收集 Ivanti Connect Secure (Pulse Secure) 記錄

支援的服務：

本文說明如何使用 Bindplane 代理程式，將 Ivanti Connect Secure (Pulse Secure) 記錄擷取至 Google Security Operations。

Ivanti Connect Secure (舊稱 Pulse Secure) 是 SSL VPN 解決方案，可安全地遠端存取企業應用程式、資源和網路。這項服務支援多重驗證、端點合規性檢查，以及適用於遠端工作者和合作夥伴的精細存取權政策。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
  • 如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
  • Ivanti Connect Secure (Pulse Secure) 管理控制台的特殊權限存取權

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

  • 新部署作業：使用 Chronicle API (選項 1)。
  • 舊版部署作業：在 2027 年 7 月 20 日停用 Ingestion API 前，請繼續使用擷取驗證檔案 (選項 2)。
  1. 登入 Google Cloud 控制台，然後選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
  2. 依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
  3. 按一下「建立服務帳戶」。
  4. 提供下列設定詳細資料：
    • 服務帳戶名稱：輸入帳戶名稱 (例如 bindplane-ingest)。
    • 「服務帳戶說明」：輸入說明 (例如 Bindplane agent log ingestion)。
  5. 點按「Create and continue」(建立並繼續)。
  6. 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
  7. 依序點選「繼續」和「完成」。
  8. 按一下您建立的服務帳戶，然後前往「金鑰」分頁。
  9. 依序點選「新增金鑰」>「建立新的金鑰」。
  10. 選取「JSON」，然後按一下「建立」。金鑰檔案會下載到電腦。
  11. 將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
  12. 依序前往「IAM 與管理」>「設定」，然後複製「專案編號」。設定匯出工具時會用到。

方法 2：下載擷取驗證檔案 (舊版)

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案。
  4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。

  3. 複製並儲存「機構詳細資料」專區中的「客戶 ID」。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sc query observiq-otel-collector

    服務應顯示為「RUNNING」。

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sudo systemctl status observiq-otel-collector

    服務應顯示為「active (running)」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

  • Linux：

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

  • 將 config.yaml 的全部內容替換為下列設定：

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'PULSE_SECURE_VPN'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

設定參數

替換下列預留位置：

  • 接收器設定：

    • udplog：使用 udplog 進行 UDP 系統記錄，或使用 tcplog 進行 TCP 系統記錄
    • 0.0.0.0：要接聽的 IP 位址 (0.0.0.0 可接聽所有介面)
    • 514：要監聽的通訊埠號碼 (標準系統記錄通訊埠)

  • Exporter 設定：

    • creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：
      • Linux：/opt/observiq-otel-collector/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID：取得客戶 ID 一節中的客戶 ID
    • location：將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。如需完整清單，請參閱「區域性端點」。
    • project：依序前往「IAM 與管理」>「設定」，然後將 <PROJECT_NUMBER> 替換為專案編號。
    • endpoint：維持設為 chronicle.googleapis.com。
    • log_type：記錄類型，與 Chronicle 中顯示的完全一致 (PULSE_SECURE_VPN)

舊版擷取 API 匯出工具

  • 如果您使用方式 2 的擷取驗證檔案，請將 exporters 區塊替換成下列內容。將 creds_file_path 設為擷取驗證檔案的路徑，如果您的執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'PULSE_SECURE_VPN'
    raw_log_field: body
    ingestion_labels:

儲存設定檔

  • 編輯完成後，請儲存檔案：
    • Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依序點選「檔案」 > 「儲存」

重新啟動 Bindplane 代理程式，套用變更

  • 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

    sudo systemctl restart observiq-otel-collector

    1. 確認服務正在執行：

      sudo systemctl status observiq-otel-collector

    2. 檢查記錄是否有錯誤：

      sudo journalctl -u observiq-otel-collector -f

  • 如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列其中一個選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 服務控制台：

