Recopila registros de F5 AFM

Versión del analizador: 23.0

Se admite en los siguientes sistemas operativos:

En este documento, se explica cómo transferir registros de F5 Advanced Firewall Management (AFM) a Google Security Operations con el agente de Bindplane.

F5 BIG-IP AFM es un módulo de firewall de red que genera mensajes de syslog para las acciones de reglas de firewall (aceptar, descartar, rechazar), los eventos de inteligencia de IP y los errores de TCP. El analizador extrae campos de los registros con formato CSV o syslog y los asigna al modelo de datos unificado (UDM).

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Windows Server 2016 o versiones posteriores, o host de Linux con systemd
  • Conectividad de red entre el agente de Bindplane y el dispositivo BIG-IP de F5
  • Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
  • Acceso con privilegios a BIG-IP de F5 y a la administración avanzada de firewall de F5

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recopilación.
  3. Descarga el archivo de autenticación de transferencia.

  4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.

  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el comando siguiente:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sc query observiq-otel-collector

    El servicio debe mostrarse como RUNNING.

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el comando siguiente:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sudo systemctl status observiq-otel-collector

    El servicio debería mostrarse como activo (en ejecución).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solucionar problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

Ubica el archivo de configuración

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

  • Reemplaza todo el contenido de config.yaml por la siguiente configuración:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:5145"

exporters:
    chronicle/f5_afm:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: F5_AFM
        raw_log_field: body

service:
    pipelines:
        logs/f5_afm_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/f5_afm

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

  • Configuración del receptor:

    • listen_address: Dirección IP y puerto para escuchar:
      • 0.0.0.0 para escuchar en todas las interfaces (recomendado)
      • El puerto 5145 se usa para el registro de alta velocidad de AFM de F5 (ajusta para que coincida con tu configuración de F5).

  • Configuración del exportador:

    • creds_file_path: Ruta de acceso completa al archivo de autenticación de la transferencia:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID de cliente copiado de la consola de Google SecOps
    • endpoint: URL del endpoint regional:
      • EE.UU.: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Consulta Extremos regionales para obtener la lista completa.

Cómo guardar el archivo de configuración

  • Después de editarlo, guarda el archivo:
    • Linux: Presiona Ctrl+O, luego Enter y, después, Ctrl+X.
    • Windows: Haz clic en Archivo > Guardar.

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica que el servicio esté en ejecución:

      sudo systemctl status observiq-otel-collector

    2. Revisa los registros en busca de errores:

      sudo journalctl -u observiq-otel-collector -f

  • Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:

    • Símbolo del sistema o PowerShell como administrador:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Consola de Servicios:

      1. Presiona Win+R, escribe services.msc y presiona Intro.
      2. Busca observIQ OpenTelemetry Collector.
      3. Haz clic con el botón derecho y selecciona Reiniciar.

      4. Verifica que el servicio esté en ejecución:

        sc query observiq-otel-collector

      5. Revisa los registros en busca de errores:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Habilita el Administrador avanzado de firewall de BIG-IP de F5

  1. Accede a la consola de administración del dispositivo BIG-IP.
  2. Ve a System > License.
  3. Verifica que el Administrador avanzado de firewall tenga licencia y esté habilitado.
  4. Para habilitar el Administrador avanzado de firewall, ve a System > Resource > Provisioning.
  5. Selecciona la casilla de verificación de la columna Provisioning y, luego, Nominal en la lista.
  6. Haz clic en Enviar.

Configura el grupo de registros en AFM de F5

  1. Ve a Tráfico local > Agrupaciones.
  2. Haz clic en Crear.
  3. Proporciona los siguientes detalles de configuración:
    • Nombre: Ingresa un nombre para el grupo de registros (por ejemplo, logging_pool).
    • Health Monitor: En la lista Available, selecciona TCP y haz clic en <<.
  4. En la pestaña Recurso, selecciona el Registro de grupo que creaste antes en la lista Nombre del nodo.
  5. En el campo Dirección, ingresa la dirección IP del agente de Bindplane.
  6. En el campo Puerto de servicio, ingresa 5145 o cualquier otro puerto que hayas definido en el agente de Bindplane.
  7. Haz clic en Agregar.
  8. Haz clic en Finalizar.

Configura el destino del registro con formato en F5 AFM

  1. Ve a System > Logs > Configuration > Log Destinations.
  2. Haz clic en Crear.
  3. Proporciona los siguientes detalles de configuración:
    • Nombre: Ingresa un nombre para el destino del formato de registro (por ejemplo, Logging_Format_Destination).
    • Descripción: ingresa una descripción.
    • Tipo: Selecciona Syslog remoto.
    • Formato de Syslog: Selecciona Syslog.
    • Destino de registro de alta velocidad: Selecciona tu destino de registro de alta velocidad (por ejemplo, Logging_HSL_Destination).
  4. Haz clic en Finalizado.

