AMD Pensando DSS-Firewall-Logs erfassen

Parserversion: 1.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie AMD Pensando DSS Firewall-Logs mit Bindplane in Google Security Operations aufnehmen.

Die AMD Pensando Distributed Services Switch (DSS) Firewall ist eine hardwarebeschleunigte zustandsorientierte Firewall, die auf der AMD Pensando DPU in Switches der Aruba CX 10000-Serie ausgeführt wird. Es bietet Mikrosegmentierung und Ost-West-Traffic-Prüfung mit Leitungsgeschwindigkeit. Die Firewall wird über den AMD Pensando Policy and Services Manager (PSM) verwaltet, der eine zentrale Richtlinienkonfiguration, Überwachung und Syslog-Exportfunktionen bietet.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz.
• Windows Server 2016 oder höher oder Linux-Host mit systemd.
• Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf die AMD Pensando Policy and Services Manager- (PSM-) oder Aruba CX 10000-Switch-Verwaltungsschnittstelle.
• Netzwerkverbindung zwischen dem Bindplane-Agent-Host und dem Aruba CX 10000-Switch oder PSM.

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profile auf.
3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden für den Bindplane-Agent.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

1. Rufen Sie die Konfigurationsdatei auf:

   • Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
   • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

2. Bearbeiten Sie die Datei config.yamlso:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: '<CUSTOMER_ID>'
       endpoint: malachiteingestion-pa.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'AMD_DSS_FIREWALL'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   Hinweis :Der Wert endpoint (malachiteingestion-pa.googleapis.com) ist der multiregionale Endpunkt in den USA. Wenn sich Ihr Google SecOps-Mandant in einer anderen Region befindet, verwenden Sie den entsprechenden regionalen Endpunkt. Eine vollständige Liste finden Sie unter Regionale Endpunkte.

• Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
• Ersetzen Sie <CUSTOMER_ID> durch die tatsächliche Kunden-ID.
• Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Dateipfad, in dem die Authentifizierungsdatei gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

So starten Sie den Bindplane-Agent unter Linux neu:

1. Führen Sie dazu diesen Befehl aus:

   sudo systemctl restart observiq-otel-collector
   

2. Prüfen Sie, ob der Dienst ausgeführt wird:

   sudo systemctl status observiq-otel-collector
   

3. Logs auf Fehler prüfen:

   sudo journalctl -u observiq-otel-collector -f
   

So starten Sie den Bindplane-Agent unter Windows neu:

1. Wählen Sie eine der folgenden Optionen aus:

   • Eingabeaufforderung oder PowerShell als Administrator:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Services Console:
     1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
     2. Suchen Sie nach observIQ OpenTelemetry Collector.
     3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

2. Prüfen Sie, ob der Dienst ausgeführt wird:

   sc query observiq-otel-collector
   

3. Logs auf Fehler prüfen:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Syslog-Weiterleitung auf der AMD Pensando DSS Firewall konfigurieren

Die AMD Pensando DSS Firewall unterstützt zwei Methoden zum Konfigurieren der Syslog-Weiterleitung: über die Webschnittstelle von Pensando Policy and Services Manager (PSM) oder über die AOS-CX CLI auf dem Aruba CX 10000-Switch.

Syslog-Export über Pensando PSM konfigurieren

1. Melden Sie sich in der Weboberfläche des AMD Pensando Policy and Services Manager (PSM) an.
2. Gehen Sie zu Monitoring > Benachrichtigungen und Ereignisse.
3. Wählen Sie den Tab Ziele aus.
4. Klicken Sie auf Ziel hinzufügen.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Zieltyp: Wählen Sie Syslog aus.
   • Serveradresse: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein (z. B. 192.168.1.100).
   • Port: Geben Sie den im BindPlane-Agent konfigurierten Port ein config.yaml (z. B. 514).
   • Protocol (Protokoll): Wählen Sie UDP aus, damit die Konfiguration des Bindplane-Agent-Empfängers übereinstimmt.
   • Format: Wählen Sie BSD (RFC 5424) aus.
6. Klicken Sie auf Speichern, um das Syslog-Ziel zu erstellen.
7. Wählen Sie den Tab Benachrichtigungsrichtlinien aus.
8. Klicken Sie auf Benachrichtigungsrichtlinie hinzufügen, um festzulegen, welche Ereignisse und Benachrichtigungen weitergeleitet werden sollen.
9. Wählen Sie die gewünschten Ereigniskategorien und Schweregrade aus.
10. Wählen Sie im Abschnitt Ziele das von Ihnen erstellte Syslog-Ziel aus.

