Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

收集 Epic Systems 日志

解析器版本：4.0

支持：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 代理将 Epic Systems 日志注入到 Google Security Operations。

Epic Systems 是一个电子健康记录 (EHR) 平台，可为审核事件、用户登录/退出、患者访问和文件操作生成 CEF syslog 消息。解析器会提取键值对，并将其映射到统一数据模型 (UDM)。

准备工作

请确保满足以下前提条件：
Google SecOps 实例
Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
Bindplane 代理与 Epic Systems 服务器之间的网络连接
如果通过代理运行，请确保防火墙端口根据 Bindplane 代理要求处于开放状态
对 Epic Systems 的特权访问权限

获取 Bindplane 代理的 Google SecOps 凭证

如需向 Google SecOps 验证 Bindplane 代理的身份，请选择以下方法之一：

新部署：使用 Chronicle API（选项 1）。
旧版部署：继续使用数据注入身份验证文件（方法 2），直到 Ingestion API 于 2027 年 7 月 20 日停用。

方法 1：为 Chronicle API 创建服务账号（推荐）

登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
前往 IAM 和管理 > 服务账号。
点击创建服务账号。
提供以下配置详细信息：
- 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
- 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
点击创建并继续。
在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
点击继续，然后点击完成。
点击您创建的服务账号，然后前往密钥标签页。
依次点击添加密钥> 创建新密钥。
选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
将密钥文件另存为 Bindplane 收集器目录（Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的 ingestion-auth.json，或更新 config.yaml 中的 creds_file_path 以匹配您保存该文件的路径。
前往 IAM 和管理 > 设置，然后复制项目编号。您在配置导出器时需要用到该名称。

方法 2：下载数据注入身份验证文件（旧版）

登录 Google SecOps 控制台。
前往 SIEM 设置> 收集代理。
下载数据注入身份验证文件。
将文件安全地保存在将安装 Bindplane 代理的系统上。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
前往 SIEM 设置 > 个人资料。
从组织详细信息部分复制并保存客户 ID。

注意：配置 Bindplane 代理导出器时需要客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符或 PowerShell。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安装完成。
运行以下命令，验证安装是否成功：
```
sc query observiq-otel-collector
```
该服务应显示为正在运行。

Linux 安装

打开具有 root 或 sudo 权限的终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安装完成。
运行以下命令，验证安装是否成功：
```
sudo systemctl status observiq-otel-collector
```
该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 Syslog 并发送到 Google SecOps

找到配置文件

Linux：

sudo nano /opt/observiq-otel-collector/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

将 config.yaml 的全部内容替换为以下配置：

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/epic:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: EPIC
    raw_log_field: body

service:
  pipelines:
    logs/epic_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/epic

配置参数

替换以下占位符：

接收器配置：
- listen_address：要监听的 IP 地址和端口：
  - 0.0.0.0 在所有接口上监听（推荐）
  - 端口 514 是标准 syslog 端口（在 Linux 上需要 root 权限；对于非 root 用户，请使用 1514）
导出器配置：
- creds_file_path：服务账号 JSON 密钥文件的完整路径（选项 1）：
  - Linux：/opt/observiq-otel-collector/ingestion-auth.json
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id：从 Google SecOps 控制台复制的客户 ID
- location：将 <LOCATION> 替换为 Google SecOps 实例所在的区域（例如 us、europe 或 asia-southeast1）。导出工具会在此值前面加上 chronicle.googleapis.com。如需查看完整列表，请参阅区域级端点。
- project：将 <PROJECT_NUMBER> 替换为 IAM 和管理 > 设置中的项目编号。
- endpoint：保持设置为 chronicle.googleapis.com。

旧版提取 API 导出工具

如果您使用选项 2 中的提取身份验证文件，请将 exporters 代码块替换为以下内容。将 creds_file_path 设置为提取身份验证文件的路径，如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的区域端点（例如 europe-malachiteingestion-pa.googleapis.com）。
```
exporters:
  chronicle/epic:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: EPIC
    raw_log_field: body
```

保存配置文件

修改后，保存文件：
- Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
- Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

sudo systemctl restart observiq-otel-collector

验证服务是否正在运行：

sudo systemctl status observiq-otel-collector

检查日志中的错误：

sudo journalctl -u observiq-otel-collector -f

如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：
- 以管理员身份运行命令提示符或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- “服务”控制台：
  1. 按 Win+R，输入 services.msc，然后按 Enter 键。
  2. 找到 observIQ OpenTelemetry 收集器。
  3. 右键点击，然后选择重新启动。
  4. 验证服务是否正在运行：
```
sc query observiq-otel-collector
```
  5. 检查日志中是否存在错误：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