Configura Log Publisher en AFM de F5

  1. Ve a Sistema > Registros > Configuración > Publicadores de registros.
  2. Haz clic en Crear.
  3. Proporciona los siguientes detalles de configuración:
    • Nombre: Ingresa un nombre para el editor (por ejemplo, Log_Publisher).
    • Descripción: ingresa una descripción.
    • Destinos: Selecciona el nombre del destino de registro que creaste en el paso Configurar el grupo de registros en AFM de F5 y haz clic en << para agregar elementos a la lista Seleccionado.

Configura el perfil de registro en F5 AFM

  1. Ve a Seguridad > Registros de eventos > Perfil de registro.
  2. Haz clic en Crear.
  3. Proporciona los siguientes detalles de configuración:
    • Nombre: Ingresa un nombre para el perfil de registro (por ejemplo, Logging_Profile).
    • Firewall de red: Selecciona la casilla de verificación Habilitado.
    • Publicador: Selecciona el publicador de registros que configuraste antes (por ejemplo, Log_Publisher).
    • Log Rule Matches: Selecciona las casillas de verificación Accept, Drop, and Reject.
    • Log IP Errors: Selecciona la casilla de verificación Enabled.
    • Log TCP Errors: Selecciona la casilla de verificación Enabled.
    • Log TCP Events: Selecciona la casilla de verificación Enabled.
    • Formato de almacenamiento: Selecciona Lista de campos.
    • Delimitador: Ingresa , (coma) como el delimitador de los eventos.
    • Opciones de almacenamiento: Selecciona todas las opciones en la lista Elementos disponibles y haz clic en <<.
    • En la pestaña IP Intelligence, selecciona el publicador de registros que configuraste (por ejemplo, Log_Publisher).
  4. Haz clic en Finalizado.