      1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出「observIQ OpenTelemetry Collector」。
      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

      4. 確認服務正在執行：

        sc query observiq-otel-collector

      5. 查看記錄檔是否有錯誤：

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

在 Ivanti Connect Secure (Pulse Secure) 上設定系統記錄轉送

  1. 登入 Ivanti Connect Secure (舊稱 Pulse Secure) 管理控制台。
  2. 依序前往「System」>「Log/Monitoring」。
  3. 按一下 [設定] 標籤。
  4. 在 syslog 伺服器設定部分，提供下列詳細資料：
    • 伺服器名稱/IP：輸入 Bindplane 代理程式主機的 IP 位址或 FQDN。
    • Facility：選取「LOCAL0」 (或從 LOCAL0 到 LOCAL7 中選取偏好的設施)。
    • 類型：選取「UDP」。
    • 「篩選器」：選取「標準」。
    • 來源介面：選取「全域」 (或可連上 Bindplane 代理程式的特定介面)。
  5. 按一下「新增」。
  6. 按一下 [儲存變更]。

  7. 在每個本機記錄分頁上執行下列操作，為各個記錄類別啟用系統記錄回報功能：

    1. 按一下「事件」分頁標籤，勾選 Syslog 伺服器核取方塊，然後點選「儲存變更」。
    2. 按一下「使用者存取權」分頁標籤，選取 Syslog 伺服器核取方塊，然後按一下「儲存變更」。
    3. 按一下「管理員存取權」分頁標籤，選取 Syslog 伺服器核取方塊，然後按一下「儲存變更」。

