收集 Quest Change Auditor for EMC 記錄
支援：
Google SecOps
SIEM
本文說明如何使用 Bindplane 代理程式，將 Quest Change Auditor for EMC 記錄檔擷取至 Google Security Operations。
Quest Change Auditor for EMC 是 EMC 儲存環境的即時變更稽核和報表解決方案。這項功能會擷取 EMC 儲存系統上檔案、資料夾和權限變更的詳細資訊，提供完整的稽核追蹤記錄，用於法規遵循和安全監控。
事前準備
請確認您符合下列必要條件：
- Google SecOps 執行個體
- Windows Server 2016 以上版本，或搭載
systemd的 Linux 主機 - Bindplane 代理程式與 Quest Change Auditor 協調器伺服器之間的網路連線
- 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
- 具備管理員權限，可存取 Quest Change Auditor for EMC 控制台
取得 Bindplane 代理程式的 Google SecOps 憑證
如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：
- 新部署作業：使用 Chronicle API (選項 1)。
- 舊版部署作業：繼續使用擷取驗證檔案 (選項 2)，直到 Ingestion API 於 2027 年 7 月 20 日停用。
方法 1：為 Chronicle API 建立服務帳戶 (建議)
- 登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
- 依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
- 按一下「建立服務帳戶」。
- 提供下列設定詳細資料：
- 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如
bindplane-ingest)。 - 「服務帳戶說明」：輸入說明 (例如
Bindplane agent log ingestion)。
- 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如
- 點按「Create and continue」(建立並繼續)。
- 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
- 依序點選「繼續」和「完成」。
- 按一下您建立的服務帳戶，然後前往「金鑰」分頁。
- 依序點選「新增金鑰」>「建立新的金鑰」。
- 選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
- 將金鑰檔案儲存為 Bindplane 收集器目錄中的
ingestion-auth.json(Linux 為/opt/observiq-otel-collector/ingestion-auth.json，Windows 為C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新config.yaml中的creds_file_path，使其與儲存檔案的路徑相符。 - 依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。設定匯出工具時會用到。
方法 2：下載擷取驗證檔案 (舊版)
- 登入 Google SecOps 控制台。
- 依序前往「SIEM Settings」 > 「Collection Agents」。
- 下載擷取驗證檔案。
- 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。
取得 Google SecOps 客戶 ID
- 登入 Google SecOps 控制台。
- 依序前往「SIEM 設定」 > 「設定檔」。
複製並儲存「機構詳細資料」專區中的「客戶 ID」。
安裝 Bindplane 代理程式
請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。
Windows 安裝
- 以管理員身分開啟命令提示字元或 PowerShell。
執行下列指令：
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet等待安裝完成。
執行下列指令，確認安裝成功：
sc query observiq-otel-collector服務應顯示為「RUNNING」。
Linux 安裝
- 開啟具有 root 或 sudo 權限的終端機。
執行下列指令：
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh等待安裝完成。
執行下列指令，確認安裝成功：
sudo systemctl status observiq-otel-collector服務應顯示為「active (running)」。
其他安裝資源
如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。
設定 Bindplane 代理，擷取系統記錄檔並傳送至 Google SecOps
找出設定檔
Linux：
sudo nano /opt/observiq-otel-collector/config.yamlWindows：
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
編輯設定檔
將
config.yaml的全部內容替換為下列設定：receivers: tcplog: listen_address: "0.0.0.0:514" exporters: chronicle/quest_change_auditor_emc: protocol: https # Region of your instance, for example us, europe, asia-southeast1 location: <LOCATION> # Project number of the Google Cloud project linked to the instance project: '<PROJECT_NUMBER>' compression: gzip creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json' customer_id: '<customer_id>' endpoint: chronicle.googleapis.com log_type: QUEST_CHANGE_AUDITOR_EMC raw_log_field: body service: pipelines: logs/quest_emc_to_chronicle: receivers: - tcplog exporters: - chronicle/quest_change_auditor_emc
