收集 Apache Tomcat 記錄

剖析器版本：3.0

支援的國家/地區：

本文說明如何使用 Bindplane 代理程式，將 Apache Tomcat 記錄擷取至 Google Security Operations。

Apache Tomcat 是一種網頁應用程式伺服器，會針對 HTTP 要求、驗證事件和伺服器活動產生 JSON 存取記錄。剖析器會從 JSON 格式和系統記錄格式的記錄檔中擷取欄位，並將這些欄位對應至統合資料模型 (UDM)。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
  • 安裝在 Tomcat 伺服器上的 Bindplane 代理程式 (用於讀取本機記錄檔)
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
  • Tomcat 伺服器的管理存取權

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案。

  4. 將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。

  3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

在 Tomcat 伺服器上安裝 Bindplane 代理程式，收集記錄檔

在 Tomcat 伺服器上安裝 Bindplane 代理程式，因為代理程式需要讀取本機記錄檔。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sc query observiq-otel-collector

    服務應顯示為「RUNNING」。

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sudo systemctl status observiq-otel-collector

    服務應顯示為有效 (執行中)。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取 Tomcat 記錄並傳送至 Google SecOps

找出設定檔

  • Linux：

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

  • 將 config.yaml 的所有內容替換為下列設定：

    receivers:
    filelog/tomcat:
        include:
            - /path/to/tomcat/logs/access-log.*.json
        start_at: beginning

exporters:
    chronicle/tomcat:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: TOMCAT
        raw_log_field: body

service:
    pipelines:
        logs/tomcat_to_chronicle:
            receivers:
                - filelog/tomcat
            exporters:
                - chronicle/tomcat

設定參數

替換下列預留位置：

  • 接收器設定：

    • include：Tomcat JSON 存取記錄檔的路徑。請根據 Tomcat 記錄目錄和檔案模式進行調整。
    • start_at：設為 beginning 可讀取現有記錄，設為 end 則只會讀取新項目。

  • 匯出工具設定：

    • creds_file_path：擷取驗證檔案的完整路徑：
      • Linux：/etc/bindplane-agent/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id：從 Google SecOps 控制台複製的客戶 ID
    • endpoint：區域端點網址：
      • 美國：malachiteingestion-pa.googleapis.com
      • 歐洲：europe-malachiteingestion-pa.googleapis.com
      • 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
      • 如需完整清單，請參閱「區域端點」

儲存設定檔

  • 編輯完成後，請儲存檔案：
    • Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

  • 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

    sudo systemctl restart observiq-otel-collector

    1. 確認服務正在執行：

      sudo systemctl status observiq-otel-collector

    2. 檢查記錄中是否有錯誤：

      sudo journalctl -u observiq-otel-collector -f

  • 如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列其中一個選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 服務控制台：

      1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出 observIQ OpenTelemetry Collector。
      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

      4. 確認服務正在執行：

        sc query observiq-otel-collector

      5. 檢查記錄中是否有錯誤：

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

在 Tomcat 中設定 JSON 存取記錄

  1. 開啟 $CATALINA_BASE/conf/server.xml 的 Tomcat 設定檔。

  2. 找出 <Host> 標記，並在其中加入下列內容：

    <Valve className="org.apache.catalina.valves.JsonAccessLogValve"
       directory="logs"
       prefix="access-log"
       suffix=".json"
       rotatable="true"
       maxDays="7"/>

