Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

收集 Ribbon Analytics Platform 日志

支持：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 代理将 Ribbon Analytics Platform 日志注入到 Google Security Operations。

Ribbon Analytics Platform 是一款网络分析和会话边界控制器平台，用于监控语音和数据通信。它会为通话详细记录、会话事件和系统健康信息生成 syslog 消息。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
Bindplane 代理与 Ribbon Analytics Platform 之间的网络连接
如果在代理后面运行，请确保按照 Bindplane 代理要求打开防火墙端口
对 Ribbon Analytics Platform 管理界面的特权访问权限

获取 Bindplane 代理的 Google SecOps 凭据

如需向 Google SecOps 验证 Bindplane 代理，请选择以下方法之一：

新部署：使用 Chronicle API（选项 1）。
旧版部署：继续使用数据注入身份验证文件（方法 2），直到 Ingestion API 于 2027 年 7 月 20 日停用。

方法 1：为 Chronicle API 创建服务账号（推荐）

登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
前往 IAM 和管理 > 服务账号。
点击创建服务账号。
提供以下配置详细信息：
- 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
- 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
点击创建并继续。
在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
点击继续，然后点击完成。
点击您创建的服务账号，然后前往密钥标签页。
依次点击添加密钥> 创建新密钥。
选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
将密钥文件另存为 Bindplane 收集器目录（在 Linux 上为 /opt/observiq-otel-collector/ingestion-auth.json，在 Windows 上为 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的 ingestion-auth.json，或更新 config.yaml 中的 creds_file_path 以与您保存密钥文件的路径相匹配。
前往 IAM 和管理 > 设置，然后复制项目编号。您在配置导出器时需要用到该名称。

方法 2：下载数据注入身份验证文件（旧版）

登录 Google SecOps 控制台。
前往 SIEM 设置> 收集代理。
下载数据注入身份验证文件。
将文件安全地保存在将安装 Bindplane 代理的系统上。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
前往 SIEM 设置 > 个人资料。
复制并保存组织详细信息部分中的客户 ID。

注意：配置 Bindplane 代理导出器时需要提供客户 ID。

安装 Bindplane 代理

根据以下说明，在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符或 PowerShell。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安装完成。
运行以下命令，验证安装是否成功：
```
sc query observiq-otel-collector
```
该服务应显示为 RUNNING。

Linux 安装

打开具有 root 或 sudo 权限的终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安装完成。
运行以下命令，验证安装是否成功：
```
sudo systemctl status observiq-otel-collector
```
该服务应显示为 active (running)。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 Syslog 并发送到 Google SecOps

找到配置文件

Linux：

sudo nano /opt/observiq-otel-collector/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

将 config.yaml 的全部内容替换为以下配置：

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/ribbon_analytics:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: RIBBON_ANALYTICS_PLATFORM
    raw_log_field: body

service:
  pipelines:
    logs/ribbon_analytics_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/ribbon_analytics

配置参数

替换以下占位符：

接收器配置：
- listen_address：要监听的 IP 地址和端口：
  - 0.0.0.0，以监听所有接口（推荐）
  - 端口 514 是标准 syslog 端口（在 Linux 上需要 root 权限；对于非 root 用户，请使用 1514）
导出器配置：
- creds_file_path：服务账号 JSON 密钥文件的完整路径（选项 1）：
  - Linux：/opt/observiq-otel-collector/ingestion-auth.json
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id：从 Google SecOps 控制台复制的客户 ID
- location：将 <LOCATION> 替换为 Google SecOps 实例的区域（例如 us、europe 或 asia-southeast1）。导出器会使用此值作为 chronicle.googleapis.com 的前缀。如需查看完整列表，请参阅区域级端点。
- project：将 <PROJECT_NUMBER> 替换为 IAM 和管理 > 设置中的项目编号。
- endpoint：保持设置为 chronicle.googleapis.com。

