收集 Claroty xDome for Healthcare 日志

本文档介绍了如何使用 Bindplane 代理将 Claroty xDome for Healthcare 日志注入到 Google SecOps。

Claroty xDome for Healthcare（前身为 Medigate Device Security Platform）是一个专注于医疗保健领域的网络安全平台，可为医疗 IoT (XIoT) 设备提供可见性、威胁检测和风险管理。该平台可监控已连接的医疗设备、识别漏洞、检测异常行为，并提供富有实用价值的分析洞见，以保护医疗保健网络免受网络威胁。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
• Bindplane 代理与 Claroty xDome for Healthcare 之间的网络连接
• 如果通过代理运行，请确保防火墙端口根据 Bindplane 代理要求处于开放状态
• 对 Claroty xDome for Healthcare 管理控制台的特权访问权限
• Claroty xDome for Healthcare 中的 Administrator 或 Security Manager 角色

获取 Bindplane 代理的 Google SecOps 凭证

如需向 Google SecOps 验证 Bindplane 代理的身份，请选择以下方法之一：

• 新部署：使用 Chronicle API（选项 1）。
• 旧版部署：继续使用数据注入身份验证文件（方法 2），直到 Ingestion API 于 2027 年 7 月 20 日停用。

方法 1：为 Chronicle API 创建服务账号（推荐）

1. 登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
2. 前往 IAM 和管理 > 服务账号。
3. 点击创建服务账号。
4. 提供以下配置详细信息：
   • 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
   • 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
5. 点击创建并继续。
6. 在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
7. 点击继续，然后点击完成。
8. 点击您创建的服务账号，然后前往密钥标签页。
9. 依次点击添加密钥 > 创建新密钥。
10. 选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
11. 将密钥文件另存为 Bindplane 收集器目录（Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的 ingestion-auth.json，或更新 config.yaml 中的 creds_file_path 以匹配您保存该文件的路径。
12. 前往 IAM 和管理 > 设置，然后复制项目编号。您需要此信息才能配置导出器。

方法 2：下载数据注入身份验证文件（旧版）

1. 登录 Google SecOps 控制台。
2. 前往 SIEM 设置> 收集代理。
3. 下载数据注入身份验证文件。
4. 将文件安全地保存在将安装 Bindplane 代理的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。
3. 从组织详细信息部分复制并保存客户 ID。

安装 Bindplane 代理

根据以下说明，在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sc query observiq-otel-collector
   

该服务应显示为正在运行。

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sudo systemctl status observiq-otel-collector
   

该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

• Linux：

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows：

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

修改配置文件

• 将 config.yaml 的全部内容替换为以下配置：

  receivers:
    syslog:
      tcp:
        listen_address: "0.0.0.0:514"
      protocol: rfc5424
  
  exporters:
    chronicle/claroty_xdome:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: chronicle.googleapis.com
      log_type: MEDIGATE_IOT
      raw_log_field: body
  
  service:
    pipelines:
      logs/claroty_to_chronicle:
        receivers:
          - syslog
        exporters:
          - chronicle/claroty_xdome
  

配置参数

• 替换以下占位符：

  • 接收器配置：

    • 接收器配置为使用 RFC 5424 协议的 TCP syslog
    • 监听地址 0.0.0.0:514 接受端口 514 上所有接口的连接
    • 对于 Linux 非 root 安装，请使用端口 1514 而不是 514

  • 导出器配置：

  • creds_file_path：服务账号 JSON 密钥文件的完整路径（选项 1）：

    • Linux：/opt/observiq-otel-collector/ingestion-auth.json
    • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

  • customer_id：将 YOUR_CUSTOMER_ID 替换为上一步中的客户 ID

  • location：将 <LOCATION> 替换为 Google SecOps 实例的区域（例如 us、europe 或 asia-southeast1）。导出器会使用此值作为 chronicle.googleapis.com 的前缀。如需查看完整列表，请参阅区域级端点。

