收集 Nix 系统 Red Hat 日志

本文档介绍了如何使用 Bindplane 将 RHEL Server（Unix 系统）日志注入到 Google Security Operations。解析器会提取 syslog 和 JSON 格式的日志，将各种 UDM 字段初始化为空字符串，对 message 字段执行多项字符串替换操作，然后尝试将消息解析为 JSON。如果 JSON 解析失败，它会使用 grok 模式根据 message 和 event_details.original 内容提取字段，并根据事件类型和各种条件检查将提取的字段映射到 UDM，从而处理来自各种 Unix 系统进程和服务的不同日志格式和结构。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例
• 如果在代理后运行，防火墙端口处于开放状态
• 对 RHEL 服务器的特权访问权限

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载注入身份验证文件。将该文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c `$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)` install_unix.sh
   

其他安装资源

如需了解其他安装选项，请参阅安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

1. 访问配置文件：
   • 找到 config.yaml 文件。通常，它位于 Linux 上的 /etc/bindplane-agent/ 目录中。
   • 使用文本编辑器（例如 nano 或 vi）打开该文件。

2. 按如下方式修改 config.yaml 文件：

         receivers:
             filelog/linux:
             include:
               - /var/log/messages
               - /var/log/lastlog
               - /var/log/btmp
               - /var/log/wtmp
               - /var/log/secure
               - /var/log/cron
               - /var/log/maillog
               - /var/log/boot
             start_at: end
             poll_interval: 5s
   
         exporters:
             chronicle/linux:
                 # Adjust the path to the credentials file you downloaded in Step 1
                 creds: '/path/to/ingestion-authentication-file.json'
                 # Replace with your actual customer ID from Step 2
                 customer_id: <customer_id>
                 endpoint: malachiteingestion-pa.googleapis.com
                 # Add optional ingestion labels for better organization
                 log_type: 'NIX_SYSTEM'
                 override_log_type: false
                 raw_log_field: body
   
         service:
           pipelines:
             logs/linux:
               receivers:
               - filelog/linux
           exporters: [chronicle/linux]
         ```
   

1. 将 <customer_id> 替换为实际的客户 ID。

2. 将 /path/to/ingestion-authentication-file.json 更新为获取 Google SecOps 提取身份验证文件部分中保存身份验证文件的路径。

   启动 Bindplane 代理并应用更改

3. 启动 Bindplane 代理：

   sudo systemctl start bindplane-agent
   

4. 启用 observIQ otel 收集器服务：

   systemctl enable --now bindplane-agent
   

5. 如有必要，请重启 Bindplane 代理：

   sudo systemctl restart bindplane-agent
   

UDM 映射表

• event.idm.read_only_udm.metadata.event_type：最初设置为 GENERIC_EVENT，然后根据解析器逻辑进行覆盖。
• event.idm.read_only_udm.metadata.product_name：硬编码为 Unix System。
• event.idm.read_only_udm.extensions.auth.type：对于某些事件类型，设置为 MACHINE。
• event.idm.read_only_udm.target.asset.attribute.cloud.environment：对于 Google Cloud 审核日志，请设置为 GOOGLE_CLOUD_PLATFORM。
• event.idm.read_only_udm.target.resource.resource_type：对于 Google Cloud 审核日志，请设置为 VIRTUAL_MACHINE。
• event.idm.read_only_udm.extensions.auth.mechanism：对于登录事件，设置为 USERNAME_PASSWORD。
• has_target_resource：如果存在 resource.labels.instance_id 或 _Internal_WorkspaceResourceId，则设置为 true。

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。