Raccogli i log del firewall AMD Pensando DSS

Parser Version: 1.0

Supportato in:

Questo documento spiega come importare i log del firewall AMD Pensando DSS in Google Security Operations utilizzando Bindplane.

AMD Pensando Distributed Services Switch (DSS) Firewall è un firewall stateful con accelerazione hardware che viene eseguito sulla DPU AMD Pensando all'interno degli switch della serie Aruba CX 10000. Fornisce la microsegmentazione e l'ispezione del traffico est-ovest alla velocità di linea. Il firewall viene gestito tramite AMD Pensando Policy and Services Manager (PSM), che fornisce funzionalità centralizzate di configurazione, monitoraggio ed esportazione di syslog.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps.
  • Windows Server 2016 o versioni successive oppure host Linux con systemd.
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
  • