Raccogli i log del firewall AMD Pensando DSS

Parser Version: 1.0

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log del firewall AMD Pensando DSS in Google Security Operations utilizzando Bindplane.

AMD Pensando Distributed Services Switch (DSS) Firewall è un firewall stateful con accelerazione hardware che viene eseguito sulla DPU AMD Pensando all'interno degli switch della serie Aruba CX 10000. Fornisce microsegmentazione e ispezione del traffico est-ovest a velocità di linea. Il firewall è gestito tramite AMD Pensando Policy and Services Manager (PSM), che fornisce funzionalità centralizzate di configurazione delle policy, monitoraggio ed esportazione di syslog.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps.
• Windows Server 2016 o versioni successive oppure host Linux con systemd.
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
• Accesso con privilegi all'interfaccia di gestione dello switch AMD Pensando Policy and Services Manager (PSM) o Aruba CX 10000.
• Connettività di rete tra l'host dell'agente Bindplane e lo switch o il PSM Aruba CX 10000.

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuove implementazioni: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino al ritiro dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla Google Cloud console e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio, bindplane-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri Prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione dell'agente Bindplane.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare il syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:

   • Individua il file config.yaml. In genere si trova nella directory /opt/observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: '<CUSTOMER_ID>'
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'AMD_DSS_FIREWALL'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore. Per l'elenco completo, consulta Endpoint regionali.
   • Sostituisci <PROJECT_NUMBER> con il numero di progetto indicato in IAM e amministrazione > Impostazioni.

• Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.
• Sostituisci <CUSTOMER_ID> con l'ID cliente effettivo.
• Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file della chiave del account di servizio (Opzione 1).

Esportatore API di importazione legacy

• Se utilizzi il file di autenticazione dell'importazione dell'opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'importazione e, se la tua istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con l'endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'AMD_DSS_FIREWALL'
      raw_log_field: body
      ingestion_labels:
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux:

1. Esegui questo comando:

   sudo systemctl restart observiq-otel-collector
   

2. Verifica che il servizio sia in esecuzione:

   sudo systemctl status observiq-otel-collector
   

3. Controlla i log per verificare la presenza di errori:

   sudo journalctl -u observiq-otel-collector -f
   

Per riavviare l'agente Bindplane in Windows:

1. Scegli una delle seguenti opzioni:

   • Prompt dei comandi o PowerShell come amministratore:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Console dei servizi:
     1. Premi Win+R, digita services.msc e premi Invio.
     2. Individua observIQ OpenTelemetry Collector.
     3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

2. Verifica che il servizio sia in esecuzione:

   sc query observiq-otel-collector
   

3. Controlla i log per verificare la presenza di errori:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Configura l'inoltro di syslog sul firewall AMD Pensando DSS

Il firewall AMD Pensando DSS supporta due metodi per configurare l'inoltro di syslog: tramite l'interfaccia web di Pensando Policy and Services Manager (PSM) o tramite la CLI AOS-CX sullo switch Aruba CX 10000.

Configura l'esportazione di syslog tramite Pensando PSM

1. Accedi all'interfaccia web di AMD Pensando Policy and Services Manager (PSM).
2. Vai a Monitoraggio > Avvisi ed eventi.
3. Seleziona la scheda Destinazioni.
4. Fai clic su Aggiungi destinazione.
5. Fornisci i seguenti dettagli di configurazione:
   • Tipo di destinazione: seleziona Syslog.
   • Indirizzo server: inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
   • Porta: inserisci la porta configurata nell'agente Bindplane config.yaml (ad esempio, 514).
   • Protocollo: seleziona UDP per corrispondere alla configurazione del ricevitore dell'agente Bindplane.
   • Formato: seleziona BSD (RFC 5424).
6. Fai clic su Salva per creare la destinazione syslog.
7. Seleziona la scheda Policy di avviso.
8. Fai clic su Aggiungi policy di avviso per definire quali eventi e avvisi inoltrare.
9. Seleziona le categorie di eventi e i livelli di gravità che ti interessano.
10. Nella sezione Destinazioni, seleziona la destinazione syslog che hai creato.

11. Fai clic su Salva per attivare la policy di avviso.

    Nota :PSM invia messaggi syslog nel formato RFC 5424. Assicurati che il ricevitore dell'agente Bindplane sia configurato per accettare questo formato.

Configura syslog tramite l'interfaccia a riga di comando AOS-CX su Aruba CX 10000

1. Connettiti allo switch Aruba CX 10000 tramite SSH o console.

2. Attiva la modalità di configurazione:

   configure terminal
   

3. Configura il server syslog remoto con UDP (sostituisci <BINDPLANE_IP> con l'indirizzo IP dell'agente Bindplane):

   logging <BINDPLANE_IP> udp 514 severity info
   

   Oppure per TCP:

   logging <BINDPLANE_IP> tcp 1470 severity info
   

   O per TLS:

   logging <BINDPLANE_IP> tls 6514 severity info
   

   Nota: le porte predefinite per AOS-CX sono UDP=514, TCP=1470, TLS=6514. Specifica la porta in modo esplicito in modo che corrisponda alla configurazione dell'agente Bindplane.

