我們重新調整了說明文件的導覽結構，直接對應您的作業工作流程。詳情請參閱版本資訊和逐步解說影片。

Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Vectra Detect 記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane 代理程式，將 Vectra Detect 記錄擷取至 Google Security Operations。

Vectra Detect 是網路偵測及回應 (NDR) 平台，可產生 JSON 和 CEF 格式的系統記錄訊息，用於主機偵測、活動事件、稽核事件和健康狀態事件。剖析器會從 SYSLOG、JSON 和 CEF 格式中擷取欄位，並對應至統合式資料模型 (UDM)。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
Bindplane 代理程式與 Vectra Detect 設備之間的網路連線
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
Vectra Detect UI 的管理員存取權

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 的系統上。

注意： 這個 JSON 檔案包含驗證 Bindplane 代理程式與 Google SecOps 的憑證。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」部分中的客戶 ID。

注意： 設定 Bindplane 代理程式匯出工具時，必須提供客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安裝完成。
執行下列指令，確認安裝成功：
```
sc query observiq-otel-collector
```
服務應顯示為「RUNNING」。

Linux 安裝

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安裝完成。
執行下列指令，確認安裝成功：
```
sudo systemctl status observiq-otel-collector
```
服務應顯示為有效 (執行中)。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

Linux：

sudo nano /opt/observiq-otel-collector/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的所有內容替換為下列設定：

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/vectra_detect:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: VECTRA_DETECT
        raw_log_field: body

service:
    pipelines:
        logs/vectra_detect_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/vectra_detect

設定參數

替換下列預留位置：

接收器設定：
- listen_address：要接聽的 IP 位址和通訊埠：
  - 0.0.0.0，監聽所有介面 (建議)
  - 通訊埠 514 是標準的系統記錄通訊埠 (在 Linux 上需要根層級權限；非根層級權限請使用 1514)
匯出工具設定：
- creds_file_path：擷取驗證檔案的完整路徑：
  - Linux：/etc/bindplane-agent/ingestion-auth.json
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id：從 Google SecOps 控制台複製的客戶 ID
- endpoint：區域端點網址：
  - 美國：malachiteingestion-pa.googleapis.com
  - 歐洲：europe-malachiteingestion-pa.googleapis.com
  - 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
  - 如需完整清單，請參閱「區域端點」

儲存設定檔

編輯完成後，請儲存檔案：
- Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
- Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

sudo systemctl restart observiq-otel-collector

確認服務正在執行：

sudo systemctl status observiq-otel-collector

檢查記錄中是否有錯誤：

sudo journalctl -u observiq-otel-collector -f

如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列其中一個選項：
- 以管理員身分開啟命令提示字元或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服務控制台：
  1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
  2. 找出 observIQ OpenTelemetry Collector。
  3. 按一下滑鼠右鍵，然後選取「重新啟動」。
  4. 確認服務正在執行：
```
sc query observiq-otel-collector
```
  5. 檢查記錄中是否有錯誤：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

