收集 HPE Nimble Storage OS 記錄

本文說明如何使用 Bindplane，將 HPE Nimble Storage OS 記錄檔擷取至 Google Security Operations。

HPE Nimble Storage OS 是儲存陣列作業系統，會產生系統、硬體和複製記錄。這個平台會監控儲存空間作業，並提供容量管理、陣列健康狀態和資料保護活動的詳細事件記錄。HPE Nimble Storage 陣列支援將系統事件的原生 syslog 轉送至外部收集器。

事前準備

請確認您符合下列必要條件：

• Google SecOps 執行個體
• Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
• Bindplane 代理程式與 HPE Nimble Storage 陣列之間的網路連線
• 如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
• 具備管理員權限，可存取 HPE Nimble Storage 陣列

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

• 新部署作業：使用 Chronicle API (選項 1)。
• 舊版部署作業：在 2027 年 7 月 20 日停用 Ingestion API 前，請繼續使用擷取驗證檔案 (選項 2)。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

1. 登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
2. 依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
3. 按一下「建立服務帳戶」。
4. 提供下列設定詳細資料：
   • 服務帳戶名稱：輸入帳戶名稱 (例如 bindplane-ingest)。
   • 「服務帳戶說明」：輸入說明 (例如 Bindplane agent log ingestion)。
5. 點按「Create and continue」(建立並繼續)。
6. 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
7. 依序點選「繼續」和「完成」。
8. 按一下您建立的服務帳戶，然後前往「金鑰」分頁。
9. 依序點選「新增金鑰」>「建立新的金鑰」。
10. 選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
11. 將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
12. 依序前往「IAM & Admin」 > 「Settings」，然後複製「Project number」。設定匯出工具時會用到。

方法 2：下載擷取驗證檔案 (舊版)

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 下載擷取驗證檔案。
4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」 > 「設定檔」。

3. 複製並儲存「機構詳細資料」部分的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以管理員身分開啟命令提示字元或 PowerShell。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 等待安裝完成。

4. 執行下列指令，確認安裝成功：

   sc query observiq-otel-collector
   

服務應顯示為「RUNNING」。

安裝 Linux

1. 開啟具有根層級或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 等待安裝完成。

4. 執行下列指令，確認安裝成功：

   sudo systemctl status observiq-otel-collector
   

服務應顯示為「active (running)」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄並傳送至 Google SecOps

找出設定檔

• Linux：

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows：

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

編輯設定檔

• 將 config.yaml 的全部內容替換為下列設定：

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/nimble_os:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: NIMBLE_OS
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/nimble_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/nimble_os
  

設定參數

替換下列預留位置：

• 接收器設定：

  • udplog：依通訊協定區分的接收端類型：
    • udplog (適用於 UDP syslog)
    • tcplog (適用於 TCP syslog)
  • 0.0.0.0：要接聽的 IP 位址：
    • 0.0.0.0 在所有介面接聽電話 (建議)
    • 在一個介面上接聽的特定 IP 位址
  • 514：要監聽的通訊埠編號 (例如 514、1514、6514)

• 匯出工具設定：

  • nimble_os：匯出工具的說明名稱
  • creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：
    • Linux：/opt/observiq-otel-collector/ingestion-auth.json
    • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <customer_id>：上一步取得的客戶 ID
  • location：將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。如需完整清單，請參閱「區域性端點」。
  • project：依序前往「IAM 與管理」>「設定」，然後將 <PROJECT_NUMBER> 替換為專案編號。
  • endpoint：請將此值設為 chronicle.googleapis.com。
  • NIMBLE_OS：記錄類型，與 Chronicle 中顯示的完全相同
  • ingestion_labels：YAML 格式的選用標籤 (例如 env: production)

• 管道設定：

  • nimble_to_chronicle：管道的說明名稱

舊版 Ingestion API 匯出工具

• 如果您使用選項 2 的擷取驗證檔案，請將 exporters 區塊替換為下列內容。將 creds_file_path 設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

  exporters:
    chronicle/nimble_os:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: NIMBLE_OS
      raw_log_field: body
      ingestion_labels:
        env: production
  

儲存設定檔

• 編輯完畢後，請儲存檔案：
  • Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
  • Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

1. 執行下列指令：

   sudo systemctl restart observiq-otel-collector
   

2. 確認服務正在執行：

   sudo systemctl status observiq-otel-collector
   

3. 檢查記錄是否有錯誤：

   sudo journalctl -u observiq-otel-collector -f
   

如要在 Windows 重新啟動 Bindplane 代理程式，請按照下列步驟操作：

1. 您可以選擇下列其中一個選項：

   • 以管理員身分開啟命令提示字元或 PowerShell：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • 服務控制台：
     1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
     2. 找出「observIQ OpenTelemetry Collector」。
     3. 按一下滑鼠右鍵，然後選取「重新啟動」。

2. 確認服務正在執行：

   sc query observiq-otel-collector
   

3. 檢查記錄是否有錯誤：

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

設定 HPE Nimble Storage OS 系統記錄轉送

HPE Nimble Storage 陣列支援將系統、硬體和複寫事件記錄轉送至外部 syslog 伺服器。您可以使用 CLI 或管理 GUI 設定系統記錄轉送功能。

使用 CLI 設定系統記錄

1. 使用管理員憑證，透過 SSH 連線至 HPE Nimble Storage 陣列：

   ssh admin@<nimble_array_ip>
   

2. 啟用 syslog，並將 Bindplane 代理程式指定為 syslog 伺服器：

   group --edit --syslog_server <bindplane_agent_ip>
   

3. (選用) 指定自訂系統記錄檔通訊埠 (預設為 514)：

   group --edit --syslog_port <port_number>
   

4. 驗證 syslog 設定：

   group --info | grep -i syslog
   

   輸出內容應會顯示 Syslogd enabled: Yes，以及已設定的伺服器位址和通訊埠。

使用管理 GUI 設定 syslog

1. 登入 HPE Nimble Storage 管理介面。
2. 依序前往「Administration」>「Syslog」。
3. 按一下「Enable Syslog Server」。
4. 在「伺服器」欄位中，輸入 Bindplane 代理主機的 IP 位址。
5. 在「Port」(通訊埠) 欄位中，輸入與 Bindplane 代理程式接收器設定相符的通訊埠 (預設為 514)。
6. 按一下 [儲存]。

UDM 對應表

記錄欄位	UDM 對應	邏輯
	extensions.auth.mechanism	驗證機制
	extensions.auth.type	驗證類型
data_message	metadata.description	活動說明
類型	metadata.event_type	事件類型
類型	metadata.product_event_type	產品事件類型
id	metadata.product_log_id	產品記錄 ID
版本	metadata.product_version	產品版本
群組	principal.group.group_display_name	群組顯示名稱
logsource	principal.hostname	主要主機名稱
client_ip	principal.ip	主體 IP 位址
陣列	principal.resource.name	資源名稱
	principal.resource.resource_subtype	資源子類型
	principal.resource.resource_type	資源類型
狀態	security_result.action	安全性動作
錯誤	security_result.description	安全性結果說明
	security_result.summary	安全性結果摘要
filename,target	target.file.full_path	檔案完整路徑
object_id	target.resource.id	資源 ID
object,target,filename,partner,volname	target.resource.name	資源名稱
	target.resource.resource_subtype	資源子類型
	target.resource.resource_type	資源類型
	target.user.user_display_name	使用者顯示名稱
使用者名稱	target.user.userid	使用者 ID
	metadata.product_name	產品名稱
	metadata.vendor_name	供應商名稱

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。