配置 SendSIEMSyslogAudit 服务

登录 Epic Systems 控制台。
依次前往开始 > Epic > Interconnect > <your instance> > 配置编辑器。
选择商业服务表单。
在服务类别标签页中，选择 SendSIEMSyslogAudit。
点击保存。

配置 Epic Systems 以导出 Syslog

依次前往 Epic 系统定义 > 安全 > 审核选项 > SIEM syslog 设置。
提供以下配置详细信息：
- 主机：输入 Bindplane 代理 IP 地址。
- 端口：输入 Bindplane 代理端口号。
- SIEM 格式：选择 CEF（通用事件格式）。
- Syslog 结束字符：选择换行符“\n”。
在 SIEM syslog 设置菜单中，选择 SIEM syslog。
点击已启用。

UDM 映射表

日志字段	UDM 映射	逻辑
APIID	read_only_udm.additional.fields.api.value.string_value	值取自原始日志中的 APIID 字段
APPLICATIONID	read_only_udm.additional.fields.application_id.value.string_value	值取自原始日志中的 APPLICATIONID 字段
应用	read_only_udm.target.application	值取自原始日志中的 APP 字段
审核会话	read_only_udm.network.session_id	值取自原始日志中的 AUDIT SESSION 字段
AUTH_SOURCE		此字段未映射到 UDM
BCAPCS	read_only_udm.target.application	值取自原始日志中的 BCAPCS 字段
BTGEXPLANATION	read_only_udm.security_result.description	值取自原始日志中的 BTGEXPLANATION 字段
BTGNOACCESSREAS	read_only_udm.security_result.summary	值取自原始日志中的 BTGNOACCESSREAS 字段
BTGREASON	read_only_udm.security_result.summary	值取自原始日志中的 BTGREASON 字段
CLIENTNAME	read_only_udm.principal.hostname	值取自原始日志中的 CLIENTNAME 字段
CSISESS_TOKEN	read_only_udm.network.session_id	值取自原始日志中的 CSISESS_TOKEN 字段
CTXT	read_only_udm.metadata.description	值取自原始日志中的 CTXT 字段
CVG	read_only_udm.additional.fields.cvg.value.string_value	值取自原始日志中的 CVG 字段
DAT		此字段未映射到 UDM
DEP	read_only_udm.principal.user.department	值取自原始日志中的 DEP 字段。如果原始日志中同时存在 NEWDEPARTMENT 和 PREVDEPARTMENT 字段，则值为 `PREVDEPARTMENT:-{PREVDEPARTMENT}, NEWDEPARTMENT:-{NEWDEPARTMENT}`。如果只有 NEWDEPARTMENT 存在，则值为 `PREVDEPARTMENT:-NONE, NEWDEPARTMENT:{NEWDEPARTMENT}`。如果只有 PREVDEPARTMENT，则值为 `PREVDEPARTMENT:{PREVDEPARTMENT}, NEWDEPARTMENT:-NONE`
devTime	read_only_udm.metadata.event_timestamp	值取自原始日志中的 devTime 字段，并转换为自公元纪年以来的秒数
devTimeFormat		此字段未映射到 UDM
E3MID	read_only_udm.network.session_id	值取自原始日志中的 E3MID 字段
已加密	read_only_udm.additional.fields.encrypt.value.string_value	值取自原始日志中的 ENCRYPTED 字段
ERRMSG	read_only_udm.security_result.summary	值取自原始日志中的 ERRMSG 字段
eventCnt		此字段未映射到 UDM
FILENAME	read_only_udm.target.file.full_path	值取自原始日志中的 FILENAME 字段，并且所有出现的 `\\\\` 都会替换为 `\`
标志	read_only_udm.security_result.description	值取自原始日志中的标志字段，并且所有前导和尾随 `-` 都会被移除
HKUAPVER	read_only_udm.metadata.product_version	值取自原始日志中的 HKUAPVER 字段
HKUDVCID	read_only_udm.principal.asset_id	值取自原始日志中的 HKUDVCID 字段，并格式化为 `Device ID:{HKUDVCID}`
HKUOSNAM	read_only_udm.principal.platform	值取自原始日志中的 HKUOSNAM 字段，并根据值映射到 `WINDOWS`、`MAC`、`LINUX` 或 `UNKNOWN_PLATFORM`
HKUOSVER	read_only_udm.principal.platform_version	值取自原始日志中的 HKUOSVER 字段
INSTANCEURN	read_only_udm.intermediary.hostname	值取自原始日志中的 INSTANCEURN 字段