Configura la asociación de perfiles de servidores virtuales en AFM de F5

  1. Ve a Tráfico local > Servidores virtuales.
  2. Selecciona el servidor virtual que deseas modificar.
  3. Ve a la pestaña Seguridad > Políticas.
  4. En la lista Log Profile, selecciona Enabled.
  5. En el campo Perfil, selecciona Logging_Profile y haz clic en <<.
  6. Haz clic en Actualizar.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
acl_policy_name security_result.detection_fields.acl_policy_name Valor de la columna22 si el formato de registro es SYSLOG; de lo contrario, valor de la columna13
acl_policy_type security_result.detection_fields.acl_policy_type Valor de la columna21 si el formato de registro es SYSLOG; de lo contrario, valor de la columna18
acl_rule_name security_result.rule_name Valor de la columna23 si el formato de registro es SYSLOG; de lo contrario, valor de la columna11
acl_rule_uuid security_result.rule_id Valor del campo acl_rule_uuid del patrón de grok
acción security_result.action Si el valor de la columna25 es Drop, Reject o Block, entonces BLOCK; de lo contrario, si el valor de la columna25 es Accept, Accept decisively, Established o Allow, entonces ALLOW
attackID security_result.detection_fields.attackID Valor de la columna12 si el formato de registro es CSV sin src_ip
bigip_hostname intermediary.hostname Valor de la columna2 si el formato de registro es SYSLOG; de lo contrario, valor de la columna3
bigip_ip intermediary.ip Valor de la columna2 si el formato de registro es SYSLOG; de lo contrario, valor de la columna1
context_name additional.fields.context_name.string_value Valor de column4 si el formato de registro es SYSLOG; de lo contrario, valor de column10 si hay src_ip o valor de column5
context_type additional.fields.context_type.string_value Valor de column3 si el formato de registro es SYSLOG; de lo contrario, valor de column4 si hay src_ip, o bien valor de column4
dest_fqdn additional.fields.dest_fqdn.string_value Valor de la columna 7 si el formato de registro es SYSLOG; de lo contrario, valor de la columna 13
dest_geo additional.fields.dest_geo.string_value Valor de la columna14
dest_ip target.asset.ip, target.ip Valor de column8 si el formato de registro es SYSLOG; de lo contrario, valor de column6 si hay src_ip o valor de column6
dest_port target.port Valor de la columna10 si el formato de registro es SYSLOG; de lo contrario, valor de la columna8 si hay src_ip o valor de la columna8
drop_reason security_result.summary Valor de la columna26 si el formato de registro es SYSLOG; de lo contrario, valor de la columna19
eventId additional.fields.eventId.string_value Valor capturado en el patrón de Grok
flow_id additional.fields.flow_id.string_value Valor de la columna29 si el formato de registro es SYSLOG; de lo contrario, valor de la columna17
loglevel security_result.severity Si el valor del campo loglevel del patrón de Grok es warning, debug o notice, entonces es MEDIUM; si el valor es info o informational, entonces es INFORMATIONAL; si el valor es err o error, entonces es HIGH; si el valor es alert, crit o emer, entonces es CRITICAL.
packetsReceived network.received_packets Valor de la columna15 si el formato de registro es CSV sin src_ip
inversa target.application Valor del campo de proceso del patrón de grok
protocol_number_src network.ip_protocol Valor de column12 si el formato de registro es SYSLOG; de lo contrario, es el valor extraído de la variable ip_protocol_out
route_domain additional.fields.route_domain.string_value Valor de la columna13 si el formato de registro es SYSLOG; de lo contrario, valor de la columna9
source_fqdn additional.fields.source_fqdn.string_value Valor de column5 si el formato de registro es SYSLOG; de lo contrario, valor de column7
src_geo additional.fields.src_geo.string_value Valor de la columna 8
src_ip principal.asset.ip, principal.ip Valor de column6 si el formato de registro es SYSLOG; de lo contrario, valor de column9 si el formato de registro es CSV sin src_ip; de lo contrario, valor de column5
src_port principal.port Valor de column9 si el formato de registro es SYSLOG; de lo contrario, valor de column7 si el formato de registro es CSV sin src_ip; de lo contrario, valor de column7
ts metadata.event_timestamp Valor del campo ts del patrón de grok
vlan additional.fields.vlan.string_value Valor de la columna11 si el formato de registro es SYSLOG; de lo contrario, valor de la columna21
metadata.event_type Si existen src_ip y dest_ip, entonces NETWORK_CONNECTION; de lo contrario, si solo existe src_ip, entonces STATUS_UPDATE; de lo contrario, GENERIC_EVENT
metadata.log_type F5_AFM
metadata.product_name Administración avanzada de firewalls
metadata.vendor_name F5
partition event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
level event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
tty event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
attempts event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
start event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
end event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
prin_ip event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip Se asignó desde el registro de cambios
internal_tag event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
src_zone event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
dest_zone event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
translated_dest_ip event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
translated_dest_port event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
translated_source_ip event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
translated_source_port event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
syslog_reporter_host event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
sa_translation_pool event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
sa_translation_type event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
translated_route_domain event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
send_to_vs event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
src_zone event.idm.read_only_udm.principal.resource.attribute.labels Se asignó desde el registro de cambios
dest_zone event.idm.read_only_udm.target.resource.attribute.labels Se asignó desde el registro de cambios
acl_policy_name event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
acl_policy_type event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
chronicle_log_type event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
chronicle_namespace event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
flow_id event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
vlan event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
route_domain event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
partition_name event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
source_ipint_categories event.idm.read_only_udm.principal.resource.attribute.labels Se asignó desde el registro de cambios
src_geo event.idm.read_only_udm.principal.resource.attribute.labels Se asignó desde el registro de cambios