  8. 檢查 Bindplane 代理程式記錄，確認系統記錄訊息是否已傳送。

UDM 對應表

記錄欄位 UDM 對應 邏輯
動作 security_result.action_details 直接從動作欄位對應。
調度應用程式資源 principal.application 直接從應用程式欄位對應。
bytes_read network.received_bytes 直接從 bytes_read 欄位對應，並轉換為不帶正負號的整數。
bytes_written network.sent_bytes 直接從 bytes_written 欄位對應，並轉換為不帶正負號的整數。
client_host principal.hostname、principal.asset.hostname 直接從 client_host 欄位對應。
cmd principal.process.command_line 直接從 cmd 欄位對應。
connection_status security_result.detection_fields.value.string_value 直接從 connection_status 欄位對應。
data_time metadata.event_timestamp.seconds 使用各種時間戳記格式 (MM-dd-yyyy HH:mm:ss Z、RFC 3339、ISO8601、MMM d HH:mm:ss、MMM d HH:mm:ss)，從 data_time 欄位剖析而來。
devname principal.hostname、principal.asset.hostname 直接從 devname 欄位對應。
dstip target.ip、target.asset.ip 直接從 dstip 欄位對應。
dstport target.port 直接從 dstport 欄位對應，並轉換為整數。
dstcountry target.location.country_or_region 如果 dstcountry 欄位不是「Reserved」或空白，則直接從該欄位對應。
持續時間 network.session_duration.seconds 直接從時間長度欄位對應，並轉換為整數。
dvc intermediary.hostname 或 intermediary.ip 如果 dvc 欄位可轉換為 IP 位址，則會對應至 intermediary.ip。否則會對應至 intermediary.hostname。
dvc_hostname intermediary.hostname、principal.hostname、principal.asset.hostname 或 intermediary.ip、principal.ip、principal.asset.ip 如果 dvc_hostname 欄位可轉換為 IP 位址，則會對應至相應的 IP 欄位。否則，系統會將其對應至各自的主機名稱欄位。
event_type metadata.product_event_type 直接從 event_type 欄位對應。
failure_reason security_result.description 直接從 failure_reason 欄位對應。如果訊息包含「因為主辦人」，則失敗原因會加上「主辦人」前置字串。
has_principal event.idm.read_only_udm.principal (presence) 如果填入任何主體欄位，請設為「true」，否則請設為「false」。由剖析器邏輯衍生。
has_target event.idm.read_only_udm.target (presence) 如果已填寫任何目標欄位，請設為「true」，否則請設為「false」。由剖析器邏輯衍生。
has_target_user event.idm.read_only_udm.target.user.userid (presence) 如果 target.user.userid 已填入，則設為「true」，否則設為「false」。由剖析器邏輯衍生。
host_ip principal.ip、principal.asset.ip 直接從 host_ip 欄位對應。
host_mac principal.mac 直接從 host_mac 欄位對應，並將連字號換成半形冒號。
http_method network.http.method 直接從 http_method 欄位對應。
http_response network.http.response_code 直接從 http_response 欄位對應，並轉換為整數。
info_desc about.labels.value 直接從 info_desc 欄位對應。
ip_new target.ip、target.asset.ip 直接從 ip_new 欄位對應。
level security_result.severity, security_result.severity_details security_result.severity 是從 level 欄位衍生而來 (「error」/「warning」-> HIGH、「notice」-> MEDIUM、「information」/「info」-> LOW)。等級的原始值也會對應至 security_result.severity_details。
logid metadata.product_log_id 直接從 logid 欄位對應。
locip principal.ip、principal.asset.ip 直接從 locip 欄位對應。
訊息 metadata.description 用於透過 grok 和 kv 篩選器擷取各種欄位。如果訊息包含「EventID」，系統會將其視為 Windows 事件記錄處理。
message_info metadata.description 如果未在更具體的 grok 模式中使用，則直接對應至 metadata.description。
msg metadata.product_event_type, metadata.description 如果 msg 欄位存在，系統會擷取產品類型並對應至 metadata.product_event_type，其餘訊息則對應至 metadata.description。
msg_hostname principal.hostname、principal.asset.hostname 直接從 msg_hostname 欄位對應。
msg_ip principal.ip、principal.asset.ip 直接從 msg_ip 欄位對應。
msg_user_agent network.http.user_agent、network.http.parsed_user_agent、metadata.product_version 使用者代理程式字串會對應至 network.http.user_agent，剖析後的使用者代理程式會對應至 network.http.parsed_user_agent，產品版本 (如有) 則會對應至 metadata.product_version。
network_duration network.session_duration.seconds 直接從 network_duration 欄位對應，並轉換為整數。
policyid security_result.rule_id 直接從 policyid 欄位對應。
policyname security_result.rule_name 直接從 policyname 欄位對應。
policytype security_result.rule_type 直接從 policytype 欄位對應。
priority_code about.labels.value 直接從 priority_code 欄位對應，也用於衍生「Severity」鍵的 about.labels.value (請參閱「邏輯」)。
prod_name metadata.product_name 直接從 prod_name 欄位對應。
product_type metadata.product_event_type 直接從 product_type 欄位對應。
product_version metadata.product_version 直接從 product_version 欄位對應。
