收集 IBM Security Access Manager 日志
支持：
Google SecOps
SIEM
本文档介绍了如何使用 Bindplane 将 IBM Security Access Manager 日志注入到 Google Security Operations。
IBM Verify Identity Access（前身为 IBM Security Access Manager / IBM Security Verify Access）是一种基于网络设备的安全解决方案，可提供访问管理、Web 安全和身份验证服务。它使用反向代理架构 (WebSEAL) 为基于 Web 的资源强制执行安全政策，并生成对安全监控至关重要的审核、身份验证、授权和系统日志。
准备工作
请确保满足以下前提条件：
- Google SecOps 实例
- Windows Server 2016 或更高版本，或者具有
systemd的 Linux 主机 - Bindplane 代理与 IBM Verify Identity Access 设备之间的网络连接
- 如果通过代理运行，请确保防火墙端口处于开放状态
- 对 IBM Verify Identity Access Local Management Interface (LMI) 的特权访问权限
获取 Bindplane 代理的 Google SecOps 凭证
如需向 Google SecOps 验证 Bindplane 代理，请选择以下方法之一：
- 新部署：使用 Chronicle API（选项 1）。
- 旧版部署：继续使用数据注入身份验证文件（方法 2），直到 Ingestion API 于 2027 年 7 月 20 日停用。
方法 1：为 Chronicle API 创建服务账号（推荐）
- 登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
- 前往 IAM 和管理 > 服务账号。
- 点击创建服务账号。
- 提供以下配置详细信息：
- 服务账号名称：输入账号的名称（例如
bindplane-ingest）。 - 服务账号说明：输入说明（例如
Bindplane agent log ingestion）。
- 服务账号名称：输入账号的名称（例如
- 点击创建并继续。
- 在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
- 点击继续，然后点击完成。
- 点击您创建的服务账号，然后前往密钥标签页。
- 依次点击添加密钥 > 创建新密钥。
- 选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
- 将密钥文件另存为 Bindplane 收集器目录（Linux 上的
/opt/observiq-otel-collector/ingestion-auth.json或 Windows 上的C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的ingestion-auth.json，或更新config.yaml中的creds_file_path以匹配您保存该文件的路径。 - 前往 IAM 和管理 > 设置，然后复制项目编号。您在配置导出器时需要用到该名称。
方法 2：下载数据注入身份验证文件（旧版）
- 登录 Google SecOps 控制台。
- 前往 SIEM 设置> 收集代理。
- 下载数据注入身份验证文件。
- 将文件安全地保存在将安装 Bindplane 代理的系统上。
获取 Google SecOps 客户 ID
- 登录 Google SecOps 控制台。
- 依次前往 SIEM 设置 > 配置文件。
- 从组织详细信息部分复制并保存客户 ID。
安装 Bindplane 代理
根据以下说明，在 Windows 或 Linux 操作系统上安装 Bindplane 代理。
Windows 安装
- 以管理员身份打开命令提示符或 PowerShell。
运行以下命令：
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet等待安装完成。
运行以下命令，验证安装是否成功：
sc query observiq-otel-collector该服务应显示为 RUNNING。
Linux 安装
- 打开具有 root 或 sudo 权限的终端。
运行以下命令：
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh等待安装完成。
运行以下命令，验证安装是否成功：
sudo systemctl status observiq-otel-collector该服务应显示为 active (running)。
其他安装资源
如需了解其他安装选项和问题排查，请参阅 Bindplane 代理安装指南。
配置 Bindplane 代理以注入 syslog 并发送到 Google SecOps
找到配置文件
Linux：
sudo nano /opt/observiq-otel-collector/config.yamlWindows：
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
修改配置文件
将
config.yaml的全部内容替换为以下配置：receivers: udplog: listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: protocol: https # Region of your instance, for example us, europe, asia-southeast1 location: <LOCATION> # Project number of the Google Cloud project linked to the instance project: '<PROJECT_NUMBER>' compression: gzip creds_file_path: '/path/to/ingestion-authentication-file.json' customer_id: '<customer_id>' endpoint: chronicle.googleapis.com log_type: 'IBM_SAM' raw_log_field: body ingestion_labels: service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels
配置参数
替换以下占位符：
接收器配置：
listen_address：Bindplane 代理监听传入的 syslog 消息所用的 IP 地址和端口。使用0.0.0.0:514监听端口514上的所有接口。如果514已在使用，或者您偏好使用非特权端口（例如1514），请更改端口。- 如需使用 TCP 而非 UDP，请在
receivers部分和pipelines部分中将udplog替换为tcplog。
导出器配置：