IP	read_only_udm.target.ip	值取自原始日志中的 IP 字段。如果值包含 `/`，则会拆分为两个 IP 地址。如果该值包含 `,`，则会拆分为多个 IP 地址。
LOGINERROR	read_only_udm.security_result.summary	值取自原始日志中的 LOGINERROR 字段
LOGIN_CONTEXT	read_only_udm.metadata.description	值取自原始日志中的 LOGIN_CONTEXT 字段
LOGIN_DEVICE	read_only_udm.additional.fields.login_device.value.string_value	值取自原始日志中的 LOGIN_DEVICE 字段
LOGIN_LDAP_ID	read_only_udm.principal.user.userid	值取自原始日志中的 LOGIN_LDAP_ID 字段
LOGIN_REASON	read_only_udm.security_result.summary	值取自原始日志中的 LOGIN_REASON 字段
LOGIN_REVAL	read_only_udm.additional.fields.login_reval.value.string_value	值取自原始日志中的 LOGIN_REVAL 字段
MASKMODE	read_only_udm.additional.fields.masked_mode.value.string_value	值取自原始日志中的 MASKMODE 字段
MYCACCT	read_only_udm.principal.user.userid	值取自原始日志中的 MYCACCT 字段
NEWDEPARTMENT	read_only_udm.principal.user.department	查看 DEP 字段的逻辑
NEWUSER		此字段未映射到 UDM
NSC	read_only_udm.additional.fields.nsc.value.string_value	值取自原始日志中的 NSC 字段
OSUSR	read_only_udm.target.user.userid	值取自原始日志中的 OSUSR 字段
患者	read_only_udm.target.user.userid	值取自原始日志中的 PATIENT 字段
PREVDEPARTMENT	read_only_udm.principal.user.department	查看 DEP 字段的逻辑
PREVPROVIDER		此字段未映射到 UDM
PREVUSER	read_only_udm.principal.resource.attribute.labels.prev_user.value	值取自原始日志中的 PREVUSER 字段
PWREASON	read_only_udm.metadata.description	值取自原始日志中的 PWREASON 字段
角色	read_only_udm.principal.user.attribute.roles.name	值取自原始日志中的 ROLE 字段
资源	read_only_udm.target.hostname	值取自原始日志中的资源字段
SERVICEID	read_only_udm.additional.fields.service_id.value.string_value	值取自原始日志中的 SERVICEID 字段
SERVICECATEGORY	read_only_udm.additional.fields.service_category.value.string_value	值取自原始日志中的 SERVICECATEGORY 字段
SERVICEMSGID		此字段未映射到 UDM
SERVICENAME	read_only_udm.target.resource.name	值取自原始日志中的 SERVICENAME 字段
SERVICETYPE	read_only_udm.target.resource.type	值取自原始日志中的 SERVICETYPE 字段。如果 event_id 为 `PHI_CLIENT_FILE`，则该值设置为 `FILE`
SERVICE_USER	read_only_udm.target.user.userid	值取自原始日志中的 SERVICE_USER 字段
SERVICE_USERTYP	read_only_udm.additional.fields.service_user_type.value.string_value	值取自原始日志中的 SERVICE_USERTYP 字段
严重程度	read_only_udm.security_result.severity	值取自原始日志中的 sev 字段，并根据该值映射到 `LOW`、`HIGH` 或 `CRITICAL`
shost	read_only_udm.target.resource.attribute.labels.workstation_type.value	值取自原始日志中的 shost 字段
来源	read_only_udm.additional.fields.login_source.value.string_value	值取自原始日志中的 SOURCE 字段
SUCCESS	read_only_udm.additional.fields.success_yes_no.value.string_value	值取自原始日志中的 SUCCESS 字段
TIMEOUT	read_only_udm.additional.fields.time_out.value.string_value	值取自原始日志中的 TIMEOUT 字段
UID	read_only_udm.principal.user.userid	值取自原始日志中的 UID 字段
USERJOB		此字段未映射到 UDM