  • project：将 <PROJECT_NUMBER> 替换为“IAM 和管理”>“设置”中的项目编号。

  • endpoint：保持设置为 chronicle.googleapis.com。

  • log_type：设置为 MEDIGATE_IOT（同时支持 Claroty 和 Medigate 日志格式）

• Linux 配置示例

  receivers:
    syslog:
      tcp:
        listen_address: "0.0.0.0:1514"
      protocol: rfc5424
  
  exporters:
    chronicle/claroty_xdome:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
      endpoint: chronicle.googleapis.com
      log_type: MEDIGATE_IOT
      raw_log_field: body
      ingestion_labels:
        env: production
        source: claroty_xdome
  
  service:
    pipelines:
      logs/claroty_to_chronicle:
        receivers:
          - syslog
        exporters:
          - chronicle/claroty_xdome
  

旧版提取 API

• 如果您使用选项 2 中的数据注入身份验证文件，请将 exporters 代码块替换为以下内容。将 creds_file_path 设置为提取身份验证文件的路径，如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的区域端点（例如 europe-malachiteingestion-pa.googleapis.com）。

  exporters:
    chronicle/claroty_xdome:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: MEDIGATE_IOT
      raw_log_field: body
  

保存配置文件

修改后，保存文件：

• Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
• Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

1. 运行以下命令：

   sudo systemctl restart observiq-otel-collector
   

2. 验证服务是否正在运行：

   sudo systemctl status observiq-otel-collector
   

3. 检查日志中的错误：

   sudo journalctl -u observiq-otel-collector -f
   

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

1. 请从下列选项中选择一项：

   • 以管理员身份运行命令提示符或 PowerShell：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • “服务”控制台：
     1. 按 Win+R，输入 services.msc，然后按 Enter 键。
     2. 找到 observIQ OpenTelemetry 收集器。
     3. 右键点击并选择重启。

2. 验证服务是否正在运行：

   sc query observiq-otel-collector
   

3. 检查日志中是否存在错误：

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

配置 Claroty xDome for Healthcare syslog 转发

登录 Claroty xDome for Healthcare

1. 登录 Claroty xDome for Healthcare Web 控制台。
2. 依次前往设置 > 系统设置 > 我的集成。

创建新的 Syslog 集成

1. 点击添加集成。
2. 在集成类型下拉菜单中，选择 Syslog。
3. 提供以下配置详细信息：
   • 集成名称：输入描述性名称（例如 Chronicle-SIEM）。
   • 说明（可选）：输入 Integration with Google Chronicle SIEM。

配置 syslog 服务器设置

在 Syslog 服务器部分中，提供以下详细信息：

• 主机：输入 Bindplane 代理主机（例如 192.168.1.100）的 IP 地址。
• 端口：输入 514（如果使用非根 Linux 安装，则输入 1514）。
• 协议：选择 TCP。
• Message Format（消息格式）：选择 CEF（通用事件格式）。
• Syslog 协议标准：选择 RFC 5424。