creds_file_path：服务账号 JSON 密钥文件的完整路径（选项 1）：- Linux：
/opt/observiq-otel-collector/ingestion-auth.json - Windows：
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux：
customer_id：之前复制的 Google SecOps 客户 ID。location：将<LOCATION>替换为 Google SecOps 实例所在的区域（例如us、europe或asia-southeast1）。导出工具会在此值前面加上chronicle.googleapis.com。如需查看完整列表，请参阅区域级端点。project：将<PROJECT_NUMBER>替换为 IAM 和管理 > 设置中的项目编号。endpoint：保持设置为chronicle.googleapis.com。log_type：必须设置为IBM_SAM。
旧版提取 API 导出工具
如果您使用选项 2 中的提取身份验证文件，请将
exporters代码块替换为以下内容。将creds_file_path设置为提取身份验证文件的路径，如果您的实例位于美国境外，请将malachiteingestion-pa.googleapis.com替换为您的区域端点（例如europe-malachiteingestion-pa.googleapis.com）。exporters: chronicle/chronicle_w_labels: compression: gzip creds_file_path: '/path/to/ingestion-authentication-file.json' customer_id: '<customer_id>' endpoint: malachiteingestion-pa.googleapis.com log_type: 'IBM_SAM' raw_log_field: body ingestion_labels:
保存配置文件
修改后，保存文件：
- Linux：依次按
Ctrl+O、Enter和Ctrl+X - Windows：依次点击文件 > 保存
重启 Bindplane 代理以应用更改
如需在 Linux 中重启 Bindplane 代理，请执行以下操作：
运行以下命令：
sudo systemctl restart observiq-otel-collector验证服务是否正在运行：
sudo systemctl status observiq-otel-collector检查日志中是否存在错误：
sudo journalctl -u observiq-otel-collector -f
如需在 Windows 中重启 Bindplane 代理，请执行以下操作：
请从下列选项中选择一项：
以管理员身份运行命令提示符或 PowerShell：
net stop observiq-otel-collector && net start observiq-otel-collector服务控制台：
- 按
Win+R，输入services.msc，然后按 Enter 键。 - 找到 observIQ OpenTelemetry 收集器。
- 右键点击，然后选择重新启动。
- 按
验证服务是否正在运行：
sc query observiq-otel-collector检查日志中是否存在错误：
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
在 IBM Verify Identity Access 中配置 syslog 转发
添加远程 syslog 服务器定义
- 登录 IBM Verify Identity Access 本地管理界面 (LMI)。
- 依次前往监控 > 日志 > 远程 Syslog 转发。
- 在远程 Syslog 转发页面上，点击添加。
- 提供以下配置详细信息：
- 服务器：输入 Bindplane 代理主机的 IP 地址或主机名（例如
192.168.1.100）。 - 端口：输入 Bindplane 代理正在监听的端口号（例如
514）。 - 协议：选择 UDP 以与 Bindplane 代理配置中的
udplog接收器相匹配。如果您使用tcplog配置了 Bindplane 代理，请选择 TCP。 - 格式：选择 syslog 消息格式：
- BSD Syslog 协议 - RFC 3164 格式（推荐，兼容性最广泛）。
- Syslog 协议 - RFC 5424 格式。
- 调试：除非需要排查问题，否则请勿选中。启用后，系统会将其他调试信息写入
rsyslog_forwarder日志文件，该文件可从查看应用日志文件页面访问。
- 服务器：输入 Bindplane 代理主机的 IP 地址或主机名（例如
- 点击保存。
为远程 syslog 服务器配置日志来源
- 在远程 Syslog 转发页面上，选择您创建的远程 Syslog 服务器条目。
- 点击来源。
- 点击添加以添加日志来源。
- 提供以下配置详细信息：
- 名称：从下拉列表中选择日志来源。可用的日志来源包括：
- LMI 消息 - LMI 应用消息
- LMI 跟踪记录 - LMI 跟踪记录和调试日志
- LMI 访问 - LMI HTTP 访问日志
- 运行时消息 - 运行时环境消息
- 运行时跟踪 - 运行时跟踪和调试日志
- 运行时审核 - 运行时审核事件（身份验证、授权）
- 运行时日志 - 运行时应用日志
- WebSEAL - Web 反向代理日志（需要选择实例名称和日志文件）
- 授权服务器 - 授权服务器日志（需要选择实例名称和日志文件）
- 政策服务器 - 政策服务器日志（需要选择日志文件）
- 嵌入式用户注册表 - 嵌入式 LDAP 用户注册表日志
- 集群 - 集群管理日志
- 系统 - 操作系统级日志
- DSC - 分布式会话缓存日志
- FELB - 前端负载均衡器日志
- 实例名称：仅当在名称字段中选择 WebSEAL 或授权服务器时，此字段才可用。从下拉列表中选择实例名称（例如
default）。 - 日志文件：当您在名称字段中选择 WebSEAL、授权服务器、政策服务器或运行时日志时，此字段可用。从下拉列表中选择特定日志文件。
- 标记：为此日志来源输入一个唯一的标记名称。标记不得包含空格（例如
WebSEAL_Audit或RuntimeAudit）。 - Facility：为转发的日志条目选择 syslog 设施类别（例如
local0、local1、auth或user）。 - 严重程度：选择信息以捕获所有日志条目。
- 名称：从下拉列表中选择日志来源。可用的日志来源包括：
- 点击确定。
如需添加其他日志来源，请针对要转发的每个来源重复第 3 步到第 5 步。
点击保存以应用日志来源配置。
如需激活更改，请前往页面顶部，然后点击部署待更改项。在部署之前，syslog 转发配置处于非活动状态。
UDM 映射表
| 日志字段 | UDM 映射 | 逻辑 |
|---|---|---|
