收集 iBoss Web 代理日志

支持的环境：

本文档介绍了如何使用 Bindplane 将 iBoss Web 代理日志注入 Google Security Operations。

iBoss 是一个云原生零信任安全访问服务边缘 (SASE) 平台，可提供安全的互联网访问、安全 Web 网关 (SWG)、CASB、ZTNA 和 DLP 功能。它通过其云基础架构路由流量，无论用户身在何处，都能为用户强制执行一致的安全政策和威胁防护。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例
  • Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
  • Bindplane 代理与 iBoss 云平台之间的网络连接
  • 如果通过代理运行，请确保防火墙端口根据 Bindplane 代理要求处于开放状态
  • 对 iBoss 门户拥有管理员访问权限，并具有配置集成 Marketplace 的权限

获取 Google SecOps 注入身份验证文件

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。
  3. 下载数据注入身份验证文件 。将该文件安全地保存在将安装 Bindplane 的 系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 个人资料。
  3. 从组织详细信息 部分复制并保存客户 ID 。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符 或 PowerShell 。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sc query observiq-otel-collector

    该服务应显示为 RUNNING 。

Linux 安装

  1. 打开具有根权限或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sudo systemctl status observiq-otel-collector

    该服务应显示为 active (running) 。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并发送到 Google SecOps

找到配置文件

  • Linux ：

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows ：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

  • 将 config.yaml 的全部内容替换为以下配置：

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/iboss_webproxy:
        compression: gzip
        creds_file_path: '<CREDS_FILE_PATH>'
        customer_id: '<CUSTOMER_ID>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: IBOSS_WEBPROXY
        raw_log_field: body
        ingestion_labels:
            log_source: iboss

service:
    pipelines:
        logs/iboss_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/iboss_webproxy

配置参数

替换以下占位符：

  • 接收器配置：

    • listen_address：Bindplane 代理监听传入 syslog 消息的 IP 地址和端口。使用 0.0.0.0 监听所有接口。该端口必须与 iBoss syslog 转发设置中配置的端口一致。

    • 如果 iBoss 配置为通过 TCP 发送日志，请将 udplog 接收器替换为 tcplog：

      receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

  • 导出器配置：

    • <CREDS_FILE_PATH>：注入身份验证文件的完整路径：
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <CUSTOMER_ID>：之前复制的 Google SecOps 客户 ID。
    • endpoint：区域级端点网址：
      • 美国：malachiteingestion-pa.googleapis.com
      • 欧洲: europe-malachiteingestion-pa.googleapis.com
      • 亚洲: asia-southeast1-malachiteingestion-pa.googleapis.com
      • 如需查看完整列表，请参阅区域级端点。

保存配置文件

修改后，保存该文件：

  • Linux：按 Ctrl+O，然后按 Enter，再按 Ctrl+X
  • Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

  1. 运行以下命令：

    sudo systemctl restart observiq-otel-collector

  2. 验证服务是否正在运行：

    sudo systemctl status observiq-otel-collector

  3. 检查日志中的错误：

    sudo journalctl -u observiq-otel-collector -f

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

  1. 请从下列选项中选择一项：

    • 以管理员身份运行命令提示符或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • “服务”控制台：

      1. 按 Win+R，输入 services.msc，然后按 Enter 键。
      2. 找到 observIQ OpenTelemetry Collector 。
      3. 右键点击并选择重启 。

  2. 验证服务是否正在运行：

    sc query observiq-otel-collector

  3. 检查日志中的错误：

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

配置 iBoss syslog 转发

  1. 登录 iBoss 门户。
  2. 前往集成 Marketplace ，然后从左侧菜单中选择日志转发 ，并点击与 Syslog 日志转发 widget 关联的配置 按钮。
  3. 点击添加集成 按钮以添加 Syslog 集成。

  4. 提供以下配置详细信息：

    • 转发来源：从下拉列表中选择报告器。
    • 选择报告数据库：选择报告数据库。
    • 服务名称：输入集成的描述性名称（例如 SecOps-Bindplane）。
    • 启用服务：将此项设置为已启用。
    • 日志类型：从下拉列表中选择 网址 。这会捕获 Web 代理流量日志（HTTP/HTTPS 请求）。如需转发其他事件类别（例如 DLP 或 DNS），请使用相应的日志类型配置单独的集成。

    • 协议类型：从下拉列表中选择 UDP 或 TCP 。

    • Syslog 功能级别：从下拉列表中选择 Facility Syslog 。

    • 报告组：从下拉列表中选择全部。

    • 主机名：输入 Bindplane 代理主机的 IP 地址或完全限定域名。

    • 端口：输入与 Bindplane 代理配置中的 listen_address 端口一致的端口号（例如 514）。

    • 日志格式：从下拉列表中选择 JSON 。

    • 传输间隔：从下拉列表中选择持续。

    • 字段分隔符：从下拉列表中选择SPACE。

    • 发送 DLP/Web/DNS/恶意软件/审核/连接错误日志：根据您发送日志的偏好设置为启用。

    • 要转发的字段：添加除 DLP Base64 编码的元数据、Base64 编码的元数据 和 Chat GPT 消息 之外的所有字段。

  5. 点击添加服务 。

UDM 映射表

日志字段 UDM 映射 逻辑
intermediary intermediary 与事件相关的中介设备或服务的信息。
desc metadata.description 事件的其他说明。
metadata.event_type metadata.event_type 事件类型（例如 USER_LOGIN、NETWORK_CONNECTION）。
urlLogId metadata.product_log_id 产品中日志条目的唯一标识符。
requestMethod network.http.method 请求中使用的 HTTP 方法。
ref_url network.http.referral_url 将用户引荐到当前网页的网址。
response_Code network.http.response_code HTTP 响应代码。
user_Agent network.http.user_agent HTTP 请求中的用户代理字符串。
up_stream network.received_bytes 网络连接中收到的字节数。
down_stream network.sent_bytes 网络连接中发送的字节数。
computerName principal.asset.hostname 与主账号关联的资产的主机名。
computer_Mac_Address principal.asset.mac 与主账号关联的资产的 MAC 地址。
filtering_Group_Name principal.group.group_display_name 与主账号关联的群组的显示名。
computerName principal.hostname 主账号的主机名。
sourceIpAddress principal.ip 主账号的 IP 地址。
pri_ip principal.ip
pub_ip principal.ip
mac_address principal.mac 主账号的 MAC 地址。
src_port principal.port 主账号使用的端口号。
file_name principal.process.file.names 与进程关联的文件名。
username principal.user.userid 主账号的用户 ID。
sec_res security_result 安全分析结果，包括操作和类别。
host target.hostname 目标的主机名。
ipAddress target.ip 目标的 IP 地址。
targetPort target.port 目标的端口号。
uri_path target.process.file.full_path 目标上文件或资源的完整路径。
url target.url 目标的网址。
metadata.product_name metadata.product_name 生成事件的产品的名称。
metadata.vendor_name metadata.vendor_name 生产产品的供应商的名称。

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。