旧版提取 API 导出工具

如果您使用选项 2 中的数据注入身份验证文件，请将 exporters 代码块替换为以下内容。将 creds_file_path 设置为数据注入身份验证文件的路径，如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的区域端点（例如 europe-malachiteingestion-pa.googleapis.com）。
```
exporters:
  chronicle/ribbon_analytics:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: RIBBON_ANALYTICS_PLATFORM
    raw_log_field: body
```

保存配置文件

修改后，保存文件：
- Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
- Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

sudo systemctl restart observiq-otel-collector

验证服务是否正在运行：

sudo systemctl status observiq-otel-collector

检查日志中的错误：

sudo journalctl -u observiq-otel-collector -f

如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：
- 以管理员身份运行命令提示符或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- “服务”控制台：
  1. 按 Win+R，输入 services.msc，然后按 Enter 键。
  2. 找到 observIQ OpenTelemetry 收集器。
  3. 右键点击并选择重启。
  4. 验证服务是否正在运行：
```
sc query observiq-otel-collector
```
  5. 检查日志中的错误：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

配置 Ribbon Analytics Platform syslog 转发

登录 Ribbon 管理界面。
前往设置 > 远程日志服务器。
添加具有以下配置的新远程日志服务器：
- 主机：输入 Bindplane 代理主机的 IP 地址。
- 端口：输入 514。
- 协议：选择 UDP。
点击保存。