設定參數
請替換下列預留位置：
接收器設定：
listen_address：要監聽的 IP 位址和通訊埠：0.0.0.0在所有介面接聽電話 (建議)- 通訊埠
514是標準的系統記錄通訊埠 (在 Linux 上需要根層級權限；如果沒有根層級權限，請使用1514)
匯出工具設定：
creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：- Linux：
/opt/observiq-otel-collector/ingestion-auth.json - Windows：
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux：
customer_id：從 Google SecOps 控制台複製的客戶 IDlocation：將<LOCATION>替換為 Google SecOps 執行個體的區域 (例如us、europe或asia-southeast1)。匯出工具會以這個值做為chronicle.googleapis.com的前置字元。如需完整清單，請參閱「區域性端點」。project：依序前往「IAM 與管理」>「設定」，然後將<PROJECT_NUMBER>替換為專案編號。endpoint：維持設為chronicle.googleapis.com。
舊版 Ingestion API 匯出工具
如果您使用方式 2 的擷取驗證檔案，請將
exporters區塊替換成下列內容。將creds_file_path設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將malachiteingestion-pa.googleapis.com替換為區域端點 (例如europe-malachiteingestion-pa.googleapis.com)。exporters: chronicle/quest_change_auditor_emc: compression: gzip creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json' customer_id: '<customer_id>' endpoint: malachiteingestion-pa.googleapis.com log_type: QUEST_CHANGE_AUDITOR_EMC raw_log_field: body
儲存設定檔
- 編輯完畢後，請儲存檔案：
- Linux：依序按下
Ctrl+O、Enter和Ctrl+X - Windows：依序點選「檔案」 > 「儲存」
- Linux：依序按下
重新啟動 Bindplane 代理程式，套用變更
如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
sudo systemctl restart observiq-otel-collector確認服務是否正在執行：
sudo systemctl status observiq-otel-collector查看記錄檔是否有錯誤：
sudo journalctl -u observiq-otel-collector -f
如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列任一選項：
以管理員身分開啟命令提示字元或 PowerShell：
net stop observiq-otel-collector && net start observiq-otel-collector服務控制台：
- 按下
Win+R鍵，輸入services.msc，然後按下 Enter 鍵。 - 找出「observIQ OpenTelemetry Collector」。
- 按一下滑鼠右鍵，然後選取「重新啟動」。
確認服務正在執行：
sc query observiq-otel-collector查看記錄檔是否有錯誤：
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
- 按下
設定 Quest Change Auditor，轉送 EMC syslog
Quest Change Auditor 支援原生 SIEM 整合，包括透過事件訂閱轉送系統記錄。在協調器伺服器上設定系統記錄事件訂閱，將事件轉送至 Bindplane 代理程式。
- 在 Change Auditor 協調器伺服器上，以管理員權限開啟 PowerShell。
使用下列指令建立 syslog 事件訂閱項目：
New-CASyslogEventSubscription -Name "Chronicle-Bindplane" -SyslogServer "<BINDPLANE_IP>" -Port 514 -Protocol TCP- 將
<BINDPLANE_IP>替換為 Bindplane 代理程式主機的 IP 位址 (例如192.168.1.100)。
- 將
選取要轉送的事件類型和稽核物件：
- EMC 儲存空間中的檔案和資料夾異動
- 權限變更
- 分享修改內容
- 管理動作
確認訂閱方案有效：
Get-CASyslogEventSubscription檢查 Bindplane 代理程式記錄，確認系統是否收到記錄。
UDM 對應表
| 記錄欄位 | UDM 對應 | 邏輯 |
|---|---|---|
| facility、agentID、eventClassID、subsystemID、facilityID、valueTypeID、actionID、resultID、coordinatorId、parentDomainID、domainDn、siteDn、organizationalUnit、parentObjectID、objectID、objectClass、objectName、attributeName、objectDn、objectCanonical、sslTls、kerberos、adOriginatingObjectID、adUsnChangedPre、adUsnChangedPost、administrator、originAdSite、simpleBind、authPort、adStatusCode、eventId、id、Keywords、EventType、Task、ThreadID、Channel、Opcode | additional.fields | 合併為標籤，且鍵與欄位名稱相符 |
| 說明 | metadata.description | 直接複製值 |
| EventTime | metadata.event_timestamp | 從 Epoch 毫秒轉換為時間戳記 |
| event_data | metadata.event_type | 根據 event_data 的條件式邏輯設定 |
| EventReceivedTime | metadata.ingested_timestamp | 從 Epoch 毫秒轉換為時間戳記 |
