收集 IBM Informix 日志
本文档介绍了如何使用 Bindplane 代理将 IBM Informix 日志注入 Google Security Operations。
IBM Informix 是一款高性能关系型数据库管理系统，通过其安全审核功能提供全面的审核日志记录功能。借助 Audit to Syslog (ASL) 功能，您可以将审核记录发送到 syslog 守护程序，以便中心化日志收集并与 SIEM 集成。
准备工作
请确保满足以下前提条件：
- Google SecOps 实例
- Windows Server 2016 或更高版本，或者具有
systemd的 Linux 主机 - Bindplane 代理与 IBM Informix 服务器之间的网络连接
- 如果在代理后面运行，请确保按照 Bindplane 代理要求打开防火墙端口
- 对 IBM Informix 服务器拥有管理员权限，且具有 AAO（审核管理员）角色
- IBM Informix 12.10 或更高版本（ASL 功能是在 12.10 版中引入的）
- 为要监控的用户或事件配置的审核掩码
获取 Bindplane 代理的 Google SecOps 凭据
如需向 Google SecOps 验证 Bindplane 代理，请选择以下方法之一：
- 新部署：使用 Chronicle API（选项 1）。
- 旧版部署：继续使用数据注入身份验证文件（方法 2），直到 Ingestion API 于 2027 年 7 月 20 日停用。
方法 1：为 Chronicle API 创建服务账号（推荐）
- 登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
- 前往 IAM 和管理 > 服务账号。
- 点击创建服务账号。
- 提供以下配置详细信息：
- 服务账号名称：输入账号的名称（例如
bindplane-ingest）。 - 服务账号说明：输入说明（例如
Bindplane agent log ingestion）。
- 服务账号名称：输入账号的名称（例如
- 点击创建并继续。
- 在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
- 点击继续，然后点击完成。
- 点击您创建的服务账号，然后前往密钥标签页。
- 依次点击添加密钥> 创建新密钥。
- 选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
- 将密钥文件另存为 Bindplane 收集器目录（在 Linux 上为
/opt/observiq-otel-collector/ingestion-auth.json，在 Windows 上为C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的ingestion-auth.json，或更新config.yaml中的creds_file_path以与您保存密钥文件的路径相匹配。 - 前往 IAM 和管理 > 设置，然后复制项目编号。您在配置导出器时需要用到该名称。
方法 2：下载数据注入身份验证文件（旧版）
- 登录 Google SecOps 控制台。
- 依次前往 SIEM 设置 > 收集代理。
- 下载数据注入身份验证文件。
- 将文件安全地保存在将要安装 Bindplane 代理的系统上。
获取 Google SecOps 客户 ID
- 登录 Google SecOps 控制台。
- 前往 SIEM 设置 > 个人资料。
复制并保存组织详细信息部分中的客户 ID。
安装 Bindplane 代理
根据以下说明，在 Windows 或 Linux 操作系统上安装 Bindplane 代理。
Windows 安装
- 以管理员身份打开命令提示符或 PowerShell。
运行以下命令：
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet等待安装完成。
运行以下命令，验证安装是否成功：
sc query observiq-otel-collector该服务应显示为 RUNNING。
Linux 安装
- 打开具有 root 或 sudo 权限的终端。
运行以下命令：
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh等待安装完成。
运行以下命令，验证安装是否成功：
sudo systemctl status observiq-otel-collector该服务应显示为 active (running)。
其他安装资源
如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。
配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps
找到配置文件
Linux：
sudo nano /opt/observiq-otel-collector/config.yamlWindows：
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
修改配置文件
将