11. Klicken Sie auf Speichern, um die Benachrichtigungsrichtlinie zu aktivieren.

    Hinweis :Das PSM sendet Syslog-Nachrichten im RFC 5424-Format. Achten Sie darauf, dass der Bindplane-Agent-Empfänger für dieses Format konfiguriert ist.

Syslog über die AOS-CX-Befehlszeile auf Aruba CX 10000 konfigurieren

1. Stellen Sie über SSH oder die Konsole eine Verbindung zum Aruba CX 10000-Switch her.

2. Konfigurationsmodus aufrufen:

   configure terminal
   

3. Konfigurieren Sie den Remote-Syslog-Server mit UDP (ersetzen Sie <BINDPLANE_IP> durch die IP-Adresse Ihres Bindplane-Agents):

   logging <BINDPLANE_IP> udp 514 severity info
   

   Oder für TCP:

   logging <BINDPLANE_IP> tcp 1470 severity info
   

   Oder für TLS:

   logging <BINDPLANE_IP> tls 6514 severity info
   

   Hinweis :Die Standardports für AOS-CX sind UDP=514, TCP=1470, TLS=6514. Geben Sie den Port explizit an, damit er mit der Konfiguration Ihres Bindplane-Agenten übereinstimmt.

4. Syslog-Einrichtung festlegen:

   logging facility local0
   

5. Speichern Sie die Konfiguration:

   write memory
   

6. Konfigurationsmodus beenden:

   exit
   

Weitere Informationen zum AOS-CX-Logging-Befehl finden Sie in der AOS-CX CLI-Referenz.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
action	read_only_udm.metadata.product_event_type	Direkte Zuordnung.
action	read_only_udm.security_result.action	Wenn die Aktion „deny“ ist, legen Sie sie auf „BLOCK“ fest. Wenn die Aktion „allow“ ist, legen Sie sie auf „ALLOW“ fest.
column10	read_only_udm.network.session_id	Direkte Zuordnung.
column11	read_only_udm.additional.fields.value.string_value	Direkte Zuordnung. Der Schlüssel ist als „security_policy_id“ hartcodiert.
column12	read_only_udm.security_result.rule_id	Direkte Zuordnung.
column13	read_only_udm.security_result.rule_name	Direkte Zuordnung.
column14	read_only_udm.network.sent_packets	Direkte Zuordnung.
column15	read_only_udm.network.sent_bytes	Direkte Zuordnung.
column16	read_only_udm.network.received_packets	Direkte Zuordnung.
column17	read_only_udm.network.received_bytes	Direkte Zuordnung.
column18	read_only_udm.additional.fields.value.string_value	Direkte Zuordnung. Der Schlüssel ist als „vlan“ hartcodiert.
column19	read_only_udm.principal.asset.software.vendor_name	Direkte Zuordnung.
column19	read_only_udm.principal.asset.software.name	Direkte Zuordnung.
column2	read_only_udm.metadata.product_event_type	Direkte Zuordnung.
column20	read_only_udm.principal.asset.software.version	Direkte Zuordnung.
column21	read_only_udm.principal.asset_id	Verkettet „asset_id:“ mit dem Wert von column21.
column22	read_only_udm.principal.asset.attribute.labels.value	Direkte Zuordnung. Der Schlüssel ist als „device_name“ hartcodiert.
column23	read_only_udm.principal.asset.attribute.labels.value	Direkte Zuordnung. Der Schlüssel ist als „unit_id“ hartcodiert.
column24	read_only_udm.metadata.product_version	Direkte Zuordnung.
column25	read_only_udm.additional.fields.value.string_value	Direkte Zuordnung. Der Schlüssel ist als „policy_name“ hartcodiert.
column25	read_only_udm.security_result.rule_type	Direkte Zuordnung.