設定 Vectra Detect 傳送系統記錄檔

登入 Vectra Detect 使用者介面。
依序前往「設定」>「通知」。
前往「系統記錄」Syslog部分。
按一下「編輯」，即可新增或編輯系統記錄設定。
- 目的地：輸入 Bindplane 代理程式 IP 位址。
- 「Port」(通訊埠)：輸入 Bindplane 代理程式通訊埠編號。
- 通訊協定：根據 Bindplane 設定選取 UDP 或 TCP。
- 格式：選取「JSON」。
- 記錄類型：選取要傳送至 Google SecOps 的記錄。
- 勾選「Include Enhanced Details」(包含詳細資料) 核取方塊。
選用：在右側設定其他切換鈕：
- 包含已分類的偵測結果：關閉這項設定後，系統就不會在建立或更新已分類的偵測結果時傳送 Syslog 訊息。
- 在「資訊」類別中加入偵測結果：關閉後，系統就不會在建立或更新「資訊」類別中的偵測結果時傳送 Syslog 訊息。
- 包含主機/帳戶分數下降：關閉這項設定後，如果威脅和確定度分數都下降或維持不變，系統就不會傳送系統記錄訊息。
按一下 [儲存]。
按一下「測試」，測試設定。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`action`	`read_only_udm.security_result.action`	如果稽核事件中的 [result] 為「true」或「failure」，則取自「action」欄位的值。
`category`	`read_only_udm.security_result.category_details`	取自「category」欄位的值。
`certainty`	`read_only_udm.security_result.confidence`	如果 [certainty] 介於 0 到 35 之間，請設為「LOW_CONFIDENCE」。如果 [certainty] 介於 35 和 70 之間，請設為「MEDIUM_CONFIDENCE」。如果 [certainty] 介於 70 到 100 之間，請設為「HIGH_CONFIDENCE」。
`dd_bytes_rcvd`	`read_only_udm.network.received_bytes`	取自「dd_bytes_rcvd」欄位的值。
`dd_bytes_sent`	`read_only_udm.network.sent_bytes`	取自「dd_bytes_sent」欄位的值。
`dd_dst_dns`	`read_only_udm.target.hostname`	取自「dd_dst_dns」欄位的值。
`dd_dst_dns`	`read_only_udm.target.asset.hostname`	取自「dd_dst_dns」欄位的值。
`dd_dst_ip`	`read_only_udm.target.asset.ip`	取自「dd_dst_ip」欄位的值。
`dd_dst_ip`	`read_only_udm.target.ip`	取自「dd_dst_ip」欄位的值。
`dd_dst_port`	`read_only_udm.target.port`	取自「dd_dst_port」欄位的值。
`detection_id`	`read_only_udm.metadata.product_log_id`	值取自「detection_id」欄位。
`detection_profile.name`	`read_only_udm.security_result.detection_fields`	索引鍵為「detection_profile name」，值取自「detection_profile.name」欄位。
`detection_profile.scoringDetections`	`read_only_udm.security_result.detection_fields`	鍵為「detectionprofile scoringDetections{index}」，值取自「detection_profile.scoringDetections」陣列中的每個元素。
`detection_profile.vname`	`read_only_udm.security_result.detection_fields`	索引鍵為「detection_profile vname」，值取自「detection_profile.vname」欄位。
`dest_ip`	`read_only_udm.target.asset.ip`	取自廣告活動事件的「dest_ip」欄位。
`dest_ip`	`read_only_udm.target.ip`	取自廣告活動事件的「dest_ip」欄位。
`dest_name`	`read_only_udm.target.asset.hostname`	取自廣告活動事件的「dest_name」欄位值。
`dest_name`	`read_only_udm.target.hostname`	取自廣告活動事件的「dest_name」欄位值。
`d_type`	`read_only_udm.additional.fields`	索引鍵為「d_type」，值取自「d_type」欄位。
`d_type_vname`	`read_only_udm.additional.fields`	鍵為「d_type_vname」，值取自「d_type_vname」欄位。
`dvchost`	`read_only_udm.observer.hostname`	取自「dvchost」欄位的值。
`dvchost`	`read_only_udm.principal.asset.hostname`	如果主機事件中的 [host_name] 為空，則取自「dvchost」欄位的值。
`dvchost`	`read_only_udm.principal.hostname`	如果主機事件中的 [host_name] 為空，則取自「dvchost」欄位的值。
`headend_addr`	`read_only_udm.observer.ip`	取自「headend_addr」欄位的值。
`headend_addr`	`read_only_udm.principal.asset.ip`	如果「偵測事件」中的 [host_ip] 為空，則取自「headend_addr」欄位的值。
`headend_addr`	`read_only_udm.principal.ip`	如果「偵測事件」中的 [host_ip] 為空，則取自「headend_addr」欄位的值。
`href`	`read_only_udm.target.url`	取自「href」欄位的值。
`host_id`	`read_only_udm.target.asset_id`	在主機事件中，值為「VectraAI.DETECT:{host_id}」。
`host_ip`	`read_only_udm.principal.asset.ip`	取自 HOST 和偵測事件中「host_ip」欄位的值。
`host_ip`	`read_only_udm.principal.ip`	取自 HOST 和偵測事件中「host_ip」欄位的值。
`host_name`	`read_only_udm.principal.asset.hostname`	值取自「host_name」欄位。
`host_name`	`read_only_udm.principal.hostname`	值取自「host_name」欄位。
`msg_data`	`read_only_udm.security_result.summary`	取自稽核和健康狀態事件的「msg_data」欄位。
`quadrant`	`read_only_udm.security_result.priority_details`	取自「象限」欄位的值。
`result`	`read_only_udm.security_result.action`	如果 [result] 為「true」，請設為「ALLOW」。如果 [result] 為「failure」，請在稽核事件中設為「BLOCK」。
`result`	`read_only_udm.security_result.detection_fields`	鍵為「result」，值取自稽核和健康狀態事件的「result」欄位。
`role`	`read_only_udm.target.user.attribute.roles.name`	取自稽核事件的「角色」欄位。