config.yaml的全部内容替换为以下配置：receivers: udplog: listen_address: "0.0.0.0:514" exporters: chronicle/informix: protocol: https # Region of your instance, for example us, europe, asia-southeast1 location: <LOCATION> # Project number of the Google Cloud project linked to the instance project: '<PROJECT_NUMBER>' compression: gzip creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json' customer_id: 'YOUR_CUSTOMER_ID' endpoint: chronicle.googleapis.com log_type: INFORMIX raw_log_field: body ingestion_labels: env: production source: informix_audit service: pipelines: logs/informix_to_chronicle: receivers: - udplog exporters: - chronicle/informix替换以下占位符：
接收器配置：
listen_address：要监听的 IP 地址和端口：0.0.0.0:514，以监听端口 514（标准 syslog 端口）上的所有接口- 如果以非根用户身份在 Linux 上运行，请使用端口
1514或更高端口 - 调整端口号，使其与您的 Informix syslog 配置一致
导出器配置：
creds_file_path：服务账号 JSON 密钥文件的完整路径（选项 1）。请务必将凭据文件保存为ingestion-auth.json，并存储在以下某个位置：- Linux：
/opt/observiq-otel-collector/ingestion-auth.json - Windows：
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux：
customer_id：将YOUR_CUSTOMER_ID替换为上一步中的客户 IDlocation：将<LOCATION>替换为 Google SecOps 实例所在的区域（例如us、europe或asia-southeast1）。导出工具会在此值前面加上chronicle.googleapis.com。如需查看完整列表，请参阅区域级端点。project：将<PROJECT_NUMBER>替换为 IAM 和管理 > 设置中的项目编号。endpoint：保持设置为chronicle.googleapis.com。log_type：设置为INFORMIXingestion_labels：用于对日志进行分类的可选标签（可根据需要自定义）
TCP syslog 的配置示例
如果您更喜欢使用 TCP 来实现可靠传输，请改用以下配置：
receivers: tcplog: listen_address: "0.0.0.0:514" exporters: chronicle/informix: protocol: https # Region of your instance, for example us, europe, asia-southeast1 location: <LOCATION> # Project number of the Google Cloud project linked to the instance project: '<PROJECT_NUMBER>' compression: gzip creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json' customer_id: 'YOUR_CUSTOMER_ID' endpoint: chronicle.googleapis.com log_type: INFORMIX raw_log_field: body service: pipelines: logs/informix_to_chronicle: receivers: - tcplog exporters: - chronicle/informix
旧版提取 API
如果您使用选项 2 中的提取身份验证文件，请将
exporters代码块替换为以下内容。将creds_file_path设置为数据注入身份验证文件的路径，如果您的实例位于美国境外，请将malachiteingestion-pa.googleapis.com替换为您的区域端点（例如europe-malachiteingestion-pa.googleapis.com）。exporters: chronicle/informix: compression: gzip creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json' customer_id: 'YOUR_CUSTOMER_ID' endpoint: malachiteingestion-pa.googleapis.com log_type: INFORMIX raw_log_field: body ingestion_labels: env: production source: informix_audit
保存配置文件
修改后，保存文件：
- Linux：依次按
Ctrl+O、Enter和Ctrl+X - Windows：依次点击文件 > 保存
重启 Bindplane 代理以应用更改
如需在 Linux 中重启 Bindplane 代理，请执行以下操作：
运行以下命令：
sudo systemctl restart observiq-otel-collector验证服务是否正在运行：
sudo systemctl status observiq-otel-collector检查日志中的错误：
