我們重新調整了說明文件的導覽結構，直接對應您的作業工作流程。詳情請參閱版本資訊和逐步解說影片。

Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 HashiCorp Vault 稽核記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 HashiCorp Vault 稽核記錄擷取至 Google Security Operations。

HashiCorp Vault 是密鑰管理和資料保護平台，可提供安全儲存空間、動態密鑰產生、資料加密，以及以身分為準的存取控管。保管箱會產生稽核記錄，記錄所有對保管箱的要求和回應，包括驗證、密鑰存取和政策變更。這些稽核記錄檔可透過 Syslog 轉送至 SIEM，用於安全監控和法規遵循。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體。
Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機。
Bindplane 代理程式與 HashiCorp Vault 伺服器之間的網路連線。
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟。
HashiCorp Vault 伺服器的特殊存取權 (根權杖或足夠的政策權限，可啟用稽核裝置)。

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

等待安裝完成。
執行下列指令，確認安裝成功：
```
sc query observiq-otel-collector
```

服務應顯示為「RUNNING」。

Linux 安裝

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

等待安裝完成。

執行下列指令，確認安裝成功：

sudo systemctl status observiq-otel-collector

服務應顯示為有效 (執行中)。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

Linux：

sudo nano /etc/bindplane-agent/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的所有內容替換為下列設定：

receivers:
  tcplog:
    listen_address: "0.0.0.0:1514"

exporters:
  chronicle/vault:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: 'your-customer-id-here'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: HASHICORP
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/vault_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/vault

設定參數

替換下列預留位置：

接收器設定：
- listen_address：要接聽的 IP 位址和通訊埠。使用 0.0.0.0 監聽所有介面。建議使用通訊埠 1514，以免需要 Linux 的 Root 權限。
匯出工具設定：
- creds_file_path：擷取驗證檔案的完整路徑：
  - Linux：/etc/bindplane-agent/ingestion-auth.json
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id：您的 Google SecOps 客戶 ID。
- endpoint：區域端點網址：
  - 美國：malachiteingestion-pa.googleapis.com
  - 歐洲：europe-malachiteingestion-pa.googleapis.com
  - 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
  - 如需完整清單，請參閱「區域端點」。
- ingestion_labels：YAML 格式的選用標籤 (例如 env: production)。

儲存設定檔

編輯完成後，請儲存檔案：

Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列步驟：

執行下列指令：

sudo systemctl restart observiq-otel-collector

確認服務正在執行：

sudo systemctl status observiq-otel-collector

檢查記錄中是否有錯誤：

sudo journalctl -u observiq-otel-collector -f

如要在 Windows 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

您可以選擇下列其中一個選項：
- 以管理員身分開啟命令提示字元或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服務控制台：
  1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
  2. 找出 observIQ OpenTelemetry Collector。
  3. 按一下滑鼠右鍵，然後選取「重新啟動」。
確認服務正在執行：
```
sc query observiq-otel-collector
```

檢查記錄中是否有錯誤：

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

透過系統記錄檔設定 HashiCorp Vault 稽核記錄轉送功能

保管箱稽核裝置會記錄所有要求和回應。您可以啟用 syslog 稽核裝置，將稽核記錄轉送至 Bindplane 代理程式。

啟用系統記錄稽核裝置

開啟終端機，存取 Vault CLI 和有效的 Vault 權杖。
執行下列指令，啟用系統記錄稽核裝置：
```
vault audit enable syslog tag="vault" facility="AUTH"
```
注意： tag 參數會為所有保管箱稽核記錄訊息設定系統記錄標記。facility 參數會指定系統記錄設施 (例如 AUTH、LOCAL0 至 LOCAL7)。
確認稽核裝置已啟用：
```
vault audit list
```

輸出內容應顯示系統記錄稽核裝置為「已啟用」。

設定將系統記錄檔轉送至 Bindplane 代理程式

啟用保管箱 syslog 稽核裝置後，請設定系統 syslog 精靈 (rsyslog 或 syslog-ng)，將保管箱稽核記錄轉送至 Bindplane 代理程式。

選項 - rsyslog 設定

建立新的 rsyslog 設定檔：

sudo nano /etc/rsyslog.d/50-vault-forward.conf

新增下列設定：
```
# Forward Vault audit logs to Bindplane agent
if $programname == 'vault' then @@BINDPLANE_IP:1514
```
將 BINDPLANE_IP 替換為 Bindplane 代理程式主機的 IP 位址。

注意： @@ 指定 TCP 傳輸。使用 @ 進行 UDP 傳輸。
重新啟動 rsyslog：
```
sudo systemctl restart rsyslog
```

選項 - syslog-ng 設定

編輯 syslog-ng 設定檔：

sudo nano /etc/syslog-ng/conf.d/vault-forward.conf

新增下列設定：

destination d_bindplane {
    network("BINDPLANE_IP" port(1514) transport("tcp"));
};

filter f_vault {
    program("vault");
};

log {
    source(s_src);
    filter(f_vault);
    destination(d_bindplane);
};