`severity`	`read_only_udm.security_result.severity`	如果 [threat] 介於 0 到 20 之間，請設為「INFORMATIONAL」。如果 [威脅] 介於 20 到 40 之間，請設為「低」。如果 [威脅] 介於 40 到 60 之間，請設為「中」。如果 [威脅] 介於 60 到 80 之間，請設為「高」。如果 [威脅] 介於 80 到 100 之間，請設為「重大」。
`severity`	`read_only_udm.security_result.severity_details`	取自「嚴重程度」欄位的值。
`source_ip`	`read_only_udm.principal.asset.ip`	取自稽核和健康狀態事件中的「source_ip」欄位。
`source_ip`	`read_only_udm.principal.ip`	取自稽核和健康狀態事件中的「source_ip」欄位。
`src`	`read_only_udm.principal.asset.ip`	取自 CEF 事件的「src」欄位。
`src`	`read_only_udm.principal.ip`	取自 CEF 事件的「src」欄位。
`src_ip`	`read_only_udm.principal.asset.ip`	取自廣告活動事件中的「src_ip」欄位。
`src_ip`	`read_only_udm.principal.ip`	取自廣告活動事件中的「src_ip」欄位。
`src_name`	`read_only_udm.principal.asset.hostname`	如果 [host_name] 和 [dvchost] 為空白，則取自「src_name」欄位的值。
`src_name`	`read_only_udm.principal.hostname`	如果 [host_name] 和 [dvchost] 為空白，則取自「src_name」欄位的值。
`threat`	`read_only_udm.security_result.severity`	如果 [threat] 介於 0 到 20 之間，請設為「INFORMATIONAL」。如果 [威脅] 介於 20 到 40 之間，請設為「低」。如果 [威脅] 介於 40 到 60 之間，請設為「中」。如果 [威脅] 介於 60 到 80 之間，請設為「高」。如果 [威脅] 介於 80 到 100 之間，請設為「重大」。
`triaged`	`read_only_udm.additional.fields`	鍵為「triaged」，值取自「triaged」欄位。
`type`	`read_only_udm.metadata.product_event_type`	取自健康事件的「類型」欄位。
`user`	`read_only_udm.target.user.userid`	取自稽核事件的「user」欄位。
`vectra_timestamp`	`read_only_udm.metadata.event_timestamp`	取自「vectra_timestamp」欄位的值。
`version`	`read_only_udm.metadata.product_version`	取自「版本」欄位的值。
	`read_only_udm.metadata.event_type`	如果 [msg_data] 包含「log in」，且 [user] 在稽核事件中不為空白，則設為「USER_LOGIN」。
	`read_only_udm.metadata.event_type`	在 HOST 事件中設為「SCAN_HOST」。
	`read_only_udm.metadata.event_type`	如果 [host_ip] 不為空白、[principal_present] 為 true，且 [target_present] 在偵測事件中為 true，請設為「NETWORK_HTTP」。
	`read_only_udm.metadata.event_type`	如果「偵測事件」中的 [principal_present] 為 true，請設為「STATUS_UPDATE」。
	`read_only_udm.metadata.event_type`	如果「偵測事件」中的 [principal_present] 和 [target_present] 均為 true，請設為「NETWORK_CONNECTION」。
	`read_only_udm.metadata.event_type`	如果 [event_type] 為「GENERIC_EVENT」，[principal_present] 為 true，且 [target_present] 為 true，則設為「NETWORK_CONNECTION」。
	`read_only_udm.metadata.event_type`	如果 [event_type] 為「GENERIC_EVENT」，且 [principal_present] 為 true，請設為「STATUS_UPDATE」。
	`read_only_udm.metadata.log_type`	設為「VECTRA_DETECT」。
	`read_only_udm.metadata.vendor_name`	設為「Vectra.AI」。
	`read_only_udm.metadata.product_name`	設為「DETECT」。
	`read_only_udm.network.application_protocol`	如果 [dd_dst_port] 為 80，請設為「HTTP」。
	`read_only_udm.network.application_protocol`	如果 [dd_dst_port] 為 443，請設為「HTTPS」。
	`read_only_udm.network.application_protocol`	如果「Detections Events」中的 [principal_present] 和 [target_present] 均為 true，請設為「UNKNOWN_APPLICATION_PROTOCOL」。
	`read_only_udm.network.http.method`	設為「METHOD_OTHER」。
	`read_only_udm.extensions.auth.type`	如果 [msg_data] 在稽核事件中包含「log in」，請設為「AUTHTYPE_UNSPECIFIED」。
	is_alert	如果 [triaged] 為 true，則設為「true」。
`detection_id`	`event.idm.read_only_udm.metadata.product_log_id`	從變更記錄對應
`id`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`entity_id`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`detail.event_id`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`detail.account_id`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`detail.dst_host.id`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`detail.dst_host.session_luid`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`detail.src_account.id`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`detection_type`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`entity_type`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`entity_uid`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`detail.event_name`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`detail.sensor.count`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