column4	read_only_udm.principal.resource.product_object_id	Direkte Zuordnung.
column5	read_only_udm.principal.ip	Direkte Zuordnung.
column6	read_only_udm.principal.port	Direkte Zuordnung.
column7	read_only_udm.target.ip	Direkte Zuordnung.
column8	read_only_udm.target.port	Direkte Zuordnung.
column9	read_only_udm.network.ip_protocol	Ordnet die numerische Protokollnummer dem entsprechenden Namen zu (z.B. 6 für TCP, 17 für UDP).
dip	read_only_udm.target.ip	Direkte Zuordnung.
dport	read_only_udm.target.port	Direkte Zuordnung.
dvc	read_only_udm.intermediary.hostname	Wenn „dvc“ keine IP-Adresse ist, ordnen Sie sie dem Hostnamen zu. Andernfalls ordnen Sie sie der IP-Adresse zu.
iflowbytes	read_only_udm.network.sent_bytes	Direkte Zuordnung.
iflowpkts	read_only_udm.network.sent_packets	Direkte Zuordnung.
msg_id	read_only_udm.additional.fields.value.string_value	Direkte Zuordnung. Der Schlüssel ist als „msg_id“ hartcodiert.
policy_name	read_only_udm.additional.fields.value.string_value	Direkte Zuordnung. Der Schlüssel ist als „policy_name“ hartcodiert.
policy_name	read_only_udm.security_result.rule_type	Direkte Zuordnung.
proc_id	read_only_udm.target.process.pid	Direkte Zuordnung.
proc_name	read_only_udm.target.application	Direkte Zuordnung.
protocol_number_src	read_only_udm.network.ip_protocol	Ordnet die numerische Protokollnummer dem entsprechenden Namen zu (z.B. 6 für TCP, 17 für UDP).
rflowbytes	read_only_udm.network.received_bytes	Direkte Zuordnung.
rflowpkts	read_only_udm.network.received_packets	Direkte Zuordnung.
rule_id	read_only_udm.security_result.rule_id	Direkte Zuordnung.
rule_name	read_only_udm.security_result.rule_name	Direkte Zuordnung.
sd	read_only_udm.additional.fields.value.string_value	Direkte Zuordnung. Der Schlüssel ist als „sd“ hartcodiert.
security_policy_id	read_only_udm.additional.fields.value.string_value	Direkte Zuordnung. Der Schlüssel ist als „security_policy_id“ hartcodiert.
session_id	read_only_udm.network.session_id	Direkte Zuordnung.
session_state	read_only_udm.metadata.product_event_type	Direkte Zuordnung.
sip	read_only_udm.principal.ip	Direkte Zuordnung.
software_version	read_only_udm.principal.asset.software.version	Direkte Zuordnung.
sport	read_only_udm.principal.port	Direkte Zuordnung.
ts	read_only_udm.metadata.event_timestamp	Der Zeitstempel aus dem Log wird geparst und in das UDM-Zeitstempelformat formatiert.
vlan	read_only_udm.additional.fields.value.string_value	Direkte Zuordnung. Der Schlüssel ist als „vlan“ hartcodiert.
	read_only_udm.metadata.event_type	Wenn sowohl „sip“ als auch „dip“ vorhanden sind, wird der Wert auf „NETWORK_UNCATEGORIZED“ gesetzt. Wenn nur „sip“ vorhanden ist, wird der Wert auf „STATUS_UPDATE“ festgelegt. Setzen Sie den Wert andernfalls auf „GENERIC_EVENT“.
	read_only_udm.metadata.log_type	Fest codiert auf „AMD_DSS_FIREWALL“.
	read_only_udm.metadata.product_name	Fest codiert auf „AMD_DSS_FIREWALL“.
	read_only_udm.metadata.vendor_name	Fest codiert auf „AMD_DSS_FIREWALL“.
	read_only_udm.principal.resource.resource_type	Fest codiert auf „VPC_NETWORK“.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten