收集 Evision FircoSoft 記錄

剖析器版本：1.0

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane 代理程式，將 Evision FircoSoft 記錄擷取至 Google Security Operations。

Evision FircoSoft (現為 LexisNexis Risk Solutions 的一部分，稱為 Firco Compliance Link) 是金融機構適用的地端部署金融犯罪法規遵循篩選平台。這項功能會偵測交易和訊息是否違反制裁規定、是否與政治公眾人物相符，以及是否涉及反洗錢風險。應用程式會將稽核記錄 (包括篩選決策、使用者存取事件、表格存取事件和設定變更) 儲存為本機檔案系統中的記錄檔。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
支援 observiq-otel-collector 服務的 Windows Server 2016 以上版本
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
FircoSoft (Firco Compliance Link) 伺服器及其記錄目錄的管理員存取權

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 的系統上。

注意： 這個 JSON 檔案包含驗證 Bindplane 代理程式與 Google SecOps 的憑證。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」部分中的客戶 ID。

注意： 設定 Bindplane 代理程式匯出工具時，必須提供客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安裝完成。
執行下列指令，確認安裝成功：
```
sc query observiq-otel-collector
```
服務應顯示為「RUNNING」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取記錄並傳送至 Google SecOps

找出設定檔

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的所有內容替換為下列設定：

receivers:
    filelog:
        include:
            - C:\FircoSoft\logs\*.log
        start_at: beginning

exporters:
    chronicle/evision_fircosoft:
        compression: gzip
        creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: EVISION_FIRCOSOFT
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/fircosoft_to_chronicle:
            receivers:
                - filelog
            exporters:
                - chronicle/evision_fircosoft

設定參數

替換下列預留位置：

接收器設定：
- filelog：從磁碟收集記錄檔的接收器類型
- include：要監控的檔案路徑清單。將此值設為 FircoSoft 寫入記錄檔的位置 (例如 C:\FircoSoft\logs\*.log)。調整路徑以符合安裝目錄
- start_at：設為 beginning 可讀取現有記錄，設為 end 則只會讀取新項目
匯出工具設定：
- evision_fircosoft：匯出工具的說明名稱
- creds_file_path：擷取驗證檔案的完整路徑：
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <customer_id>：上一步中的客戶 ID
- endpoint：區域端點網址：
  - 美國：malachiteingestion-pa.googleapis.com
  - 歐洲：europe-malachiteingestion-pa.googleapis.com
  - 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
  - 如需完整清單，請參閱「區域端點」
- EVISION_FIRCOSOFT：記錄類型，與 Chronicle 中顯示的完全相同
- ingestion_labels：YAML 格式的選用標籤 (例如 env: production)
管道設定：
- fircosoft_to_chronicle：管道的說明名稱

儲存設定檔

編輯完成後，請儲存檔案：
- Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列其中一個選項：
- 以管理員身分開啟命令提示字元或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服務控制台：
  1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
  2. 找出 observIQ OpenTelemetry Collector。
  3. 按一下滑鼠右鍵，然後選取「重新啟動」。
  4. 確認服務正在執行：
```
sc query observiq-otel-collector
```
  5. 檢查記錄中是否有錯誤：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

找出 FircoSoft 記錄檔位置

FircoSoft (Firco Compliance Link) 會將稽核和作業記錄檔寫入本機檔案系統。確切位置取決於安裝設定。

常見的預設記錄目錄：
- C:\FircoSoft\logs\
- C:\Program Files\FircoSoft\Firco Compliance Link\logs\
- 安裝期間設定的自訂目錄
如要判斷部署作業的記錄目錄，請按照下列步驟操作：
1. 登入 FircoSoft (Firco Compliance Link) 管理控制台。
2. 依序前往「Administration」(管理) >「System Configuration」(系統設定) (或「Server Settings」(伺服器設定))。
3. 找到「記錄目錄」或「輸出目錄」設定。
4. 記下設定的路徑。
FircoSoft 通常會寫入下列記錄檔類型：
- 稽核追蹤記錄 (使用者存取權、篩選決策、設定變更)
- 統計記錄 (交易篩選量和結果)
- 應用程式作業記錄
更新 Bindplane 代理程式 config.yaml 中的 include 路徑，確保與伺服器上的實際記錄目錄相符：
```
receivers:
    filelog:
        include:
            - C:\FircoSoft\logs\*.log
```
- 將 `C:\FircoSoft\logs` 替換為步驟 2 中的實際路徑。
- 使用萬用字元模式 (*.log、*.txt、*.xml) 比對部署作業中使用的記錄檔格式。
注意： Bindplane 代理程式服務帳戶必須具備記錄目錄的讀取權限。FircoSoft 記錄檔可能為分隔符號文字或 XML 格式，視部署設定而定。

UDM 對應表

記錄欄位	UDM 對應	邏輯
日期、時間	metadata.event_timestamp	已使用 yyyy-MM-dd HH:mm:ss.SSS 格式轉換
	metadata.event_type	設為「USER_RESOURCE_ACCESS」
自然	metadata.product_event_type	如果 nature ==「C」，則設為「Estadisticas」，否則如果 nature ==「A」，則設為「Otros」
使用者	principal.user.userid	直接複製值
成功	security_result.action	如果 success =~ "SI"，則設為「ALLOW」，否則如果 success =~ "NO"，則設為「BLOCK」
詳細資料	security_result.action_details	直接複製值
資料表	target.resource.name	直接複製值
	metadata.product_name	設為「Fircosoft」
	metadata.vendor_name	設為「eVision」

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。