UDM 映射表

日志字段	UDM 映射	逻辑
`type_name`	`about`	已映射：`SYSCALL` → `about`
`type_syscall_props.AUID`	`about.user.user_display_name`	直接映射
`type_syscall_props.auid`	`about.user.userid`	直接映射
`additional_delay_data`	`additional.fields`	已合并
`additional_delays_data`	`additional.fields`	已合并
`additional_dns_data`	`additional.fields`	已合并
`additional_field`	`additional.fields`	已合并
`additional_relay_data`	`additional.fields`	已合并
`auth_realm_field`	`additional.fields`	已合并
`log_details_label`	`additional.fields`	已合并
`_mechanism`	`extensions.auth.mechanism`	已合并
`audit_message`	`extensions.auth.type`	Mapped: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER…
`msg2`	`extensions.auth.type`	已映射：`login failure` → `MACHINE`
`type_name`	`extensions.auth.type`	映射：`USER_LOGIN` → `MACHINE`，`"LOGIN", "USER_START", "USER_AUTH", "CRED_ACQ", "CRED_REF…
`dvc`	`intermediary.hostname`	直接映射
`dvc`	`intermediary.ip`	已合并
`description`	`metadata.description`	直接映射
`error_message`	`metadata.description`	直接映射
`msg2`	`metadata.description`	直接映射
`event_timestamp`	`metadata.event_timestamp`	已解析为 `UNIX`
`timestamp`	`metadata.event_timestamp`	已解析为 `MMM d HH:mm:ss`
`event_type`	`metadata.event_type`	已映射：`GENERIC_EVENT` → `STATUS_UPDATE`
`has_principal`	`metadata.event_type`	已映射：`true` → `STATUS_UPDATE`
`msg2`	`metadata.event_type`	已映射：`HTTP` → `NETWORK_HTTP`，`login failure` → `USER_LOGIN`
`target_user_present`	`metadata.event_type`	已映射：`true` → `USER_UNCATEGORIZED`
`type_name`	`metadata.event_type`	已映射：`SYSCALL` → `USER_UNCATEGORIZED`
`applica`	`metadata.product_event_type`	直接映射
`audit_message`	`metadata.product_event_type`	映射的值（共 6 个，例如 `pam_krb5.*authentication fails for` → `PAM_KRB5_AUTH_ERROR`、`…
`eventType`	`metadata.product_event_type`	直接映射
`p_event_type`	`metadata.product_event_type`	直接映射
`type`	`metadata.product_event_type`	直接映射
`type_name`	`metadata.product_event_type`	直接映射
`jsonPayload._AUDIT_ID`	`metadata.product_log_id`	直接映射
`product_log_id`	`metadata.product_log_id`	直接映射
`audit_message`	`network.application_protocol`	已映射：`type=(CRYPTO_SESSION/CRYPTO_KEY_USER)` → `SSH`
`auth`	`network.application_protocol`	已映射：`ssh` → `SSH`
`message`	`network.application_protocol`	已映射：`ssh/ssh2` → `SSH`
`tty`	`network.application_protocol`	已映射：`ssh` → `SSH`
`audit_message`	`network.direction`	已映射：`type=(CRYPTO_SESSION/CRYPTO_KEY_USER)` → `OUTBOUND`，`type=(CRYPTO_SESSION/CRYPTO_K…
`mailid`	`network.email.mail_id`	直接映射
`to_email`	`network.email.to`	已映射：`^.+@.+$` → `to_email`
`response_code`	`network.http.response_code`	直接映射
`audit_message`	`network.ip_protocol`	已映射：`type=(CRYPTO_SESSION/CRYPTO_KEY_USER)` → `TCP`
`bytes_sent`	`network.sent_bytes`	直接映射
`type_crypto_props.ksize`	`network.sent_bytes`	已重命名/已映射
`jsonPayload._AUDIT_SESSION`	`network.session_id`	直接映射
`sessionid`	`network.session_id`	直接映射
`type_anom_props.ses`	`network.session_id`	已重命名/已映射
`type_syscall_props.ses`	`network.session_id`	直接映射
`type_crypto_props.cipher`	`network.tls.cipher`	直接映射
`type_crypto_props.pfs`	`network.tls.curve`	直接映射
`applica`	`principal.application`	直接映射
`jsonPayload._COMM`	`principal.application`	直接映射
`type_anom_props.comm`	`principal.application`	直接映射
`type_syscall_props.comm`	`principal.application`	直接映射
`type_syscall_props.terminal`	`principal.application`	直接映射
`%{rhost}`	`principal.asset.hostname`	已合并
`rhost`	`principal.asset.hostname`	当 `kvdata` != `` 时映射
`princi_ip`	`principal.asset.ip`	已合并
`rhost`	`principal.asset.ip`	已合并
`srcIp`	`principal.asset.ip`	Mapped: `^(?:(25[0-5]/2[0-4][0-9]/1[0-9]{2}/[1-9]?[0-9]).){3}(25[0-5]/2[0-4][0-9]/1[0-9]{2}…
`%{rhost}`	`principal.hostname`	已合并
`jsonPayload._HOSTNAME`	`principal.hostname`	直接映射
`principal_hostname`	`principal.hostname`	直接映射
`rhost`	`principal.hostname`	当 `kvdata` != `` 时映射