usrName	read_only_udm.principal.user.userid, read_only_udm.principal.user.user_display_name	如果原始日志中存在 UID 或 LOGIN_LDAP_ID 字段，则 usrName 用于 read_only_udm.principal.user.user_display_name，另一个字段用于 read_only_udm.principal.user.userid。否则，usrName 将用于 read_only_udm.principal.user.userid
WEBLGAPP	read_only_udm.target.application	值取自原始日志中的 WEBLGAPP 字段
	read_only_udm.extensions.auth.type	如果 LOGIN_LDAP_ID 不为空，则值设置为 `SSO`。否则，该值设置为 `AUTHTYPE_UNSPECIFIED`。
	read_only_udm.intermediary.ip	值设置为日志来源的 IP 地址。
	read_only_udm.metadata.event_type	如果 event_id 为 `IC_SERVICE_AUDIT`、`AC_BREAK_THE_GLASS_FAILED_ACCESS`、`AC_BREAK_THE_GLASS_INAPPROPRIATE_ATTEMPT`、`AC_BREAK_THE_GLASS_ACCESS` 或 `MCMEMEDISA` 之一，并且 target_ip_set 为 `true` 或 resource 不为空，则值设置为 `RESOURCE_READ`。如果 event_id 为 `FAILEDLOGIN`、`LOGIN`、`ROVER_FAILED_LOGIN`、`SWITCHUSER`、`AUTHENTICATION`、`EW_LOGIN`、`ROVER_LOGIN`、`CTO_FAILED_LOGIN`、`CTO_LOGIN`、`HKU_FAILED_LOGIN`、`HKU_LOGIN`、`WPSEC_SEC_AUTH_OPT_OUT`、`WPSEC_SEC_AUTH_OPT_IN`、`BCA_LOGIN_FAILURE`、`BCA_LOGIN_SUCCESS`、`BCA_USER_LOCKED`、`WPSEC_LOGIN_FAIL` 或 `WPSEC_LOGIN_SUCCESS`，且 target_ip_set、resource、SERVICENAME、SERVICETYPE 或 shost 中至少有一个不为空，则该值设置为 `USER_LOGIN`。如果 event_id 为 `E_ADMINPASSWORDCHANGE`、`E_FAILEDPASSWORDCHANGE`、`E_SELFPASSWORDCHANGE`、`WPSEC_USER_PASSWORD_CHANGE_FAIL` 或 `WPSEC_USER_PASSWORD_CHANGE`，则值设为 `USER_CHANGE_PASSWORD`。如果 event_id 为 `CONTEXTCHANGE`，则值设置为 `USER_UNCATEGORIZED`。如果 event_id 为 `SECURE`、`UNSECURE`、`MASKED_DATA_DISPLAY` 或 `MASKED_DATA_PRINTING` 之一，则将值设置为 `USER_RESOURCE_ACCESS`。如果 event_id 为 `PHI_CLIENT_FILE`，则值设置为 `USER_RESOURCE_UPDATE_CONTENT`。如果 CLIENTNAME 不为空，则将值设置为 `STATUS_UPDATE`。如果 prin_usr_id 不为空，则值设置为 `USER_UNCATEGORIZED`。否则，该值设置为 `GENERIC_EVENT`。
	read_only_udm.metadata.log_type	值设置为 `EPIC`。
	read_only_udm.metadata.product_name	值设置为 `Epic Systems`。
	read_only_udm.metadata.vendor_name	值设置为 `EPIC`。
	read_only_udm.network.ip_protocol	值派生自原始日志中的 proto 字段，并映射到相应的 IP 协议名称。
	read_only_udm.principal.resource.attribute.labels.workstation_type.key	值设置为 `Workstation ID/Type`。
	read_only_udm.principal.resource.attribute.labels.prev_user.key	值设置为 `Prev User`。
	read_only_udm.security_result.action	如果原始日志中存在 ERRMSG 或 LOGINERROR 字段，则该值设置为 `BLOCK`。
`REMOTEIP`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`CLIENTTYPE`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`INTERNETAREA`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`LOGINCLIENTID`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`LOGINCONTEXT`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`PERIMAUTHST`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`HYPACCESSID`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`UNRECDEVICE`	`event.idm.read_only_udm.additional.fields`	从更新日志映射

更新日志

查看此解析器的更新日志