‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של חומת האש AMD Pensando DSS

גרסת כלי הניתוח: 1.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של חומת האש AMD Pensando DSS ב-Google Security Operations באמצעות Bindplane.

חומת האש AMD Pensando Distributed Services Switch (DSS) היא חומת אש מבוססת-מצב עם האצת חומרה, שפועלת ב-DPU של AMD Pensando בתוך מתגים מסדרת Aruba CX 10000. הוא מספק מיקרו-פילוח ובדיקה של תנועת מזרח-מערב במהירות קו. חומת האש מנוהלת באמצעות AMD Pensando Policy and Services Manager ‏ (PSM), שמספקת יכולות של הגדרת מדיניות מרכזית, מעקב וייצוא של syslog.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

מופע של Google SecOps.
‫Windows Server 2016 ואילך, או מארח Linux עם systemd.
אם מריצים את הסוכן מאחורי שרת proxy, צריך לוודא שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
גישה עם הרשאות לממשק הניהול של AMD Pensando Policy and Services Manager (PSM) או של Aruba CX 10000.
קישוריות רשת בין המארח של סוכן Bindplane לבין מתג Aruba CX 10000 או PSM.

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Collection Agents.
מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות זמינות במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

ניגשים לקובץ התצורה:
- מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /etc/bindplane-agent/ ב-Linux או בספריית ההתקנה ב-Windows.
- פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או Notepad).

עורכים את הקובץ config.yaml באופן הבא:

‫

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'AMD_DSS_FIREWALL'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית.
מחליפים את <CUSTOMER_ID> במזהה הלקוח בפועל.
מעדכנים את /path/to/ingestion-authentication-file.json לנתיב הקובץ שבו נשמר קובץ האימות.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

מריצים את הפקודה הבאה:

sudo systemctl restart observiq-otel-collector

מוודאים שהשירות פועל:

sudo systemctl status observiq-otel-collector

בודקים אם יש שגיאות ביומנים:

sudo journalctl -u observiq-otel-collector -f

כדי להפעיל מחדש את סוכן Bindplane ב-Windows:

בוחרים אחת מהאפשרויות האלה:
- שורת הפקודה או PowerShell כאדמין:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- מסוף השירותים:
  1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
  2. מחפשים את observIQ OpenTelemetry Collector.
  3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
מוודאים שהשירות פועל:
```
sc query observiq-otel-collector
```

בודקים אם יש שגיאות ביומנים:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברה של syslog ב-AMD Pensando DSS Firewall

חומת האש של AMD Pensando DSS תומכת בשתי שיטות להעברת syslog: דרך ממשק האינטרנט של Pensando Policy and Services Manager ‏ (PSM) או דרך AOS-CX CLI במתג Aruba CX 10000.

הגדרת ייצוא של syslog דרך Pensando PSM

נכנסים לממשק האינטרנט של AMD Pensando Policy and Services Manager (PSM).
עוברים אל Monitoring > Alerts & Events.
לוחצים על הכרטיסייה יעדים.
לוחצים על הוספת יעד.
מספקים את פרטי ההגדרה הבאים:
- סוג היעד: בוחרים באפשרות Syslog.
- כתובת השרת: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
- יציאה: מזינים את היציאה שהוגדרה בסוכן Bindplane config.yaml (לדוגמה, 514).
- פרוטוקול: בוחרים באפשרות UDP כדי להתאים להגדרת המקלט של סוכן Bindplane.
- פורמט: בוחרים באפשרות BSD (RFC 5424).
כדי ליצור את יעד ה-syslog, לוחצים על שמירה.
לוחצים על הכרטיסייה Alert Policies (מדיניות התראות).
לוחצים על הוספת מדיניות התראות כדי להגדיר אילו אירועים והתראות יועברו.
בוחרים את קטגוריות האירועים ואת רמות החומרה הרצויות.
בקטע יעדים, בוחרים את יעד ה-syslog שיצרתם.
לוחצים על שמירה כדי להפעיל את מדיניות ההתראות.