`audit_message`	`principal.ip`	Mapped: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER…
`prin_ip`	`principal.ip`	已合并
`princi_ip`	`principal.ip`	已合并
`rhost`	`principal.ip`	已合并
`srcIp`	`principal.ip`	Mapped: `^(?:(25[0-5]/2[0-4][0-9]/1[0-9]{2}/[1-9]?[0-9]).){3}(25[0-5]/2[0-4][0-9]/1[0-9]{2}…
`type_crypto_props.laddr`	`principal.ip`	已合并
`srcPort`	`principal.port`	已重命名/已映射
`type_crypto_props.lport`	`principal.port`	已重命名/映射
`auth`	`principal.process.command_line`	直接映射
`proctitle_value`	`principal.process.command_line`	直接映射
`type_syscall_props.cmd`	`principal.process.command_line`	直接映射
`event.idm.read_only_udm.target.process.file.full_path`	`principal.process.file.full_path`	直接映射
`proctitle_value`	`principal.process.file.full_path`	直接映射
`audit_message`	`principal.process.file.names`	已映射：`type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER…
`filename`	`principal.process.file.names`	已合并
`jsonPayload._PPID`	`principal.process.parent_process.pid`	直接映射
`type_syscall_props.ppid`	`principal.process.parent_process.pid`	直接映射
`jsonPayload._PID`	`principal.process.pid`	直接映射
`pi`	`principal.process.pid`	直接映射
`process_pid`	`principal.process.pid`	直接映射
`type_crypto_props.spid`	`principal.process.pid`	直接映射
`type_syscall_props.pid`	`principal.process.pid`	直接映射
`email`	`principal.user.email_addresses`	已映射：`^.+@.+$` → `email`
`user_name`	`principal.user.email_addresses`	已映射：`^.+@.+$` → `user_name`
`type_syscall_props.UID`	`principal.user.user_display_name`	直接映射
`type_syscall_props.acct`	`principal.user.user_display_name`	直接映射
`jsonPayload._AUDIT_FIELD_SUID`	`principal.user.userid`	直接映射
`principal_user_userid`	`principal.user.userid`	直接映射
`ruser`	`principal.user.userid`	直接映射
`type_crypto_props.suid`	`principal.user.userid`	直接映射
`user_name`	`principal.user.userid`	直接映射
`usr`	`principal.user.userid`	直接映射
`a0_label`	`security_result.about.labels`	已合并
`a1_label`	`security_result.about.labels`	已合并
`a2_label`	`security_result.about.labels`	已合并
`a3_label`	`security_result.about.labels`	已合并
`audit_message`	`security_result.about.labels`	映射的值（共 7 个，例如 `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CH…
`exit_label`	`security_result.about.labels`	已合并
`syscall_label`	`security_result.about.labels`	已合并
`tty_label`	`security_result.about.labels`	已合并
`jsonPayload._AUDIT_FIELD_ARCH`	`security_result.about.platform_version`	直接映射
`type_syscall_props.arch`	`security_result.about.platform_version`	直接映射
`type_syscall_props.key`	`security_result.about.registry.registry_key`	直接映射
`product_log_id`	`security_result.about.registry.registry_value_data`	直接映射
`action`	`security_result.action`	已合并
`action_data`	`security_result.action`	映射：`"authentication failure", "Authentication failure", "Failed password", "Connection …
`audit_message`	`security_result.action`	已映射：`type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER…
`security_action`	`security_result.action`	已合并
`action_data`	`security_result.action_details`	直接映射
`auth`	`security_result.action_details`	已映射：`sshd` → `FAILURE`
`status`	`security_result.action_details`	直接映射
`type_crypto_props.res`	`security_result.action_details`	已重命名/已映射
`type_syscall_props.res`	`security_result.action_details`	直接映射
`a0_label`	`security_result.detection_fields`	已合并
`a1_label`	`security_result.detection_fields`	已合并
`a2_label`	`security_result.detection_fields`	已合并
`a3_label`	`security_result.detection_fields`	已合并
`audit_message`	`security_result.detection_fields`	已映射：`type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER…
`auid_field`	`security_result.detection_fields`	已合并
`auth`	`security_result.detection_fields`	已映射：`sshd` → `authentication_protocol_field`、`sshd` → `authentication_mechanism_field` 等