sudo journalctl -u observiq-otel-collector -f
如需在 Windows 中重启 Bindplane 代理，请执行以下操作：
请从下列选项中选择一项：
以管理员身份运行命令提示符或 PowerShell：
net stop observiq-otel-collector && net start observiq-otel-collector服务控制台：
- 按
Win+R，输入services.msc，然后按 Enter 键。 - 找到 observIQ OpenTelemetry 收集器。
- 右键点击，然后选择重新启动。
- 按
验证服务是否正在运行：
sc query observiq-otel-collector检查日志中是否存在错误：
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
配置 IBM Informix syslog 转发
创建审核遮盖
在启用审核之前，您必须创建审核掩码，以定义要针对哪些用户审核哪些事件。
以具有 AAO 角色的用户身份连接到 IBM Informix 服务器。
为所有用户创建默认审核掩码，以审核常见的数据库事件：
onaudit -a -u _default -e +OPDB,GRDB,CRTB,ALTB,DRTB此命令会创建
_default掩码并审核以下事件：- OPDB：开放数据库
- GRDB：授予数据库访问权限
- CRTB：创建表
- ALTB：修改表
- DRTB：删除表
如需针对数据修改启用行级审核，请创建包含行级事件的掩码：
onaudit -a -u _require -e +DLRW,INRW,UPRW,RDRW此命令会创建
_require掩码和审核：- DLRW：删除行
- INRW：插入行
- UPRW：更新行
- RDRW：读取行
如需为特定用户创建遮盖，请将
_default替换为相应用户名：onaudit -a -u username -e +OPDB,GRDB,CRTB,ALTB,DRTB,DLRW,INRW,UPRW验证审核掩码是否已创建：
onaudit -o
启用审核到 Syslog (ASL)
启用 ASL 审核并配置 syslog 参数：
onaudit -E on -F LOG_LOCAL0 -I informix_audit -P LOG_INFO此命令会执行以下操作：
-E on：启用“审核到 Syslog”功能-F LOG_LOCAL0：将 syslog 设施设置为 LOG_LOCAL0（建议用于过滤）-I informix_audit：将 syslog 标识符设置为informix_audit（显示在 syslog 消息中）-P LOG_INFO：将 syslog 优先级设置为 LOG_INFO
为数据库管理员启用强制性审核：
onaudit -A on -S on此命令会执行以下操作：
-A on：为 DBSA（数据库服务器管理员）组启用强制审核-S on：为 DBSSO（数据库安全官）群组启用强制性审核
如果您想为带有 AUDIT 标志的表启用行级审核，请执行以下操作：
onaudit -R 1此命令会将 ADTROWS 参数设置为 1，从而启用选择性行级审核。
验证审核配置：
onaudit -c输出应如下所示：
ADT_SYSLOG_ENABLED = 1ADT_SYSLOG_FACILITY = LOG_LOCAL0ADT_SYSLOG_IDENTIFIER = informix_auditADT_SYSLOG_PRIORITY = LOG_INFOADT_DBSA = 1（如果已启用）ADT_DBSSO = 1（如已启用）
配置 syslog 守护程序以转发到 Bindplane 代理
Informix ASL 功能会将审核记录发送到本地 syslog 守护程序。您必须配置 syslog 守护程序，以将这些消息转发到 Bindplane 代理。
对于 rsyslog（在 Linux 上最常见）：
创建新的 rsyslog 配置文件：
sudo nano /etc/rsyslog.d/30-informix-audit.conf添加以下配置以转发 Informix 审核日志：
# Forward Informix audit logs to Bindplane agent local0.* @127.0.0.1:514如果您在
onaudit -F命令中配置了其他设备，请将local0替换为您的设备（例如local1、local2等）。如果 Bindplane 代理位于其他服务器上，请将
127.0.0.1替换为 Bindplane 代理的 IP 地址。对于 TCP 转发（更可靠），请使用
@@而不是@：local0.* @@127.0.0.1:514保存文件并重启 rsyslog：
sudo systemctl restart rsyslog验证 rsyslog 是否正在运行：
sudo systemctl status rsyslog
对于 syslog-ng：
修改 syslog-ng 配置文件：
sudo nano /etc/syslog-ng/syslog-ng.conf添加以下配置：
# Define destination for Bindplane agent destination d_bindplane { udp("127.0.0.1" port(514)); }; # Filter for Informix audit logs filter f_informix { facility(local0); }; # Log path to forward Informix logs log { source(s_src); filter(f_informix); destination(d_bindplane); };保存文件并重启 syslog-ng：
sudo systemctl restart syslog-ng