הערה: ה-PSM שולח הודעות syslog בפורמט RFC 5424. מוודאים שהמקבל של סוכן Bindplane מוגדר לקבל את הפורמט הזה.

הגדרת syslog באמצעות AOS-CX CLI ב-Aruba CX 10000

מתחברים אל מתג Aruba CX 10000 באמצעות SSH או מסוף.
נכנסים למצב הגדרה:
```
configure terminal
```
מגדירים את שרת ה-syslog המרוחק עם UDP (מחליפים את <BINDPLANE_IP> בכתובת ה-IP של סוכן Bindplane):
```
logging <BINDPLANE_IP> udp 514 severity info
```
או ל-TCP:
```
logging <BINDPLANE_IP> tcp 1470 severity info
```
או עבור TLS:
```
logging <BINDPLANE_IP> tls 6514 severity info
```
הערה: יציאות ברירת המחדל של AOS-CX הן UDP=514, ‏ TCP=1470, ‏ TLS=6514. צריך לציין את היציאה באופן מפורש כדי שתתאים להגדרות של סוכן Bindplane.
מגדירים את המתקן של syslog:
```
logging facility local0
```
שומרים את ההגדרה:
```
write memory
```
יציאה ממצב ההגדרה:
```
exit
```

מידע נוסף על פקודת הרישום ביומן של AOS-CX זמין במדריך העזר ל-CLI של AOS-CX.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
`action`	`read_only_udm.metadata.product_event_type`	מיפוי ישיר.
`action`	`read_only_udm.security_result.action`	אם הפעולה היא 'דחייה', מגדירים את ההגדרה כ-'חסימה'. אם הפעולה היא 'allow', מגדירים את הערך 'ALLOW'.
`column10`	`read_only_udm.network.session_id`	מיפוי ישיר.
`column11`	`read_only_udm.additional.fields.value.string_value`	מיפוי ישיר. המפתח מקודד כ-'security_policy_id'.
`column12`	`read_only_udm.security_result.rule_id`	מיפוי ישיר.
`column13`	`read_only_udm.security_result.rule_name`	מיפוי ישיר.
`column14`	`read_only_udm.network.sent_packets`	מיפוי ישיר.
`column15`	`read_only_udm.network.sent_bytes`	מיפוי ישיר.
`column16`	`read_only_udm.network.received_packets`	מיפוי ישיר.
`column17`	`read_only_udm.network.received_bytes`	מיפוי ישיר.
`column18`	`read_only_udm.additional.fields.value.string_value`	מיפוי ישיר. המפתח מקובע בתוך הקוד כ-"vlan".
`column19`	`read_only_udm.principal.asset.software.vendor_name`	מיפוי ישיר.
`column19`	`read_only_udm.principal.asset.software.name`	מיפוי ישיר.
`column2`	`read_only_udm.metadata.product_event_type`	מיפוי ישיר.
`column20`	`read_only_udm.principal.asset.software.version`	מיפוי ישיר.
`column21`	`read_only_udm.principal.asset_id`	משרשרת את המחרוזת 'asset_id:‎' עם הערך של עמודה 21.
`column22`	`read_only_udm.principal.asset.attribute.labels.value`	מיפוי ישיר. המפתח מקובע בתוך הקוד כ-'device_name'.
`column23`	`read_only_udm.principal.asset.attribute.labels.value`	מיפוי ישיר. המפתח מקובע בתוך הקוד כ-"unit_id".
`column24`	`read_only_udm.metadata.product_version`	מיפוי ישיר.
`column25`	`read_only_udm.additional.fields.value.string_value`	מיפוי ישיר. המפתח מקובע בתוך הקוד כ-"policy_name".
`column25`	`read_only_udm.security_result.rule_type`	מיפוי ישיר.
`column4`	`read_only_udm.principal.resource.product_object_id`	מיפוי ישיר.