选择要导出的日志类型

在导出类型部分中，选择要转发到 Google SecOps 的日志类型：

• 提醒：安全提醒和风险提醒
• 漏洞：CVE 数据和漏洞信息
• 设备变更：资产清单变更
• OT 活动事件：操作技术通信事件

配置时区设置

1. 在时区部分，从下拉菜单中选择 UTC。

测试并保存配置

1. 点击测试连接，验证与 Bindplane 代理的连接。
2. 验证测试是否显示连接成功。
3. 点击保存以激活 syslog 集成。

验证日志转发

1. 等待 5-10 分钟，让日志开始流动。

2. 检查 Bindplane 代理日志，验证是否正在接收 syslog 消息：

   • Linux：

   sudo journalctl -u observiq-otel-collector -f | grep -i claroty
   

   • Windows：

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log" | findstr /i claroty
   

3. 登录 Google SecOps 控制台，验证 Claroty xDome for Healthcare 日志是否显示在搜索结果中。

UDM 映射表

日志字段	UDM 映射	逻辑
info_ip_desc	about.labels	与事件关联的标签
info.as_org	about.labels
info.org	about.labels
info.isp	about.labels
info.country_code	about.labels
info.malicious_anomali_info.itype	about.labels
info.malicious_anomali_info.ip	about.labels
info.malicious_anomali_info.source	about.labels
info.malicious_anomali_info.org	about.labels
info.malicious_anomali_info.country	about.labels
info.malicious_anomali_info.classification	about.labels
info.malicious_anomali_info.maltype	about.labels
info.malicious_anomali_info.stream_id	about.labels
info.malicious_anomali_info.threat_type	about.labels
info.malicious_anomali_info.resource_uri	about.labels
info.malicious_anomali_info.threatscore	about.labels
info.malicious_anomali_info.confidence	about.labels
info.malicious_anomali_info.source_reported_confidence	about.labels
info.protocol	about.labels
info.human_name	about.labels
info.dest.human_name	about.labels
info.network	about.labels
info.parent_human_name	about.labels
info.parent_uid	about.labels
target_ip_desc	about.labels
label_resource_uri	about.labels
label_threatscore	about.labels
label_confidence	about.labels
label_source_reported_confidence	about.labels
alert.mitre_technique_ids	additional.fields	有关事件的其他自由形式元数据
alert.mitre_technique_names	additional.fields
alert.mitre_technique_enterprise_ids	additional.fields
alert.mitre_technique_enterprise_names	additional.fields
affected_device.device_type_family	additional.fields
affected_device.connection_type_list	additional.fields
affected_device.network_list	additional.fields
msg_category	additional.fields
interface_name	additional.fields
interface_type	additional.fields
状态	additional.fields
alert_info.certificate_thumbprint	additional.fields
alert_info.certificate_expiry_date	additional.fields
alert_info.certificate_start_date	additional.fields
alert_info.certificate_type	additional.fields
affected_device.management_status	additional.fields
affected_device.labels	additional.fields
affected_device.site_name	additional.fields
events_extra_info.client_id	additional.fields
extensions.auth.type	extensions.auth.type	身份验证类型
主机名	intermediary.hostname	中间方的主机名
events_extra_info.malicious_ip_info.malicious_ip	intermediary.ip	中介的 IP 地址
incident_type	metadata.description	事件的说明
文本	metadata.description
events.description	metadata.description
metadata.event_type	metadata.event_type	事件类型
event_type	metadata.product_event_type	商品事件类型
events.type	metadata.product_event_type
incident_id	metadata.product_log_id	产品日志 ID
events.id	metadata.product_log_id
network.application_protocol	network.application_protocol	应用协议
network.direction	network.direction	网络连接的方向
protocol_number_src	network.ip_protocol	IP 协议
server_name	network.tls.client.server_name	客户端在 TLS 握手期间指示的服务器名称
alert_info.certificate_thumbprint	network.tls.server.certificate.sha256	服务器证书的 SHA256 哈希值
版本	network.tls.version	TLS 版本
proto	network.tls.version_protocol	TLS 版本协议
info.domain	principal.administrative_domain	主体的管理网域
events_extra_info.domain	principal.administrative_domain
affected_device.asset_id	principal.asset.asset_id	素材资源的资产 ID
硬件	principal.asset.hardware	相应资产的硬件
affected_device.device_name	principal.asset.hostname	资产的主机名
events_extra_info.certificate_info.CN	principal.asset.hostname
management_ip	principal.asset.ip	资产的 IP 地址
info.ip	principal.asset.ip
comm_tuple.src_ip	principal.asset.ip
info.tuple.2	principal.asset.ip
info.tuple.3	principal.asset.ip
affected_device.ip_list	principal.asset.ip
info.subject_components.CN	principal.hostname	主账号的主机名
affected_device.device_name	principal.hostname
events_extra_info.certificate_info.CN	principal.hostname
management_ip	principal.ip	主体的 IP 地址
info.ip	principal.ip
comm_tuple.src_ip	principal.ip
