收集 ION Spectrum 記錄

支援的國家/地區：

本文說明如何使用 Bindplane 代理程式，將 ION Spectrum 記錄擷取至 Google Security Operations。

ION Spectrum 是 ION Group 的金融交易和處理平台，用於外匯和多資產的前/中/後台自動化。並產生交易活動、系統事件和使用者作業的稽核記錄。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
  • Bindplane 代理程式與 ION Spectrum 伺服器之間的網路連線
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
  • 具備管理員權限的 ION Spectrum 伺服器特殊存取權

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案。

  4. 將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。

  3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sc query observiq-otel-collector

    服務應顯示為「RUNNING」。

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sudo systemctl status observiq-otel-collector

    服務應顯示為有效 (執行中)。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取記錄並傳送至 Google SecOps

找出設定檔

  • Linux：

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

  • 將 config.yaml 的所有內容替換為下列設定：

    receivers:
    filelog:
        include:
            - /opt/ion/spectrum/logs/*.csv
            - /opt/ion/spectrum/logs/*.log
        start_at: beginning
        poll_interval: 5s

exporters:
    chronicle/ion_spectrum:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: ION_SPECTRUM
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/ion_spectrum_to_chronicle:
            receivers:
                - filelog
            exporters:
                - chronicle/ion_spectrum

設定參數

替換下列預留位置：

  • 接收器設定：

    • include：ION Spectrum 記錄檔的路徑：
      • Windows：C:\ION\Spectrum\logs\*.csv 和 C:\ION\Spectrum\logs\*.log
      • Linux：/opt/ion/spectrum/logs/*.csv 和 /opt/ion/spectrum/logs/*.log
    • start_at：設為 beginning 可讀取現有記錄，設為 end 則只會讀取新項目
    • poll_interval：檢查新記錄資料的頻率 (預設：5s)

  • 匯出工具設定：

    • ion_spectrum：匯出工具的說明名稱
    • creds_file_path：擷取驗證檔案的完整路徑：
      • Linux：/etc/bindplane-agent/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <customer_id>：上一步中的客戶 ID
    • endpoint：區域端點網址：
      • 美國：malachiteingestion-pa.googleapis.com
      • 歐洲：europe-malachiteingestion-pa.googleapis.com
      • 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
      • 如需完整清單，請參閱「區域端點」
    • ION_SPECTRUM：記錄類型，與 Chronicle 中顯示的完全相同
    • ingestion_labels：YAML 格式的選用標籤 (例如 env: production)

  • 管道設定：

    • ion_spectrum_to_chronicle：管道的說明名稱

儲存設定檔

  • 編輯完成後，請儲存檔案：
    • Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

  • 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

    sudo systemctl restart observiq-otel-collector

    1. 確認服務正在執行：

      sudo systemctl status observiq-otel-collector

    2. 檢查記錄中是否有錯誤：

      sudo journalctl -u observiq-otel-collector -f

  • 如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列其中一個選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 服務控制台：

      1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出 observIQ OpenTelemetry Collector。
      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

      4. 確認服務正在執行：

        sc query observiq-otel-collector

      5. 檢查記錄中是否有錯誤：

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

設定 ION Spectrum 記錄檔收集功能

  1. 以管理員權限登入 ION Spectrum 伺服器。
  2. 前往 ION Spectrum 記錄目錄。常見的預設路徑包括：
    • Windows：C:\ION\Spectrum\logs\
    • Linux：/opt/ion/spectrum/logs/
  3. 確認系統是否產生下列記錄類型：
    • 稽核記錄：使用者活動、登入/登出事件和設定變更 (CSV 格式)。
    • 交易記錄：交易執行、訂單管理和結算事件。
    • 系統記錄：應用程式錯誤、警告和效能事件。
  4. 確認 Bindplane 代理程式對記錄目錄和檔案具有讀取權限。

  5. 如果 Bindplane 代理程式在與 ION Spectrum 不同的主機上執行，請設定網路檔案共用 (NFS 或 SMB)，讓 Bindplane 代理程式主機可存取記錄目錄。

UDM 對應表

記錄欄位 UDM 對應 邏輯
column5 metadata.event_timestamp 事件發生時的時間戳記
has_principal、has_target_user、column6 metadata.event_type 事件類型 (例如 USER_LOGIN、NETWORK_CONNECTION)
column6 metadata.product_event_type 產品定義的事件類型
第 1 欄 principal.asset.hostname 與主體相關聯的資產主機名稱
第 1 欄 principal.asset.ip 與主體相關聯的資產 IP 位址
第 1 欄 principal.hostname 與主體相關聯的主機名稱
第 1 欄 principal.ip 與主體相關聯的 IP 位址
column7 security_result.action 安全評估結果採取的行動
column7 security_result.action_details 安全性結果動作的詳細資料
column4 target.user.group_identifiers 目標使用者所屬群組的 ID
第 3 欄 target.user.user_display_name 目標使用者的顯示名稱
第 2 欄 target.user.userid 目標使用者的使用者 ID
metadata.product_name 產生事件的產品名稱
metadata.vendor_name 產生事件的供應商名稱
ION_SPECTRUM metadata.product_name 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。