Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

收集 OpenText Access Manager（以前称为 NetIQ Access Manager）日志

支持：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将 OpenText Access Manager（以前称为 NetIQ Access Manager）日志注入到 Google Security Operations。

OpenText Access Manager 是一种本地身份和访问管理解决方案，可为 Web 应用和服务提供单点登录 (SSO)、多重身份验证、联合身份验证和基于政策的访问权限控制。它充当用户与受保护资源之间的安全网关，在企业环境中强制执行身份验证和授权政策。

准备工作

请确保满足以下前提条件：

Google SecOps 实例。
运行 Windows 2016 或更高版本的主机，或运行 systemd 的 Linux 主机。
网络连接：如果 Bindplane 在代理后面运行，请确保防火墙端口根据 Bindplane 代理要求处于开放状态。
对 OpenText Access Manager 管理控制台的特权访问权限。

获取 Bindplane 代理的 Google SecOps 凭证

如需向 Google SecOps 验证 Bindplane 代理，请选择以下方法之一：

新部署：使用 Chronicle API（选项 1）。
旧版部署：继续使用数据注入身份验证文件（方法 2），直到 Ingestion API 于 2027 年 7 月 20 日停用。

方法 1：为 Chronicle API 创建服务账号（推荐）

登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
前往 IAM 和管理 > 服务账号。
点击创建服务账号。
提供以下配置详细信息：
- 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
- 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
点击创建并继续。
在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
点击继续，然后点击完成。
点击您创建的服务账号，然后前往密钥标签页。
依次点击添加密钥> 创建新密钥。
选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
将密钥文件另存为 Bindplane 收集器目录（Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的 ingestion-auth.json，或更新 config.yaml 中的 creds_file_path 以匹配您保存该文件的路径。
前往 IAM 和管理 > 设置，然后复制项目编号。您在配置导出器时需要用到该名称。

方法 2：下载数据注入身份验证文件（旧版）

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 收集代理。
下载数据注入身份验证文件。
将文件安全地保存在将安装 Bindplane 代理的系统上。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 配置文件。
从组织详细信息部分复制并保存客户 ID。

安装 Bindplane 代理

根据以下说明，在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符或 PowerShell。

运行以下命令：

msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Linux 安装

打开具有 root 或 sudo 权限的终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

其他安装资源

如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以接收 Syslog 并将其发送到 Google SecOps

访问配置文件：
- 找到 config.yaml 文件。通常，它位于 Linux 上的 /opt/observiq-otel-collector 目录中，或 Windows 上的安装目录中。
- 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

按如下方式修改 config.yaml 文件：

receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: NETIQ_ACCESS_MANAGER
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

根据基础架构的要求替换端口和 IP 地址。
将 <LOCATION> 替换为 Google SecOps 实例的区域（例如 us、europe 或 asia-southeast1）。导出器会使用此值作为 chronicle.googleapis.com 的前缀。
将 <PROJECT_NUMBER> 替换为 IAM 和管理 > 设置中的项目编号。
将 <customer_id> 替换为实际的客户 ID。
将 /path/to/ingestion-authentication-file.json 更新为在前面步骤中保存服务账号密钥文件（选项 1）的文件路径。

旧版提取 API 导出工具

如果您使用选项 2 中的数据注入身份验证文件，请将 exporters 代码块替换为以下内容。将 creds_file_path 设置为提取身份验证文件的路径，如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的区域端点（例如 europe-malachiteingestion-pa.googleapis.com）。

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: NETIQ_ACCESS_MANAGER
    raw_log_field: body
    ingestion_labels:

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请运行以下命令：
```
sudo systemctl restart observiq-otel-collector
```
如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

配置 OpenText Access Manager syslog 转发

登录 OpenText Access Manager 管理控制台。
依次前往审计 > Syslog。
选中启用 Syslog 复选框。
提供以下配置详细信息：
- Syslog 服务器地址：输入 Bindplane 代理主机 IP 地址。
- 端口：输入 514。
- 设备：选择相应的 syslog 设备（例如 LOCAL0）。
在审核事件部分中，选择要转发的事件类别：
- 身份验证事件
- 授权事件
- 管理事件
- 系统事件
点击应用以保存 syslog 配置。