`authentication_mechanism_field`	`security_result.detection_fields`	已合并
`authentication_protocol_field`	`security_result.detection_fields`	已合并
`bootid_label`	`security_result.detection_fields`	已合并
`connection_state_field`	`security_result.detection_fields`	已合并
`cwd_field`	`security_result.detection_fields`	已合并
`exit_label`	`security_result.detection_fields`	已合并
`jsonPayload._AUDIT_TYPE_NAME`	`security_result.rule_id`	直接映射
`type_name`	`security_result.rule_id`	直接映射
`msg_desc`	`security_result.summary`	直接映射
`secsummary`	`security_result.summary`	直接映射
`type_anom_props.reason`	`security_result.summary`	直接映射
`type_syscall_props.op`	`security_result.summary`	直接映射
`type_syscall_props.res`	`security_result.summary`	直接映射
`type_syscall_props.success`	`security_result.summary`	直接映射
`type_path1_props.name`	`src.file.full_path`	已重命名/映射
`type_crypto_props.terminal`	`target.application`	已重命名/映射
`target_hostname`	`target.asset.hostname`	直接映射
`type_crypto_props.hostname`	`target.asset.hostname`	直接映射
`dst_ip`	`target.asset.ip`	已合并
`resource.labels.project_id`	`target.cloud.project.name`	直接映射
`filepath`	`target.file.full_path`	直接映射
`jsonPayload._AUDIT_FIELD_FILE`	`target.file.full_path`	直接映射
`target_file_full_path`	`target.file.full_path`	直接映射
`jsonPayload._AUDIT_FIELD_HASH`	`target.file.sha256`	直接映射
`target_hostname`	`target.hostname`	直接映射
`type_crypto_props.hostname`	`target.hostname`	直接映射
`audit_message`	`target.ip`	已映射：`type=(CRYPTO_SESSION/CRYPTO_KEY_USER)` → `tar_ip`
`dst_ip`	`target.ip`	已合并
`tar_ip`	`target.ip`	已合并
`resource.labels.location`	`target.location.name`	直接映射
`dst_port`	`target.port`	直接映射
`target_port`	`target.port`	直接映射
`type_crypto_props.rport`	`target.port`	已重命名/映射
`args`	`target.process.command_line`	已重命名/映射
`cmnd`	`target.process.command_line`	直接映射
`command_line`	`target.process.command_line`	直接映射
`cwd`	`target.process.file.full_path`	直接映射
`jsonPayload._EXE`	`target.process.file.full_path`	直接映射
`proctitle_value`	`target.process.file.full_path`	直接映射
`type_anom_props.exe`	`target.process.file.full_path`	已重命名/映射
`type_crypto_props.exe`	`target.process.file.full_path`	已重命名/映射
`type_syscall_props.exe`	`target.process.file.full_path`	直接映射
`type_anom_props.pid`	`target.process.pid`	已重命名/映射
`type_crypto_props.pid`	`target.process.pid`	已重命名/映射
`resource.labels.cluster_name`	`target.resource.name`	直接映射
`audit_message`	`target.resource.type`	Mapped: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER…
`type_name`	`target.resource.type`	已映射：`"USER_ACCT", "USER_ROLE_CHANGE","USER_MGMT"` → `SETTING`
`target_email`	`target.user.email_addresses`	已映射：`^.+@.+$` → `target_email`
`type_syscall_props.ID`	`target.user.user_display_name`	直接映射
`type_syscall_props.acct`	`target.user.user_display_name`	直接映射
`event.idm.read_only_udm.principal.user.userid`	`target.user.userid`	已重命名/已映射
`jsonPayload._UID`	`target.user.userid`	直接映射
`type_crypto_props.uid`	`target.user.userid`	直接映射
`type_syscall_props.acct`	`target.user.userid`	直接映射
`type_syscall_props.id`	`target.user.userid`	直接映射
`type_syscall_props.uid`	`target.user.userid`	直接映射
`user_name`	`target.user.userid`	直接映射
`username`	`target.user.userid`	直接映射
不适用	`extensions.auth.type`	常量：`AUTHTYPE_UNSPECIFIED`
不适用	`metadata.event_type`	常量：`STATUS_UPDATE`
不适用	`metadata.product_event_type`	常量：`PAM_KRB5_AUTH_ERROR`
不适用	`metadata.product_name`	常量：`AuditD`
不适用	`metadata.vendor_name`	常量：`Linux`
不适用	`network.application_protocol`	常量：`SSH`
不适用	`network.direction`	常量：`OUTBOUND`
不适用	`network.ip_protocol`	常量：`TCP`
不适用	`principal.platform`	常量：`LINUX`
不适用	`principal.user.userid`	常量：`event.idm.read_only_udm.target.user.userid`
不适用	`security_result.action_details`	常量：`FAILURE`
不适用	`target.resource.type`	常量：`SETTING`

更新日志

查看此解析器的更新日志