收集 DMP Entre 日志

解析器版本：1.0

支持的平台：

本文档介绍了如何使用 Bindplane 代理将 DMP Entre 日志注入到 Google Security Operations。

DMP Entre 是 Digital Monitoring Products (DMP) 推出的一款入侵警报监控和访问权限控制软件。它可管理入口点和出口点、访客管理以及实体访问事件。该应用将事件数据（徽章刷卡、访问权限授予/拒绝、布防状态更改和警报事件）存储在 Microsoft SQL Server 数据库中。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例
  • Windows Server 2016 或更高版本
  • Bindplane 代理与 DMP Entre 服务器之间的网络连接
  • 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开
  • DMP Entre 系统的管理员访问权限
  • 对 Entre SQL Server 数据库的访问权限或导出活动报告的权限

获取 Google SecOps 注入身份验证文件

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。
  3. 下载数据注入身份验证文件。

  4. 将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 配置文件。

  3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sc query observiq-otel-collector

    该服务应显示为 正在运行。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入日志并将其发送到 Google SecOps

找到配置文件

  • 按如下方式找到配置文件：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

  • 将 config.yaml 的全部内容替换为以下配置：

    receivers:
    filelog:
        include:
            - 'C:\DMP\Entre\Exports\*.csv'
        start_at: beginning
        poll_interval: 5s

exporters:
    chronicle/dmp_entre:
        compression: gzip
        creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: DMP_ENTRE
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/dmp_entre_to_chronicle:
            receivers:
                - filelog
            exporters:
                - chronicle/dmp_entre

配置参数

替换以下占位符：

  • 接收器配置：

    • include：DMP Entre 导出文件的路径：
      • Windows：C:\DMP\Entre\Exports\*.csv
      • 根据您导出 Entre 活动报告的位置调整路径
    • start_at：设置为 beginning 可读取现有日志，设置为 end 可仅读取新条目
    • poll_interval：检查新日志数据的频率（默认值：5s）

  • 导出器配置：

    • dmp_entre：导出器的描述性名称
    • creds_file_path：提取身份验证文件的完整路径：
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <customer_id>：上一步中的客户 ID
    • endpoint：区域端点网址：
      • 美国：malachiteingestion-pa.googleapis.com
      • 欧洲：europe-malachiteingestion-pa.googleapis.com
      • 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
      • 如需查看完整列表，请参阅区域级端点
    • DMP_ENTRE：日志类型，与在 Chronicle 中显示的完全一致
    • ingestion_labels：YAML 格式的可选标签（例如 env: production）

  • 流水线配置：

    • dmp_entre_to_chronicle：流水线的描述性名称

保存配置文件

  • 修改后，保存文件：
    • Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

  • 如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：

    • 以管理员身份运行命令提示符或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 服务控制台：

      1. 按 Win+R，输入 services.msc，然后按 Enter 键。
      2. 找到 observIQ OpenTelemetry 收集器。
      3. 右键点击并选择重新启动。

      4. 验证服务是否正在运行：

        sc query observiq-otel-collector

      5. 检查日志是否存在错误：

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

导出 DMP 事件数据

DMP Entre 会将活动数据存储在 Microsoft SQL Server 数据库中。您必须将事件导出到 Bindplane 代理可以读取的 CSV 文件中。

从 DMP Entre GUI 导出活动报告

  1. 登录 Entre 服务器上的 DMP Entre 应用。
  2. 在 Entre 菜单栏中，前往报告。
  3. 选择相应的活动报告类型：
    • 事件历史记录报告：包含所有系统事件，包括门禁、警报事件和布防状态变化。
    • 访问活动报告：包含刷卡事件，其中包含用户、门和时间戳详细信息。
    • 警报活动报告：包含警报、故障和监控事件。
  4. 配置报告过滤条件：
    • 日期范围：选择要导出哪些日期范围内的活动。
    • 面板/设备：选择特定面板或所有面板。
    • 活动类型：选择要纳入的活动类别。
  5. 点击生成（或运行）以生成报告。
  6. 将报告导出为 CSV 文件，并保存到导出目录（例如 `C:\DMP\Entre\Exports`）。

替代方案：自动导出数据库

对于自动导出，您可以使用预定的 SQL Server 代理作业或 Windows 任务计划程序直接查询 Entre SQL Server 数据库：

  1. 连接到 Entre SQL Server 数据库。

  2. 使用 bcp 实用程序导出事件数据：

    bcp "SELECT date, time, event_type, p_event_title, p_event_action, user_display_name, userid, device_data, principal_host, data, log_level FROM [EntreDB].[dbo].[EventHistory] WHERE date >= DATEADD(day, -1, GETDATE())" queryout "C:\DMP\Entre\Exports\entre_events.csv" -c -t"," -S localhost -T

  3. 使用 Windows 任务计划程序安排此命令定期运行（例如每小时运行一次），以便 Bindplane 代理持续提取新的导出文件。

UDM 映射表

日志字段 UDM 映射 逻辑
日期、时间 metadata.event_timestamp 由日期和时间串联而成，使用 M/d/yyyy HH:mm:ss、MM/d/yyyy HH:mm:ss 等格式进行解析。
event_type metadata.event_type 直接复制值
p_event_type metadata.description 如果 event_type ==“GENERIC_EVENT”，则设置为 p_event_type
metadata.product_name 设置为“ENTRE”
metadata.vendor_name 设置为“DMP”
p_event_title、p_event_action event_type 默认设置为“GENERIC_EVENT”；如果 p_event_title ==“arming status”或 p_event_action ==“set time”，则设置为“SETTING_MODIFICATION”；如果 p_event_action ==“automatic recall test ok”或与门锁定/解锁或区域打开/关闭/强制打开相匹配，则设置为“STATUS_HEARTBEAT”；如果 p_event_title ==“door access”且 p_event_action ==“door access granted”，则设置为“USER_BADGE_IN”
extensions.auth.mechanism 对于 USER_BADGE_IN 事件，设置为“BADGE_READER”
extensions.auth.type 对于 USER_BADGE_IN 事件，设置为“PHYSICAL”
inter_host intermediary.hostname 如果 inter_host 无法转换为 IP，则进行设置
inter_host intermediary.ip 设置 inter_host 是否可转换为 IP
principal_host, inter_host principal.hostname 如果存在 device_data 且 principal_host 无法转换为 IP，则为 principal_host 中的值；否则，如果 principal 为空且 inter_host 无法转换为 IP，则为 inter_host 中的值
principal_host, inter_host principal.ip 如果可转换为 IP，则为 principal_host 中的值；否则，如果 principal 为空，则为 inter_ip 中的值
device_data principal.location.name 直接复制值
user_display_name principal.user.user_display_name 直接复制值
userid principal.user.userid 直接复制值
数据 security_result.description 直接复制值
log_level security_result.severity 如果为“INFO”，则设置为“LOW”；如果为“WARNING”，则设置为“MEDIUM”；如果为“ERROR”，则设置为“HIGH”
log_level security_result.severity_details 直接复制值
p_event_type security_result.summary 直接复制值
device_data target.location.name 针对 USER_BADGE_IN 事件设置
target.resource.name 如果 p_event_title == "arming status"，则设置为“Arming status”；如果 p_event_action == "set time"，则设置为“Panel command”
target.resource.type 对于 SETTING_MODIFICATION 事件，设置为“SETTING”

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。