UDM 映射表

日志字段	UDM 映射	逻辑
`version`	`about.resource.attribute.labels`	已合并
`_field`	`additional.fields`	已合并
`I`	`extensions.auth.type`	已映射：`"002E0505","002E001E","002E0046"` → `AUTHTYPE_UNSPECIFIED`、`"002E0007","002E000C"`…
`host_name`	`intermediary.hostname`	直接映射
`D`	`metadata.description`	直接映射
`stringValue3`	`metadata.description`	直接映射
`timestamp`	`metadata.event_timestamp`	已解析为 `RFC 3339`
`I`	`metadata.event_type`	已映射：`"002E0505","002E001E","002E0046"` → `USER_LOGIN`、`002E0525` → `NETWORK_UNCATEGORIZ…
`has_principal`	`metadata.event_type`	已映射：`true` → `NETWORK_CONNECTION`，`true` → `STATUS_UPDATE`
`has_user`	`metadata.event_type`	已映射：`true` → `USER_UNCATEGORIZED`
`id_sub_event`	`metadata.product_event_type`	直接映射
`I`	`metadata.product_log_id`	直接映射
`eventId`	`metadata.product_log_id`	直接映射
`event_id`	`metadata.product_log_id`	直接映射
`product`	`metadata.product_name`	直接映射
`product_version`	`metadata.product_version`	直接映射
`vendor`	`metadata.vendor_name`	直接映射
`T`	`network.http.user_agent`	直接映射
`L`	`network.session_id`	直接映射
`subTarget`	`network.session_id`	直接映射
`F`	`principal.application`	直接映射
`appName`	`principal.application`	直接映射
`host`	`principal.asset.hostname`	直接映射
`host_name`	`principal.asset.hostname`	直接映射
`originator`	`principal.asset.hostname`	直接映射
`src_ip`	`principal.asset.ip`	已合并
`host`	`principal.hostname`	直接映射
`host_name`	`principal.hostname`	直接映射
`originator`	`principal.hostname`	直接映射
`src_ip`	`principal.ip`	已合并
`stringValue1`	`principal.user.userid`	直接映射
`I`	`security_result.action`	映射：`"002E0505","002E001E","002E0046"` → `security_action`，`002E0525` → `security_actio…
`security_action`	`security_result.action`	已合并
`name`	`security_result.action_details`	直接映射
`g_label`	`security_result.detection_fields`	已合并
`h_label`	`security_result.detection_fields`	已合并
`impersonatee_session_id_label`	`security_result.detection_fields`	已合并
`m_label`	`security_result.detection_fields`	已合并
`v_label`	`security_result.detection_fields`	已合并
`priority`	`security_result.priority_details`	直接映射
`A`	`security_result.rule_id`	直接映射
`severity`	`security_result.severity_details`	映射的值（共 5 个，例如 `1` → `TRACE`、`2` → `DEBUG`、`4` → `INFO`）
`result`	`security_result.summary`	直接映射
`process_name`	`target.application`	直接映射
`dst_ip`	`target.asset.ip`	已合并
`dst_ip`	`target.ip`	已合并
`B`	`target.resource.id`	直接映射
`O`	`target.resource.name`	直接映射
`Y`	`target.url`	直接映射
`_group_identifier`	`target.user.group_identifiers`	已合并
`U`	`target.user.userid`	直接映射
`device_name`	`target.user.userid`	直接映射
不适用	`extensions.auth.type`	常量：`AUTHTYPE_UNSPECIFIED`
不适用	`metadata.event_type`	常量：`USER_LOGIN`
不适用	`metadata.product_name`	常量：`Netiq_Access_Manager`
不适用	`metadata.vendor_name`	常量：`Netiq`
不适用	`security_result.severity_details`	常量：`TRACE`
`"2"`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`"3"`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`"host_name"`	`event.idm.read_only_udm.intermediary.hostname`	从更新日志映射
`1`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`stringValue2`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射
`eventId`	`event.idm.read_only_udm.metadata.product_log_id`	从更新日志映射
`subTarget`	`event.idm.read_only_udm.network.session_id`	从更新日志映射
`stringValue1`	`event.idm.read_only_udm.principal.user.userid`	从更新日志映射
`stringValue3`	`event.idm.read_only_udm.metadata.description`	从更新日志映射
`originator`	`event.idm.read_only_udm.principal.asset.hostname`	从更新日志映射
`originator`	`event.idm.read_only_udm.principal.hostname`	从更新日志映射
`G","H","M" and "V`	`security_result.detection_fields`	从更新日志映射
`L`	`event.idm.read_only_udm.network.session_id`	从更新日志映射
`T`	`event.idm.read_only_udm.network.http.user_agent`	从更新日志映射

更新日志

查看此解析器的更新日志