收集 Nutanix Prism 日志

概览

此解析器可处理 Nutanix Prism 日志，并支持 JSON 和 syslog 格式。它从各种日志结构中提取字段，将这些字段标准化为 UDM，并使用用户信息、网络详细信息和安全严重程度等其他上下文信息来丰富数据。解析器还会根据 HTTP 方法和日志级别执行特定操作，将事件归类为 UDM 事件类型，例如 USER_LOGIN、STATUS_UPDATE 和 GENERIC_EVENT。

准备工作

• 确保您拥有 Google SecOps 实例。
• 确保您拥有对 Nutanix Prism Central 的特权访问权限。
• 确保您拥有 Windows 2012 SP2 或更高版本或带有 systemd 的 Linux 主机。
• 如果是在代理后面运行，请确保防火墙端口处于开放状态。

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载注入身份验证文件。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 个人资料。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 BindPlane 代理

1. 对于 Windows 安装，请运行以下脚本：msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet。
2. 对于 Linux 安装，请运行以下脚本：sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh。
3. 如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

1. 访问安装了 Bindplane 代理的机器。

2. 按如下方式修改 config.yaml 文件：

   receivers:
     tcplog:
       # Replace the below port <54525> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: Namespace
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 使用以下命令重启 Bindplane 代理以应用更改： sudo systemctl bindplane restart

从 Nutanix Prism 导出 Syslog

1. 使用特权账号登录 Prism Central。
2. 从菜单中选择 Prism Central 设置。
3. 前往 Syslog 服务器。
4. 点击 + 配置 Syslog 服务器。
5. 在 Syslog 服务器对话框中，为输入参数指定值：
   • 服务器名称：输入服务器的名称（例如 Google SecOps Bindplane 服务器）
   • IP 地址：输入 Bindplane 代理的 IP。
   • 端口：输入 Bindplane 代理侦听的端口。
   • 传输协议：选择 TCP。
   • 点击配置。
6. 点击数据源选项中的 + 修改。
7. 在数据源和相应严重程度对话框中，为输入参数指定值：
   • 选择 API 审核、审核和 Flow。
   • 将每个的严重级别设置为 6 - 信息。
   • 点击保存。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。