测试配置
通过连接到数据库来生成测试审核事件：
dbaccess stores_demo然后退出数据库。
检查 Bindplane 代理日志，验证是否正在接收审核记录：
Linux：
sudo journalctl -u observiq-otel-collector -f | grep informixWindows：
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log" | findstr informix您还可以使用
onshowaudit实用程序查看 syslog 文件中的审核记录：onshowaudit -f /var/log/syslog -u your_username
审核日志格式
通过 syslog 发送的 Informix 审核日志采用以下格式：
Jan 12 11:59:21 hostname informix_audit: ONLN|2021-01-12 18:59:21.512|hostname|31055|servername|username|0:OPDB:stores_demo:0:-格式包括：
- Syslog 时间戳和主机名（由 syslog 守护程序添加）
- Syslog 标识符（使用
-I选项配置） - 服务器状态（ONLN = 在线）
- Informix 时间戳
- 主机名
- 进程 ID
- 服务器名称
- 用户名
- 活动代码和详细信息（以竖线分隔）
其他配置选项
如需设置 syslog 选项，请执行以下操作：
onaudit -O LOG_NDELAY,LOG_PID可用选项：
LOG_NDELAY：立即打开连接（默认）LOG_ODELAY：延迟打开连接（与 LOG_NDELAY 互斥）LOG_PID：在消息中包含进程 IDLOG_CONS：如果 syslog 不可用，则写入控制台LOG_PERROR：同时写入 stderr 和 syslog
如需更改审核文件路径（适用于经典审核），请执行以下操作：
onaudit -p /path/to/audit/directory设置审核文件大小上限：
onaudit -s 50000000这会将大小上限设置为 50 MB（以字节为单位的值）。
如需手动启动新的审核文件，请执行以下操作：
onaudit -n如需设置错误处理模式，请执行以下操作：
onaudit -e 1
错误模式：
0：继续处理并记录错误（默认）1：暂停线程，直到可以写入审核记录3：关闭服务器
UDM 映射表
| 日志字段 | UDM 映射 | 逻辑 |
|---|---|---|
| id, dequeue_count, RequestId | about.labels | 已与“消息 ID”“出队计数”“请求 ID”的标签合并 |
| 时间戳 | metadata.event_timestamp | 已使用以下格式转换：yyyy-MM-dd HH:mm:ss.SSS |
| 类型 | metadata.event_type | 如果 type == 'ERROR'，则设置为“GENERIC_EVENT”，否则设置为“SYSTEM_AUDIT_LOG_UNCATEGORIZED” |
| serverName | principal.asset.asset_id | 如果类型不是“ERROR”，则由“PRODUCT_SPECIFIC_ID: ”和 serverName 连接而成 |
| hostName | principal.hostname | 如果类型不是“ERROR”，则直接复制值 |
| processId | principal.process.pid | 如果类型不等于“ERROR”，则直接复制值 |
| eventOutput, eventName | principal.resource.attribute.labels | 与“活动输出”“活动名称”的标签合并 |
| dbName | principal.resource.name | 如果数据不等于“”，则直接复制值 |
| principal.resource.type | 如果 data != ""，则设置为“DATABASE” | |
| userName | principal.user.userid | 如果类型不等于“ERROR”，则直接复制值 |
| errorCode, type | security_result.action | 如果 type == 'ERROR'，则设置为“BLOCK”；如果 errorCode == '0'，则设置为“ALLOW”；否则设置为“BLOCK” |
| 异常 | security_result.description | 如果 kv_data_1 != ""，则直接复制值 |
| ErrorCode | security_result.rule_name | 如果 kv_data_1 != ""，则直接复制值 |
| 说明 | security_result.summary | 如果 description != ""，则直接复制值 |
| blob_name, file_name | target.file.full_path | 如果 type == 'ERROR'，则为 blob_name 中的值，否则为 file_name |
| metadata.product_name | 设置为“INFORMIX” | |
| metadata.vendor_name | 设置为“IBM” |
更新日志
需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。