`detail.count`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`detail.first_timestamp`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`detail.last_timestamp`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`detail.additional_details.client_name`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`detail.additional_details.cookie`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`detail.additional_details.encrypted`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`detail.additional_details.normal`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`phase1_bytes.sent`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`phase1_bytes.recv`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`phase2_bytes.sent`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`phase2_bytes.recv`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`breadth_contrib`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`entity_importance`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`importance`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`is_prioritized`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`urgency_score`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`velocity_contrib`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`attack_rating`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`active_detection_types`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`last_detection_type`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`last_detection_id`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`threat`	`event.idm.read_only_udm.security_result.severity`	從變更記錄對應
`certainty`	`event.idm.read_only_udm.security_result.confidence`	從變更記錄對應
`detection_href`	`event.idm.read_only_udm.principal.url`	從變更記錄對應
`detail.src_host.ip`	`event.idm.read_only_udm.principal.ip`	從變更記錄對應
`detail.src_host.name`	`event.idm.read_only_udm.principal.hostname`	從變更記錄對應
`detail.dst_host.ip`	`event.idm.read_only_udm.target.ip`	從變更記錄對應
`detail.dst_host.name`	`event.idm.read_only_udm.target.hostname`	從變更記錄對應
`detail.src_account.name`	`event.idm.read_only_udm.target.user.user_display_name`	從變更記錄對應
`detail.dst_account.id`	`event.idm.read_only_udm.target.user.userid`	從變更記錄對應
`detail.dst_account.name`	`event.idm.read_only_udm.target.user.user_display_name`	從變更記錄對應
`detail.sensor.name`	`event.idm.read_only_udm.observer.hostname`	從變更記錄對應
`detail.dst_port`	`event.idm.read_only_udm.target.port`	從變更記錄對應
`detail.additional_details.dst_ips`	`event.idm.read_only_udm.target.port`	從變更記錄對應
`detail.bytes_received`	`event.idm.read_only_udm.network.sent_bytes`	從變更記錄對應
`last_detection_url`	`event.idm.read_only_udm.target.url`	從變更記錄對應
`detail.account_uid`	`event.idm.read_only_udm.principal.user.email_addresses`	從變更記錄對應
`threat", "certainty", and "score_decreases`	`additional.fields`	從變更記錄對應
`detection_profile.name", "detection_profile.vname", and "detection_profile.scoringDetections`	`security_result.detection_fields`	從變更記錄對應
`msg.quadrant`	`security_result.priority_details`	從變更記錄對應
`suser`	`principal.user.email_addresses`	從變更記錄對應
`suser`	`principal.user.userid`	從變更記錄對應
`message`	`security_result.summary`	從變更記錄對應
`device_version`	`metadata.product_version`	從變更記錄對應
`externalId`	`metadata.product_log_id`	從變更記錄對應
`event_name" and "device_event_class_id`	`metadata.product_event_type`	從變更記錄對應
`shost`	`principal.hostname`	從變更記錄對應
`dhost`	`target.hostname`	從變更記錄對應
`cs5`	`additional.fields`	從變更記錄對應
`cs4`	`metadata.target.url`	從變更記錄對應
`out`	`network.sent_bytes`	從變更記錄對應
`dpt`	`target.port`	從變更記錄對應
`proto`	`network.ip_protocol`	從變更記錄對應
`href`	`metadata.target.url`	從變更記錄對應
`account_uid`	`additional.fields`	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。