| sha256_value | additional.fields | 与映射 {key: "sha256_value", value: {string_value: sha256_value}} 和映射 {key: "connection_type", value: {string_value: connection_type}} 合并 |
| connection_type | additional.fields | |
| dvc_ip | intermediary.hostname | 如果 dvc_ip 不是有效 IP，则直接复制值 |
| dvc_ip | intermediary.ip | 如果 dvc_ip 是有效的 IP，则设置为 dvc_ip；合并来自 ip_address 的其他有效 IP，这些 IP 不等于 src_ip 或 dst_ip，不为空，也不是“-” |
| ip_address | intermediary.ip | |
| ts | metadata.collected_timestamp | 如果存在 ts2，则使用 yyyy-MM-ddTHH:mm:ss 从 ts2 解析；否则使用 ISO8601、MMM dd HH:mm:ss、MMM d HH:mm:ss 从 ts 解析 |
| ts2 | metadata.collected_timestamp | |
| 说明 | metadata.description | 直接复制值 |
| 时间戳 | metadata.event_timestamp | 使用日期格式 dd/MMM/yyyy:HH:mm:ss Z 或 yyyy-MM-dd-HH:mm:ss.SSSZZI 进行解析 |
| src_ip | metadata.event_type | 如果存在主账号（src_ip 或 src_host）、目标（dst_ip 或 target_hostname）和 http（method 或 response_code），则设置为“NETWORK_HTTP”；如果存在主账号和目标，则设置为“NETWORK_CONNECTION”；如果存在主账号，则设置为“STATUS_UPDATE”；否则设置为“GENERIC_EVENT” |
| src_host | metadata.event_type | |
| dst_ip | metadata.event_type | |
| target_hostname | metadata.event_type | |
| 方法 | metadata.event_type | |
| response_code | metadata.event_type | |
| product_event_type | metadata.product_event_type | 直接复制的值 |
| metadata.product_name | metadata.product_name | 设置为“IBM_SAM” |
| metadata.vendor_name | metadata.vendor_name | 设置为“IBM” |
| proto | network.application_protocol | 如果采用 HTTP、HTTPS，则直接复制值 |
| 版本 | network.application_protocol_version | 直接复制的值 |
| 方法 | network.http.method | method_value 中的值（如果不为空），否则为 method |
| method_value | network.http.method | |
| response_code | network.http.response_code | 已转换为整数 |
| ip_protocol_value | network.ip_protocol | 如果采用 TCP、UDP、ICMP，则直接复制值 |
| rcv_bytes | network.received_bytes | 已转换为无符号整数 |
| sent_bytes | network.sent_bytes | 已转换为 uinteger |
| request_id | network.session_id | 直接复制的值 |
| src_application | principal.application | 直接复制的值 |
| src_host | principal.asset.hostname | 直接复制的值 |
| src_ip | principal.asset.ip | 如果值不为空、空格、null、不适用、-，则直接复制 |
| file_name | principal.file.full_path | 直接复制的值 |
| src_host | principal.hostname | 直接复制的值 |
| src_ip | principal.ip | 如果值不为空、空格、null、不适用、-，则直接复制 |
| src_port | principal.port | 已转换为整数 |
| pid | principal.process.pid | 直接复制的值 |
| src_resource | principal.resource.name | 直接复制的值 |
| user_name | principal.user.userid | 如果不是未经身份验证或为空，则直接复制值 |
| 说明 | security_result.action | 如果说明包含“无法建立安全连接”“无法确定”或“已过期”，则设置为“BLOCK” |
| 和程度上减少 | security_result.severity | 直接复制值，WARNING 映射到 MEDIUM |
| user_name | security_result.summary | 如果 user_name == "unauthenticated"，则设置为“unauthenticated” |
| target_hostname | target.asset.hostname | 直接复制的值 |
| dst_ip | target.asset.ip | 如果值不为空、空格、null、不适用、-，则直接复制 |
| target_hostname | target.hostname | 直接复制值 |
| dst_ip | target.ip | 如果值不为空、空格、null、不适用、-，则直接复制 |
| 网址 | target.url | 由 url 和 url1 串联而成 |
| url1 | target.url | |
ip_protocol_value |
event.idm.read_only_udm.network.ip_protocol |
从更新日志映射 |
method_value |
event.idm.read_only_udm.network.http.method |
从更新日志映射 |
sha256_value |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
更新日志
需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。