是 IP 位址)，否則為 LoginFrom
EventType	metadata.product_event_type	直接複製值
logType	metadata.description	直接複製值
嚴重性	security_result.severity	如果嚴重性為 [6,7]，則設為 INFORMATIONAL；如果為 5，則設為 LOW；如果為 4，則設為 MEDIUM；如果為 3，則設為 ERROR；如果為 2，則設為 HIGH；否則設為 CRITICAL
logType、EventStatus	security_result.action	如果 logType == AuthenticationSucceeded 或 EventStatus == Success，則設為 ALLOW
EventType、logType	metadata.event_type	如果 EventType == UserAccess，則設為 USER_RESOURCE_ACCESS；如果 EventType == UserLogging 或 logType 符合 LOGIN，則設為 USER_LOGIN；如果 EventType 位於 [UserRoleMembershipUpdate, GeneralConfigurationUpdate]，則設為 USER_RESOURCE_UPDATE_CONTENT；否則設為 GENERIC_EVENT
AppID	principal.application	直接複製值
NodeID	target.hostname	直接複製值
process_id	principal.process.pid	直接複製值
ResourceAccessed	target.resource.name	直接複製值
UserID	principal.user.userid	直接複製值
	metadata.product_name	設為「CISCO_CTS」
	metadata.vendor_name	設為「CISCO」

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。