4. Imposta la funzionalità syslog:

   logging facility local0
   

5. Salva la configurazione:

   write memory
   

6. Esci dalla modalità di configurazione:

   exit
   

Per saperne di più sul comando di logging AOS-CX, consulta il riferimento all'interfaccia a riga di comando AOS-CX.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
action	read_only_udm.metadata.product_event_type	Mappatura diretta.
action	read_only_udm.security_result.action	Se l'azione è "deny", impostala su "BLOCK". Se l'azione è "allow", impostala su "ALLOW".
column10	read_only_udm.network.session_id	Mappatura diretta.
column11	read_only_udm.additional.fields.value.string_value	Mappatura diretta. La chiave è impostata come hardcoded su "security_policy_id".
column12	read_only_udm.security_result.rule_id	Mappatura diretta.
column13	read_only_udm.security_result.rule_name	Mappatura diretta.
column14	read_only_udm.network.sent_packets	Mappatura diretta.
column15	read_only_udm.network.sent_bytes	Mappatura diretta.
column16	read_only_udm.network.received_packets	Mappatura diretta.
column17	read_only_udm.network.received_bytes	Mappatura diretta.
column18	read_only_udm.additional.fields.value.string_value	Mappatura diretta. La chiave è impostata come hardcoded su "vlan".
column19	read_only_udm.principal.asset.software.vendor_name	Mappatura diretta.
column19	read_only_udm.principal.asset.software.name	Mappatura diretta.
column2	read_only_udm.metadata.product_event_type	Mappatura diretta.
column20	read_only_udm.principal.asset.software.version	Mappatura diretta.
column21	read_only_udm.principal.asset_id	Concatena "asset_id:" con il valore di column21.
column22	read_only_udm.principal.asset.attribute.labels.value	Mappatura diretta. La chiave è codificata come "device_name".
column23	read_only_udm.principal.asset.attribute.labels.value	Mappatura diretta. La chiave è impostata come hardcoded su "unit_id".
column24	read_only_udm.metadata.product_version	Mappatura diretta.
column25	read_only_udm.additional.fields.value.string_value	Mappatura diretta. La chiave è impostata come hardcoded su "policy_name".
column25	read_only_udm.security_result.rule_type	Mappatura diretta.
column4	read_only_udm.principal.resource.product_object_id	Mappatura diretta.
column5	read_only_udm.principal.ip	Mappatura diretta.
column6	read_only_udm.principal.port	Mappatura diretta.
column7	read_only_udm.target.ip	Mappatura diretta.
column8	read_only_udm.target.port	Mappatura diretta.
column9	read_only_udm.network.ip_protocol	Mappa il numero di protocollo numerico al nome corrispondente (ad es. 6 a TCP, 17 a UDP).
dip	read_only_udm.target.ip	Mappatura diretta.
dport	read_only_udm.target.port	Mappatura diretta.
dvc	read_only_udm.intermediary.hostname	Se dvc non è un indirizzo IP, mappa al nome host. In caso contrario, esegui la mappatura all'IP.
iflowbytes	read_only_udm.network.sent_bytes	Mappatura diretta.
iflowpkts	read_only_udm.network.sent_packets	Mappatura diretta.
msg_id	read_only_udm.additional.fields.value.string_value	Mappatura diretta. La chiave è impostata come hardcoded su "msg_id".
policy_name	read_only_udm.additional.fields.value.string_value	Mappatura diretta. La chiave è impostata come hardcoded su "policy_name".
policy_name	read_only_udm.security_result.rule_type	Mappatura diretta.
proc_id	read_only_udm.target.process.pid	Mappatura diretta.
proc_name	read_only_udm.target.application	Mappatura diretta.
protocol_number_src	read_only_udm.network.ip_protocol	Mappa il numero di protocollo numerico al nome corrispondente (ad es. 6 a TCP, 17 a UDP).
rflowbytes	read_only_udm.network.received_bytes	Mappatura diretta.
rflowpkts	read_only_udm.network.received_packets	Mappatura diretta.
rule_id	read_only_udm.security_result.rule_id	Mappatura diretta.
rule_name	read_only_udm.security_result.rule_name	Mappatura diretta.
sd	read_only_udm.additional.fields.value.string_value	Mappatura diretta. La chiave è hardcoded come "sd".
security_policy_id	read_only_udm.additional.fields.value.string_value	Mappatura diretta. La chiave è codificata come "security_policy_id".
session_id	read_only_udm.network.session_id	Mappatura diretta.
session_state	read_only_udm.metadata.product_event_type	Mappatura diretta.
sip	read_only_udm.principal.ip	Mappatura diretta.
software_version	read_only_udm.principal.asset.software.version	Mappatura diretta.
sport	read_only_udm.principal.port	Mappatura diretta.
ts	read_only_udm.metadata.event_timestamp	Il timestamp del log viene analizzato e formattato nel formato del timestamp UDM.
vlan	read_only_udm.additional.fields.value.string_value	Mappatura diretta. La chiave è impostata come hardcoded su "vlan".
	read_only_udm.metadata.event_type	Se sono presenti sia sip che dip, il valore viene impostato su "NETWORK_UNCATEGORIZED". Se è presente solo sip, imposta su "STATUS_UPDATE". In caso contrario, impostalo su "GENERIC_EVENT".
	read_only_udm.metadata.log_type	Codificato come "AMD_DSS_FIREWALL".
	read_only_udm.metadata.product_name	Codificato come "AMD_DSS_FIREWALL".
	read_only_udm.metadata.vendor_name	Impostato come hardcoded su "AMD_DSS_FIREWALL".
	read_only_udm.principal.resource.resource_type	Impostato come hardcoded su "VPC_NETWORK".

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.