收集 Broadcom CA PAM 日志

解析器版本：1.0

本文档介绍了如何使用 Bindplane 将 Broadcom CA Privileged Access Manager 日志注入到 Google Security Operations。Broadcom CA Privileged Access Manager (PAM) 是一种企业特权访问权限管理解决方案，可控制、监控和审核特权用户对关键系统的访问权限。它可在混合环境中提供凭据保险库、会话记录和访问政策强制执行功能。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例。
• 搭载 systemd 的 Windows 2016 或更高版本或 Linux 主机。
• 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开。
• 对 Broadcom Privileged Access Management Web 界面的特权访问权限。

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载数据注入身份验证文件。将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安装资源

如需了解其他安装选项，请参阅安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

1. 访问配置文件：

   • 找到 config.yaml 文件。通常，它位于 Linux 上的 /observiq-otel-collector/ 目录中或 Windows 上的安装目录中。
   • 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

2. 按如下方式修改 config.yaml 文件：

   receivers:
       tcplog:
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/broadcom_ca_pam:
           compression: gzip
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           customer_id: '<customer_id>'
           endpoint: malachiteingestion-pa.googleapis.com
           log_type: BROADCOM_CA_PAM
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/broadcom_ca_pam:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/broadcom_ca_pam
   

• 根据基础架构的需要替换端口和 IP 地址。
• 将 <customer_id> 替换为实际的客户 ID。
• 将 /path/to/ingestion-authentication-file.json 更新为获取 Google SecOps 注入身份验证文件部分中保存身份验证文件的路径。

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

1. 运行以下命令：

   sudo systemctl restart observiq-otel-collector
   

2. 验证服务是否正在运行：

   sudo systemctl status observiq-otel-collector
   

3. 检查日志是否存在错误：

   sudo journalctl -u observiq-otel-collector -f
   

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

1. 请从下列选项中选择一项：

   • 以管理员身份运行命令提示符或 PowerShell：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • 服务控制台：
     1. 按 Win+R，输入 services.msc，然后按 Enter 键。
     2. 找到 observIQ OpenTelemetry 收集器。
     3. 右键点击并选择重新启动。

2. 验证服务是否正在运行：

   sc query observiq-otel-collector
   

3. 检查日志是否存在错误：

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

在 Broadcom CA PAM 上配置远程 syslog

1. 登录 Privileged Access Management 网页界面。
2. 依次前往配置 > 日志 > Syslog。
3. 选择 Syslog Enabled 切换开关。
4. 从消息格式列表中选择以空格分隔。
5. 点击添加服务器。

6. 在新行中提供以下配置详细信息：

   • 服务器：输入 Bindplane 代理 IP 地址（例如 192.168.1.100）。
   • 端口：输入 514（或您配置的 Bindplane 代理端口）。如果您将端口留空，则默认值为 514。
   • 协议：选择 TCP。

7. 点击更新以保存设置。

8. 通过检查 Bindplane 代理日志，验证日志是否正在发送。

UDM 映射表

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。