info.tuple.2	principal.ip
info.tuple.3	principal.ip
affected_device.ip_list	principal.ip
info.subject_components.L	principal.location.city	地点所属的城市
events_extra_info.certificate_info.L	principal.location.city
位置	principal.location.country_or_region	相应位置所在的国家或区域
info.subject_components.C	principal.location.country_or_region
events_extra_info.certificate_info.C	principal.location.country_or_region
info.subject_components.ST	principal.location.state	位置信息的状态
events_extra_info.certificate_info.ST	principal.location.state
principal.platform	principal.platform	主体的平台
affected_device.os	principal.platform_version	主账号的平台版本
device_uid	principal.resource.id	资源的 ID
info.device_type_family	principal.resource.name	资源的名称
affected_device.device_type	principal.resource.name
affected_device.uid	principal.resource.product_object_id	资源的商品对象 ID
affected_device.device_category	principal.resource.resource_subtype	资源的子类型
principal.resource.resource_type	principal.resource.resource_type	资源的类型
info.device_category	principal.resource.type	资源类型
updated_by	principal.user.userid	用户的 Userid
info.login_username	principal.user.userid
events_extra_info.sender_id	principal.user.userid
events_extra_info.username	principal.user.userid
info.malicious_anomali_info.itype	security_result.about.labels	与安全结果关联的标签
info.malicious_anomali_info.ip	security_result.about.labels
info.malicious_anomali_info.source	security_result.about.labels
info.malicious_anomali_info.org	security_result.about.labels
info.malicious_anomali_info.country	security_result.about.labels
info.malicious_anomali_info.classification	security_result.about.labels
info.malicious_anomali_info.maltype	security_result.about.labels
info.malicious_anomali_info.stream_id	security_result.about.labels
info.malicious_anomali_info.threat_type	security_result.about.labels
events_extra_info.malicious_ip_info.source	security_result.about.labels
events_extra_info.malicious_ip_info.threat_type	security_result.about.labels
security_result.category	security_result.category	安全结果的类别
alert.category	security_result.category_details	安全结果的类别详情
events_extra_info.malicious_ip_info.type	security_result.category_details
events_extra_info.malicious_ip_info.confidence	security_result.confidence_details	安全结果的置信度详情
alert.description	security_result.description	安全结果说明
alert.type_name	security_result.detection_fields	与安全结果关联的检测字段
alert.device_status	security_result.detection_fields
alert.category	security_result.detection_fields
alert.description	security_result.detection_fields
vulnerability_info.name	security_result.detection_fields
vulnerability_info.type	security_result.detection_fields
vulnerability_info.release_date	security_result.detection_fields
vulnerability_info.cves	security_result.detection_fields
vulnerability_info.cvssv3_base_score	security_result.detection_fields
vulnerability_info.description	security_result.detection_fields
vulnerability_info.affected_products	security_result.detection_fields
vulnerability_info.is_known_exploited	security_result.detection_fields
vulnerability_device_info.relevance_source	security_result.detection_fields
vulnerability_info.cvssv2_base_score	security_result.detection_fields
affected_device.device_subcategory	security_result.detection_fields
affected_device.retired	security_result.detection_fields
affected_device.app_version	security_result.detection_fields
events_extra_info.communication_type	security_result.detection_fields
events_extra_info.malicious_ip_info.tags	security_result.detection_fields
alert_info.certificate_thumbprint	security_result.detection_fields
alert_info.certificate_expiry_date	security_result.detection_fields
alert_info.certificate_start_date	security_result.detection_fields
alert_info.certificate_type	security_result.detection_fields
alert.id	security_result.rule_id	安全结果的规则 ID
events.alert_id	security_result.rule_id
alert.name	security_result.rule_name	安全结果的规则名称
info.malicious_anomali_info.severity	security_result.severity	安全结果的严重程度
affected_device.risk_score	security_result.severity_details	安全结果的严重级别详情
info.malicious_anomali_info.threat_type	security_result.threat_name	安全结果的威胁名称
events_extra_info.malicious_ip_info.threat_type	security_result.threat_name
target.asset.hostname	target.asset.hostname	目标资产的主机名