`column5`	`read_only_udm.principal.ip`	מיפוי ישיר.
`column6`	`read_only_udm.principal.port`	מיפוי ישיר.
`column7`	`read_only_udm.target.ip`	מיפוי ישיר.
`column8`	`read_only_udm.target.port`	מיפוי ישיר.
`column9`	`read_only_udm.network.ip_protocol`	מיפוי של מספר הפרוטוקול למספר המתאים (למשל, 6 ל-TCP, ‏ 17 ל-UDP).
`dip`	`read_only_udm.target.ip`	מיפוי ישיר.
`dport`	`read_only_udm.target.port`	מיפוי ישיר.
`dvc`	`read_only_udm.intermediary.hostname`	אם dvc היא לא כתובת IP, צריך למפות אותה לשם מארח. אחרת, ממפים לכתובת IP.
`iflowbytes`	`read_only_udm.network.sent_bytes`	מיפוי ישיר.
`iflowpkts`	`read_only_udm.network.sent_packets`	מיפוי ישיר.
`msg_id`	`read_only_udm.additional.fields.value.string_value`	מיפוי ישיר. המפתח מקובע בתוך הקוד כ-msg_id.
`policy_name`	`read_only_udm.additional.fields.value.string_value`	מיפוי ישיר. המפתח מקובע בתוך הקוד כ-"policy_name".
`policy_name`	`read_only_udm.security_result.rule_type`	מיפוי ישיר.
`proc_id`	`read_only_udm.target.process.pid`	מיפוי ישיר.
`proc_name`	`read_only_udm.target.application`	מיפוי ישיר.
`protocol_number_src`	`read_only_udm.network.ip_protocol`	מיפוי של מספר הפרוטוקול למספר המתאים (למשל, 6 ל-TCP, ‏ 17 ל-UDP).
`rflowbytes`	`read_only_udm.network.received_bytes`	מיפוי ישיר.
`rflowpkts`	`read_only_udm.network.received_packets`	מיפוי ישיר.
`rule_id`	`read_only_udm.security_result.rule_id`	מיפוי ישיר.
`rule_name`	`read_only_udm.security_result.rule_name`	מיפוי ישיר.
`sd`	`read_only_udm.additional.fields.value.string_value`	מיפוי ישיר. המפתח מקובע בתוך הקוד כ-'sd'.
`security_policy_id`	`read_only_udm.additional.fields.value.string_value`	מיפוי ישיר. המפתח מקודד כ-'security_policy_id'.
`session_id`	`read_only_udm.network.session_id`	מיפוי ישיר.
`session_state`	`read_only_udm.metadata.product_event_type`	מיפוי ישיר.
`sip`	`read_only_udm.principal.ip`	מיפוי ישיר.
`software_version`	`read_only_udm.principal.asset.software.version`	מיפוי ישיר.
`sport`	`read_only_udm.principal.port`	מיפוי ישיר.
`ts`	`read_only_udm.metadata.event_timestamp`	חותמת הזמן מהיומן מנותחת ומעוצבת בפורמט חותמת הזמן של UDM.
`vlan`	`read_only_udm.additional.fields.value.string_value`	מיפוי ישיר. המפתח מקובע בתוך הקוד כ-"vlan".
	`read_only_udm.metadata.event_type`	אם קיימים גם sip וגם dip, צריך להגדיר את הערך NETWORK_UNCATEGORIZED. אם מופיע רק sip, צריך להגדיר את הערך STATUS_UPDATE. אחרת, צריך להגדיר את הערך GENERIC_EVENT.
	`read_only_udm.metadata.log_type`	הערך מוטמע בקוד כ-"AMD_DSS_FIREWALL".
	`read_only_udm.metadata.product_name`	הערך מוטמע בקוד כ-"AMD_DSS_FIREWALL".
	`read_only_udm.metadata.vendor_name`	הערך מוטמע בקוד כ-"AMD_DSS_FIREWALL".
	`read_only_udm.principal.resource.resource_type`	הערך מוטמע בקוד כ-VPC_NETWORK.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.