| categoryBehavior, EventID | metadata.product_event_type | categoryBehavior 的值 (如果不是空白)，否則為 EventID |
| RecordNumber | metadata.product_log_id | 直接複製值 |
| SourceModuleType | observer.application | 直接複製值 |
| SourceModuleName | observer.resource.attribute.labels | 已合併為標籤 |
| 網域 | principal.administrative_domain | 直接複製值 |
| SourceName | principal.application | 直接複製值 |
| origin, Hostname | principal.asset.hostname | 如果來源不為空，則為來源的值，否則為主機名稱 |
| ipAddress、originIPv4 | principal.asset.ip | 如果 ipAddress 不為空白，則取自 ipAddress；否則，如果 originIPv4 是有效的 IP，則取自 originIPv4 |
| 來源、主機名稱 | principal.hostname | 來源的值 (如果不是空白)，否則為主機名稱 |
| ipAddress、originIPv4 | principal.ip | 如果 ipAddress 不為空白，則使用 ipAddress 的值，否則使用 originIPv4 的值 (如果 IP 有效) |
| osVersion | principal.platform | 如果 osVersion 與 Windows 相符，請設為「WINDOWS」 |
| osVersion | principal.platform_version | 如果是 Windows，則直接複製值 |
| ProcessID | principal.process.pid | 直接複製值 |
| 連結 | principal.url | 直接複製值 |
| AccountType | principal.user.attribute.roles.name | 直接複製值 |
| adUserMail、initiatorMail | principal.user.email_addresses | 如果符合電子郵件模式，則從 adUserMail 合併，並從 initiatorMail 合併 |
| userDisplay、initiatorUserName | principal.user.user_display_name | 如果 userDisplay 不為空白，則使用 userDisplay 的值，否則使用 initiatorUserName |
| userSid、AccountName | principal.user.userid | 如果 userSid 不為空值，則為該值，否則為 AccountName |
| UserID | principal.user.windows_sid | 直接複製值 |
| 結果 | security_result.action | 如果結果符合「成功」，請設為「ALLOW」；如果符合「失敗」，請設為「BLOCK」 |
| 結果 | security_result.action_details | 直接複製值 |
| start、end、timeDetected、timeZoneOffset、timeBatched、timeOfDay、siteID | security_result.detection_fields | 合併為標籤 |
| 說明 | security_result.description | 直接複製值 |
| SeverityValue | security_result.severity | 如果為 1-3，則設為 INFORMATIONAL；如果為 4，則設為 ERROR；如果為 5，則設為 CRITICAL |
| 嚴重性 | security_result.severity_details | 直接複製值 |
| 類別 | security_result.summary | 直接複製值 |
| file_path | src.file.full_path | 直接複製值 |
| file_path | src.process.file.full_path | 直接複製值 |
| initiatorMail | src.user.email_addresses | 直接複製值 |
| initiatorUserName | src.user.user_display_name | 直接複製值 |
| initiatorSid | src.user.userid | 直接複製值 |
| domainFqdn | target.administrative_domain | 直接複製值 |
| 子系統 | target.application | 直接複製值 |
| serverFqdn、ip_or_host | target.asset.hostname | 如果 serverFqdn 不為空白，則為 serverFqdn 的值，否則為 ip_or_host (如果不是 IP) |
| ip_or_host | target.asset.ip | 從 ip_or_host 擷取的 IP |
| domainID | target.asset_id | 設為「DOMAIN ID:」+ domainID |
| file_path, new_path | target.file.full_path | file_path 或 new_path 的值 (取決於 EventID) |
| serverFqdn、ip_or_host | target.hostname | 如果 serverFqdn 不為空白，則為該值；否則如果 ip_or_host 不是 IP，則為該值 |
| 網站 | target.location.name | 直接複製值 |
| file_path、new_path | target.process.file.full_path | file_path 或 new_path 的值 (取決於 EventID) |
| filer_name | target.resource.attribute.labels | 已合併為標籤 |
| 電腦 | target.resource.name | 直接複製值 |
| serverDn | target.user.group_identifiers | 直接複製值 |
| metadata.product_name | 設為「Quest Change Auditor EMC」 | |
| metadata.vendor_name | 設為「獎勵任務」 |
變更記錄
還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。