將 BINDPLANE_IP 替換為 Bindplane 代理程式主機的 IP 位址。

重新啟動 syslog-ng：
```
sudo systemctl restart syslog-ng
```

替代做法 - 使用記錄轉送器進行檔案式稽核

如果不想使用系統記錄稽核，可以啟用檔案稽核裝置並轉送檔案內容：

啟用檔案稽核裝置：

vault audit enable file file_path=/var/log/vault/audit.log

設定 rsyslog 監控及轉送檔案：

sudo nano /etc/rsyslog.d/50-vault-file-forward.conf

module(load="imfile")
input(type="imfile"
    File="/var/log/vault/audit.log"
    Tag="vault-audit"
    Severity="info"
    Facility="auth")

if $syslogtag == 'vault-audit' then @@BINDPLANE_IP:1514

將 BINDPLANE_IP 替換為 Bindplane 代理程式主機的 IP 位址。

重新啟動 rsyslog：
```
sudo systemctl restart rsyslog
```

確認記錄轉送

執行 Vault 作業 (例如登入或讀取密鑰)：
```
vault login token=<YOUR_TOKEN>
```
檢查 Bindplane 代理程式記錄，確認是否收到記錄。

詳情請參閱 HashiCorp Vault 稽核裝置說明文件。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`auth.client_token`	`network.session_id`	取自 `auth.client_token` 的值 (已雜湊處理)。
`auth.display_name`	`principal.user.user_display_name`	取自 `auth.display_name` 的值。
`auth.metadata.role_name`	`principal.user.attribute.roles.name`	取自 `auth.metadata.role_name` 的值。
`auth.policies`	`principal.user.attribute.permissions.name`	取自 `auth.policies` 陣列的值。
`auth.token_type`	`additional.fields`	從 `auth.token_type` 取得的值，並以鍵 `token_type` 新增。
`request.id`	`metadata.product_log_id`	取自 `request.id` 的值。
`request.operation`	`metadata.product_event_type`	取自 `request.operation` 的值。
`request.path`	`target.resource.name`	取自 `request.path` 的值。
`request.remote_address`	`principal.ip`	取自 `request.remote_address` 的值。
`request.namespace.id`	`target.namespace`	取自 `request.namespace.id` 的值。
`response.auth.client_token`	`network.session_id`	從回應 `client_token` (已雜湊處理) 中取得的值。
`type`	`metadata.product_event_type`	附加至作業 (例如 `request` 或 `response`)。
`time`	`metadata.event_timestamp`	剖析為 RFC 3339 時間戳記。
`error`	`security_result.description`	如有，則取自 `error` 的值。
	`metadata.vendor_name`	請設為「HashiCorp」HashiCorp。
	`metadata.product_name`	設為「保管箱」。
	`metadata.event_type`	如果是密鑰作業，請設為 USER_RESOURCE_ACCESS；如果是驗證作業，請設為 USER_LOGIN；否則請設為 GENERIC_EVENT。
`response.auth.metadata.username`	`event.idm.read_only_udm.target.user.userid`	從變更記錄對應
`appname`	`event.idm.read_only_udm.target.application`	從變更記錄對應
`priority`	`event.idm.read_only_udm.security_result.priority_details`	從變更記錄對應
`proc_id`	`event.idm.read_only_udm.observer.process.pid`	從變更記錄對應
`auth.policies`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`auth.token_policies`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`request.policy_override`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`response.data.admin_password`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`response.data.admin_token`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`response.data.admin_user`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`response.data.certificate`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`response.data.check_url`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`response.data.keystore`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`response.data.keystore_password`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`response.data.private_key`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`type`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`auth.identity_policies`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`request.data`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`facility`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`task`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`jsonPayload.auth.policy_results.granting_policies.type", "jsonPayload.auth.policy_results.granting_policies.name", and "jsonPayload.auth.policy_results.granting_policies.namespace_id`	`additional.fields`	從變更記錄對應
`jsonPayload.request.namespace.id`	`target.namespace`	從變更記錄對應
`jsonPayload.cos.googleapis.com/container_id", "jsonPayload.cos.googleapis.com/container_name", "jsonPayload.cos.googleapis.com/stream`	`additional.fields`	從變更記錄對應
`resource.labels.instance_id`	`principal.resource.product_object_id`	從變更記錄對應
`principal.resource.attribute.cloud.availability_zone`	`resource.labels.zone`	從變更記錄對應
`logName`	`security_result.category_details`	從變更記錄對應
`resource.labels.namespace_name`	`target.namespace`	從變更記錄對應
`resource.labels.pod_name", "resource.labels.container_name`	`additional.fields`	從變更記錄對應
`resource.labels.project_id`	`target.cloud.project.name`	從變更記錄對應
`resource.labels.location`	`target.location.name`	從變更記錄對應
`insertId`	`metadata.product_log_id`	從變更記錄對應
`labels.k8s-pod/app_kubernetes_io/instance", "labels.k8s-pod/app_kubernetes_io/name", "labels.k8s-pod/component", "labels.k8s-pod/helm_sh/chart", "labels.k8s-pod/controller-revision-hash", "labels.k8s-pod/vault-initialized", "labels.k8s-pod/vault-version", "labels.k8s-pod/vault-sealed", "labels.k8s-pod/vault-perf-standby", and "labels.k8s-pod/vault-active`	`target.resource.attribute.labels`	從變更記錄對應
`labels.compute.googleapis.com/resource_name`	`target.resource.name`	從變更記錄對應
`status`	`network.http.response_code`	從變更記錄對應
`runner`	`principal.user.userid`	從變更記錄對應
`job_id", "job_status`	`additional.fields`	從變更記錄對應
`host`	`observer.hostname`	從變更記錄對應
`cluster`	`observer.resource.name`	從變更記錄對應
`cluster`	`observer.resource.resource_type`	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。