info.tuple.3	target.asset.ip	目标资产的 IP 地址
info.tuple.2	target.asset.ip
comm_tuple.dst_ip	target.asset.ip
info.file_name	target.file.full_path	目标文件的完整路径
events_extra_info.file_name	target.file.full_path
events_extra_info.file_type	target.file.mime_type	目标文件的 MIME 类型
info.fqdn	target.hostname	目标的主机名
info.tuple.3	target.ip	目标的 IP 地址
info.tuple.2	target.ip
comm_tuple.dst_ip	target.ip
国家/地区	target.location.country_or_region	目标地理位置所在的国家或区域
info.geolocation	target.location.country_or_region
国家/地区	target.location.country_or_region
events_extra_info.geo_location	target.location.country_or_region
state	target.location.state	目标位置的状态
state	target.location.state
target_mac	target.mac	目标的 MAC 地址
comm_tuple.dst_mac	target.mac
comm_tuple.dst_port	target.port	目标的端口
dest_device_uid	target.resource.id	目标资源的 ID
info.login_username	target.user.userid	目标用户的用户 ID
events_extra_info.username	target.user.userid
metadata.product_name	metadata.product_name	产品名称
metadata.vendor_name	metadata.vendor_name	供应商名称
events.id	event.idm.read_only_udm.metadata.product_log_id	从更新日志映射
affected_device.device_name	event.idm.read_only_udm.principal.hostname	从更新日志映射
affected_device.device_name	event.idm.read_only_udm.principal.asset.hostname	从更新日志映射
management_ip	event.idm.read_only_udm.principal.ip	从更新日志映射
management_ip	event.idm.read_only_udm.principal.asset.ip	从更新日志映射
updated_by	event.idm.read_only_udm.principal.user.userid	从更新日志映射
affected_device.os	event.idm.read_only_udm.principal.platform_version	从更新日志映射
affected_device.management_status	event.idm.read_only_udm.principal.resource.attribute.labels	从更新日志映射
affected_device.labels	event.idm.read_only_udm.principal.resource.attribute.labels	从更新日志映射
events_extra_info.direction	event.idm.read_only_udm.network.direction	从更新日志映射
events_extra_info.ip_protocol	event.idm.read_only_udm.network.ip_protocol	从更新日志映射
events.alert_id	event.idm.read_only_udm.security_result.rule_id	从更新日志映射
affected_device.risk_score	event.idm.read_only_udm.security_result.severity_details	从更新日志映射
events_extra_info.communication_type	event.idm.read_only_udm.security_result.detection_fields	从更新日志映射
vulnerability_info.name", "vulnerability_info.type", "vulnerability_info.release_date", "cve", "vulnerability_info.cvssv3_base_score", "vulnerability_info.description", "vulnerability_info.affected_products", "vulnerability_info.is_known_exploited", "vulnerability_device_info.relevance", "vulnerability_device_info.relevance_source", "vulnerability_info.cvssv2_base_score", "affected_device.device_subcategory", "affected_device.retired", and "affected_device.app_version	security_result.detection_fields	从更新日志映射
alert.type_name", "alert.device_status", "alert_info.certificate_thumbprint", "alert_info.certificate_expiry_date", "alert_info.certificate_start_date", and "alert_info.certificate_type	security_result.detection_fields	从更新日志映射
alert.mitre_technique_ids", "alert.mitre_technique_names", "alert.mitre_technique_enterprise_ids", "alert.mitre_technique_enterprise_names", "affected_device.device_type_family", "affected_device.connection_type_list", and "affected_device.network_list	additional.fields	从更新日志映射
affected_device.mac_list	principal.mac	从更新日志映射
msg_category", "interface_name", "interface_type", and "status	additional.fields	从更新日志映射
event_extra_info.malicious_ip_info.confidence	security_result.confidence_details	从更新日志映射
event_extra_info.malicious_ip_info.last_update	target.file.mime_type	从更新日志映射
event_extra_info.malicious_ip_info.tags	security_result.detection_fields	从更新日志映射
event_extra_info.malicious_ip_info.type	security_result.category_details	从更新日志映射
events.timestamp	metadata.event_timestamp	从更新日志映射
events_extra_info.malicious_ip_info.severity	security_result.severity	从更新日志映射
events_extra_info.client_id" and "affected_device.site_name	additional_fields	从更新日志映射
comm_tuple.src_port	principal.port	从更新日志映射
comm_tuple.src_mac	principal.mac	从更新日志映射
affected_device.manufacturer	hardware.manufacturer	从更新日志映射
affected_device.model	hardware.model	从更新日志映射
metadata.event_type	NETWORK_HTTP	从更新日志映射
metadata.event_type	NETWORK_FTP	从更新日志映射
security_category	NETWORK_MALICIOUS	从更新日志映射
metadata.event_type	USER_LOGIN	从更新日志映射

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。