Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Entrust nShield HSM 稽核記錄

剖析器版本：1.0

支援的服務：

Google SecOps SIEM

本文說明如何使用 Bindplane 代理程式，將 Entrust nShield HSM 稽核記錄擷取至 Google Security Operations。

剖析器會從 Entrust nShield HSM syslog 格式的記錄中擷取欄位。它會使用 grok 和/或 kv 剖析記錄訊息，然後將這些值對應至統合式資料模型 (UDM)。此外，也會為事件來源和類型設定預設中繼資料值。

事前準備

請確認您符合下列必要條件：

Google SecOps 執行個體
搭載 systemd 的 Windows 2016 以上版本或 Linux 主機
如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
Entrust nShield HSM 管理控制台或 Security World 軟體的特殊存取權
已初始化的安全世界，具備稽核記錄功能

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

新部署作業：使用 Chronicle API (選項 1)。
舊版部署作業：繼續使用擷取驗證檔案 (選項 2)，直到 Ingestion API 於 2027 年 7 月 20 日停用。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
按一下「建立服務帳戶」。
請提供下列設定詳細資料：
- 服務帳戶名稱：輸入帳戶名稱 (例如 bindplane-ingest)。
- 服務帳戶說明：輸入說明 (例如 Bindplane agent log ingestion)。
點按「Create and continue」(建立並繼續)。
在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
依序點選「繼續」和「完成」。
按一下您建立的服務帳戶，然後前往「金鑰」分頁。
依序點選「新增金鑰」>「建立新的金鑰」。
選取「JSON」，然後按一下「建立」。金鑰檔案會下載到電腦。
將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 為 /opt/observiq-otel-collector/ingestion-auth.json，Windows 為 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存檔案的路徑相符。
依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。匯出工具設定時會用到。

方法 2：下載擷取驗證檔案 (舊版)

登入 Google SecOps 控制台。
依序前往「SIEM Settings」 > 「Collection Agents」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM Settings」(SIEM 設定) >「Profile」(設定檔)。
複製並儲存「機構詳細資料」部分的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟命令提示字元或 PowerShell。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

開啟具有 root 或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理，擷取系統記錄檔並傳送至 Google SecOps

存取設定檔：
- 找出 config.yaml 檔案。通常位於 Linux 的 /opt/observiq-otel-collector/ 目錄，或 Windows 的安裝目錄。
- 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

按照下列方式編輯 config.yaml 檔案：

receivers:
  udplog:
    # nShield HSM only supports UDP for audit logs
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: chronicle.googleapis.com
    # Use ENTRUST_HSM as the log type
    log_type: 'ENTRUST_HSM'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

請根據基礎架構需求，替換通訊埠和 IP 位址。
將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。
將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。
將 YOUR_CUSTOMER_ID 替換為實際的客戶 ID。
將 /path/to/ingestion-authentication-file.json 更新為步驟 1 中儲存服務帳戶金鑰檔案 (選項 1) 的檔案路徑。

舊版 Ingestion API 匯出工具

如果您使用選項 2 的擷取驗證檔案，請將 exporters 區塊替換為下列內容。將 creds_file_path 設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Use ENTRUST_HSM as the log type
    log_type: 'ENTRUST_HSM'
    raw_log_field: body
    ingestion_labels:

重新啟動 Bindplane 代理程式，套用變更

如要在 Linux 重新啟動 Bindplane 代理程式，請執行下列指令：
```
sudo systemctl restart observiq-otel-collector
```
如要在 Windows 重新啟動 Bindplane 代理程式，可以使用「服務」控制台，或輸入下列指令：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

在 Entrust nShield HSM 設定 Syslog 轉送

設定方法取決於 nShield HSM 部署模式。您必須在建立安全世界時，或將 HSM 納入現有安全世界時，啟用稽核記錄。

方法 1：使用 config-auditlogging 公用程式設定 (建議)

在安裝 Security World Software 的用戶端電腦上，執行下列指令：
```
config-auditlogging --server <BINDPLANE_IP> --port 514 --enable-syslog
```
將 <BINDPLANE_IP> 替換為 Bindplane 代理程式主機的 IP 位址。
- 設定變更會寫入 hardserver 設定檔。
重新啟動 hardserver 以套用變更：
- Linux：/opt/nfast/sbin/init.d-ncipher restart
- Windows：net stop "nfast server" && net start "nfast server"

選項 2：使用硬體伺服器設定檔進行設定

編輯 hardserver 設定檔：
- Linux：/opt/nfast/kmdata/config/config
- Windows：%NFAST_KMDATA%\config\config
在設定檔中新增或修改下列項目：
```
auditlog_addr=<BINDPLANE_IP>
auditlog_port=514
```
*將 <BINDPLANE_IP> 替換為 Bindplane 代理程式主機的 IP 位址。
儲存設定檔。
重新啟動硬體伺服器，以套用變更：
- Linux：/opt/nfast/sbin/init.d-ncipher restart
- Windows：net stop "nfast server" && net start "nfast server"

選項 3：設定網路附加 HSM (nShield Connect)

如果是網路連接的 HSM，您可以從遠端推送設定：

確認 RFS (遠端檔案系統) 已啟用設定推送功能。

複製 HSM 設定檔：

cp /opt/nfast/kmdata/hsm-ESN/config/config /opt/nfast/kmdata/hsm-ESN/config/config.new

編輯 config.new，新增稽核記錄設定：

[audit_logging]
auditlog_addr=<BINDPLANE_IP>
auditlog_port=514

將設定推送至 HSM：
```
cfg-pushnethsm --address=<HSM_IP> /opt/nfast/kmdata/hsm-ESN/config/config.new
```
- 將 <HSM_IP> 替換為 nShield Connect HSM 的 IP 位址。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`desc`	`metadata.description`	直接對應
`ts`	`metadata.event_timestamp`	已剖析為 `MMM d HH:mm:ss`
`has_principal`	`metadata.event_type`	對應：`true` → `STATUS_UPDATE`
`has_user`	`metadata.event_type`	對應：`true` → `USER_UNCATEGORIZED`
`product_event`	`metadata.product_event_type`	直接對應
`session_id`	`network.session_id`	直接對應
`application`	`principal.application`	直接對應
`ip`	`principal.asset.ip`	已合併
`rhost`	`principal.asset.ip`	已合併
`ip`	`principal.ip`	已合併
`rhost`	`principal.ip`	已合併
`port`	`principal.port`	直接對應
`user`	`principal.user.userid`	直接對應
不適用	`metadata.event_type`	常數：`USER_UNCATEGORIZED`
不適用	`metadata.product_name`	常數：`Entrust nShield HSM`
不適用	`metadata.vendor_name`	常數：`ENTRUST HSM`

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。