source_fqdn event.idm.read_only_udm.principal.resource.attribute.labels Se asignó desde el registro de cambios
dest_ipint_categories event.idm.read_only_udm.target.resource.attribute.labels Se asignó desde el registro de cambios
dst_geo event.idm.read_only_udm.target.resource.attribute.labels Se asignó desde el registro de cambios
dest_fqdn event.idm.read_only_udm.target.resource.attribute.labels Se asignó desde el registro de cambios
acl_rule_name event.idm.read_only_udm.security_result.rule_name Se asignó desde el registro de cambios
acl_rule_id event.idm.read_only_udm.security_result.rule_id Se asignó desde el registro de cambios
action event.idm.read_only_udm.security_result.action Se asignó desde el registro de cambios
bigip_mgmt_ip event.idm.read_only_udm.intermediary.ip Se asignó desde el registro de cambios
context_name event.idm.read_only_udm.target.resource.name Se asignó desde el registro de cambios
context_type event.idm.read_only_udm.target.resource.type Se asignó desde el registro de cambios
date_time event.idm.read_only_udm.metadata.event_timestamp Se asignó desde el registro de cambios
dest_ip event.idm.read_only_udm.target.ip y event.idm.read_only_udm.target.asset.ip Se asignó desde el registro de cambios
net.peer.ip event.idm.read_only_udm.target.ip y event.idm.read_only_udm.target.asset.ip Se asignó desde el registro de cambios
dest_port event.idm.read_only_udm.target.port Se asignó desde el registro de cambios
net.peer.port event.idm.read_only_udm.target.port Se asignó desde el registro de cambios
device_version event.idm.read_only_udm.metadata.product_version Se asignó desde el registro de cambios
drop_reason event.idm.read_only_udm.security_result.summary Se asignó desde el registro de cambios
hostname event.idm.read_only_udm.principal.hostname y event.idm.read_only_udm.principal.asset.hostname Se asignó desde el registro de cambios
ip_protocol event.idm.read_only_udm.network.ip_protocol Se asignó desde el registro de cambios
source_ip event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip Se asignó desde el registro de cambios
net.host.ip event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip Se asignó desde el registro de cambios
source_port event.idm.read_only_udm.principal.port Se asignó desde el registro de cambios
net.host.port event.idm.read_only_udm.principal.port Se asignó desde el registro de cambios
errdefs_msg_name event.idm.read_only_udm.metadata.product_event_type Se asignó desde el registro de cambios
errdefs_msgno event.idm.read_only_udm.metadata.product_log_id Se asignó desde el registro de cambios
source_user event.idm.read_only_udm.principal.user.userid Se asignó desde el registro de cambios
source_user_group event.idm.read_only_udm.principal.user.group_identifiers Se asignó desde el registro de cambios
severity event.idm.read_only_udm.security_result.severity_details Se asignó desde el registro de cambios
dvchost event.idm.read_only_udm.intermediary.hostname y event.idm.read_only_udm.intermediary.asset.hostname Se asignó desde el registro de cambios
dvc event.idm.read_only_udm.intermediary.ip y event.idm.read_only_udm.intermediary.asset.ip Se asignó desde el registro de cambios
c6a2 event.idm.read_only_udm.principal.resource.attribute.labels Se asignó desde el registro de cambios
F5SrcZone event.idm.read_only_udm.principal.resource.attribute.labels Se asignó desde el registro de cambios
F5SrcFqdn event.idm.read_only_udm.principal.resource.attribute.labels Se asignó desde el registro de cambios
F5SrcUser event.idm.read_only_udm.principal.user.attribute.labels Se asignó desde el registro de cambios
c6a3 event.idm.read_only_udm.target.resource.attribute.labels Se asignó desde el registro de cambios
F5DstZone event.idm.read_only_udm.target.resource.attribute.labels Se asignó desde el registro de cambios
F5DstVlan event.idm.read_only_udm.target.resource.attribute.labels Se asignó desde el registro de cambios
F5DstFqdn event.idm.read_only_udm.target.resource.attribute.labels Se asignó desde el registro de cambios
F5SendToVs event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
F5SrcIpiCategories event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
F5DstIpiCategories event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
module event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
tid event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
cpu event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
cmd_line event.idm.read_only_udm.target.process.command_line Se asignó desde el registro de cambios
msg_data event.idm.read_only_udm.security_result.summary Se asignó desde el registro de cambios
pid event.idm.read_only_udm.principal.process.pid Se asignó desde el registro de cambios
user event.idm.read_only_udm.principal.user.userid Se asignó desde el registro de cambios
folder_path event.idm.read_only_udm.principal.file.full_path Se asignó desde el registro de cambios
status event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
cmd_data event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
target_ip event.idm.read_only_udm.target.ip y event.idm.read_only_udm.target.asset.ip Se asignó desde el registro de cambios
desc metadata.description Se asignó desde el registro de cambios
prin_port principal.port Se asignó desde el registro de cambios
target_port target.port Se asignó desde el registro de cambios
ts2 metadata.event_timestamp Se asignó desde el registro de cambios
tls_ver network.tls.version Se asignó desde el registro de cambios
cipher network.tls.cipher Se asignó desde el registro de cambios
prod_event_type metadata.product_event_type Se asignó desde el registro de cambios
path target.url Se asignó desde el registro de cambios
response_size network.sent_bytes Se asignó desde el registro de cambios
received_size network.received_bytes Se asignó desde el registro de cambios
usr principal.user.userid Se asignó desde el registro de cambios
schema_version target.resource.attribute.labels Se asignó desde el registro de cambios
severity_info security_result.severity_details Se asignó desde el registro de cambios
target_pid target.process.pid Se asignó desde el registro de cambios
additional1 additional.fields Se asignó desde el registro de cambios
dvc intermediary.hostname Se asignó desde el registro de cambios
metadata.event_type USER_UNCATEGORIZED Se asignó desde el registro de cambios
prin_ip principal.ip Se asignó desde el registro de cambios
F5FlowID additional.fields Se asignó desde el registro de cambios
F5TranslatedVlan additional.fields Se asignó desde el registro de cambios
F5SrcTranslationType additional.fields Se asignó desde el registro de cambios
F5SrcTranslationPool additional.fields Se asignó desde el registro de cambios
F5SrcGeo additional.fields Se asignó desde el registro de cambios
F5DstGeo additional.fields Se asignó desde el registro de cambios
F5RouteDomain additional.fields Se asignó desde el registro de cambios
Column12 security_result.detection_fields Se asignó desde el registro de cambios
Column14 security_result.action Se asignó desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.