  3. 重新啟動 Tomcat，以套用變更：

    cd /path/to/tomcat
bin/catalina.sh stop
bin/catalina.sh start

  4. 每天都會產生新的 JSON 記錄檔 (例如 logs/access-log.2025-07-02.json)。

UDM 對應表

記錄欄位 UDM 對應 邏輯
@timestamp metadata.event_timestamp 原始記錄中的 @timestamp 值會直接對應至這個 UDM 欄位。代表事件發生的時間。
agent.ephemeral_id additional.fields[ephemeral_id].value.string_value 代理程式的暫時性 ID 會以鍵/值組合的形式新增至 additional 欄位。
agent.hostname observer.hostname 代理程式的主機名稱會做為觀察器主機名稱。
agent.id observer.asset_id 代理程式 ID 會與代理程式類型合併，建立觀察者資產 ID (例如 filebeat: <agent_id>)。
agent.type observer.application 代理程式類型會做為觀察者應用程式。
agent.version observer.platform_version 代理程式版本會做為觀察者平台版本。
host.hostname principal.hostname 主機的主機名稱會做為主要主機名稱。
host.id principal.asset.asset_id 主機 ID 前面會加上 Host Id:，建立主體資產 ID。
host.ip principal.ip、observer.ip 主機的 IP 位址會同時用於主體和觀察者 IP。如果有多個 IP，系統會合併成陣列。
host.mac principal.mac 主機的 MAC 位址會做為主要 MAC 位址。如果有多個 MAC，系統會合併成陣列。
host.os.family principal.platform 如果主機 OS 系列為 rhel 或 redhat，主要平台會設為 LINUX。
host.os.kernel principal.platform_patch_level 主機 OS 核心版本會做為主要平台修補程式層級。
host.os.name additional.fields[os_name].value.string_value 主機 OS 名稱會以鍵/值組合的形式新增至 additional 欄位。
host.os.version principal.platform_version 主機 OS 版本會做為主要平台版本。
log.file.path principal.process.file.full_path 記錄路徑會做為主要程序檔案的完整路徑。
log_level security_result.severity、security_result.severity_details、security_result.action 記錄層級用於判斷安全性結果嚴重程度、嚴重程度詳細資料和動作。DEBUG、INFO 和 AUDIT 會對應至 INFORMATIONAL 嚴重程度和 ALLOW 動作。ERROR 會對應至 ERROR 嚴重程度和 BLOCK 動作。WARNING 和 WARN 會對應到中等嚴重程度和 BLOCK 動作。原始 log_level 值也會對應至 severity_details。
logstash.irm_environment additional.fields[irm_environment].value.string_value Logstash 的 Iron Mountain 環境會以鍵/值組合的形式新增至 additional 欄位。
logstash.irm_region additional.fields[irm_region].value.string_value Logstash 的 Iron Mountain 區域會以鍵/值組合的形式新增至 additional 欄位。
logstash.irm_site additional.fields[irm_site].value.string_value Logstash 中的 Iron Mountain 網站會以鍵/值組合的形式新增至 additional 欄位。
logstash.process.host intermediary.hostname Logstash 處理主機會做為中介主機名稱。
logstash.process.timestamp metadata.collected_timestamp Logstash 處理時間戳記會做為收集時間戳記。
logstash.xyz_environment additional.fields[xyz_environment].value.string_value Logstash 中的 xyz 環境會以鍵/值組合的形式新增至 additional 欄位。
logstash.xyz_region additional.fields[xyz_region].value.string_value Logstash 的 xyz 區域會以鍵/值組合的形式新增至 additional 欄位。
logstash.xyz_site additional.fields[xyz_site].value.string_value Logstash 中的 xyz 網站會以鍵/值組合的形式新增至 additional 欄位。
message metadata.description 系統會將訊息欄位剖析為 JSON，並將其 event_message 欄位做為中繼資料說明。中介應用程式已硬式編碼為 logstash。中繼資料事件類型會硬式編碼為 USER_UNCATEGORIZED。中繼資料記錄類型會從原始記錄的 batch.type 或 batch.log_type 設為 TOMCAT。中繼資料產品名稱會硬式編碼為 Tomcat。中繼資料供應商名稱是以硬式編碼設為 Tomcat。
user principal.user.userid 原始記錄中的使用者欄位會做為主體使用者 ID。
product_event metadata.product_event_type 從變更記錄對應
summary security_result.summary 從變更記錄對應
query additional.fields 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。