proto network.ip_protocol 使用查詢轉換為 IP 通訊協定名稱後，對應至 network.ip_protocol。
pwd principal.process.file.full_path 直接從 pwd 欄位對應。
運作範圍 principal.group.attribute.labels.value 直接從領域欄位對應。
rcvdbyte network.received_bytes 直接從 rcvdbyte 欄位對應，並轉換為不帶正負號的整數。
remip target.ip 直接從 remip 欄位對應。
資源名稱 target.resource.name 直接從 resource_name 欄位對應，並移除開頭/結尾的空白字元和連字號。
resource_status security_result.description 直接從 resource_status 欄位對應。
resource_user_group principal.user.group_identifiers 直接從 resource_user_group 欄位對應。
resource_user_name principal.user.userid 直接從 resource_user_name 欄位對應。
角色 principal.user.group_identifiers 直接從「角色」欄位對應。
sentbyte network.sent_bytes 直接從 sentbyte 欄位對應，並轉換為不帶正負號的整數。
session_id network.session_id 直接從 session_id 欄位對應。
sessionid network.session_id 直接從 sessionid 欄位對應。
srcip principal.ip、principal.asset.ip 直接從 srcip 欄位對應。
srcport principal.port 直接從 srcport 欄位對應，並轉換為整數。
srccountry principal.location.country_or_region 如果 srccountry 欄位不是「Reserved」或空白，則直接從該欄位對應。
subtype metadata.product_event_type 與 type 搭配使用，形成 metadata.product_event_type。
target_file target.file.full_path 直接從 target_file 欄位對應。
target_host target.hostname、target.asset.hostname 直接從 target_host 欄位對應。
target_ip target.ip、target.asset.ip 直接從 target_ip 欄位對應。
target_port target.port 直接從 target_port 欄位對應，並轉換為整數。
target_url target.url 直接從 target_url 欄位對應。
時間 metadata.event_timestamp.seconds 使用「yyyy-MM-dd HH:mm:ss」格式從時間欄位剖析。
類型 metadata.product_event_type 與子類型搭配使用，形成 metadata.product_event_type。
u_event_source_ip principal.ip、principal.asset.ip 或 target.ip 如果 target_ip 或 target_host 存在，u_event_source_ip 會對應至 principal.ip 和 principal.asset.ip。否則，如果 target_ip、target_host 和 target_url 皆為空白，系統會將 u_event_source_ip 對應至 target.ip。
u_observer_ip observer.ip 直接從 u_observer_ip 欄位對應。
u_prin_ip principal.ip、principal.asset.ip 直接從 u_prin_ip 欄位對應。
使用者 target.user.userid 直接從使用者欄位對應。
user_agent network.http.user_agent、network.http.parsed_user_agent 使用者代理程式字串會對應至 network.http.user_agent，剖析後的使用者代理程式則會對應至 network.http.parsed_user_agent。
user_group_identifier target.user.group_identifiers 或 principal.user.group_identifiers 在大多數情況下，會對應至 target.user.group_identifiers。在 IP 變更 (USER_UNCATEGORIZED) 和領域限制事件中，對應至 principal.user.group_identifiers。
user_ip principal.ip、principal.asset.ip 直接從 user_ip 欄位對應。如果這個欄位空白，但 u_event_source_ip 不為空白，系統會採用 u_event_source_ip 的值。
使用者名稱 principal.user.userid 或 target.user.userid 在多數情況下，會對應至 principal.user.userid。在某些特定情境下 (例如 detect_user_logout_failed 為 false 且 detect_policy_change_failed 為 false)，對應至 target.user.userid。
username_removed target.user.userid 直接從 username_removed 欄位對應。
vd principal.administrative_domain 直接從 vd 欄位對應。
client_ip event.idm.read_only_udm.principal.ip 從變更記錄對應
client_ip event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
req_host event.idm.read_only_udm.target.hostname 從變更記錄對應
req_host event.idm.read_only_udm.target.asset.hostname 從變更記錄對應
target_url event.idm.read_only_udm.target.url 從變更記錄對應
http_method event.idm.read_only_udm.network.http.method 從變更記錄對應
referrer_url event.idm.read_only_udm.network.http.referral_url 從變更記錄對應
sr_action event.idm.read_only_udm.security_result.action 從變更記錄對應
http_version event.idm.read_only_udm.network.application_protocol_version 從變更記錄對應
server_name event.idm.read_only_udm.intermediary.hostname 從變更記錄對應
server_name event.idm.read_only_udm.intermediary.asset.hostname 從變更記錄對應
BLOCK security_result.action 從變更記錄對應
Pulse Secure VPN metadatda.product_name 從變更記錄對應
observer_hostname observer.hostname 從變更記錄對應
priority_code", "Syslog_version", and "info_desc about.labels 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。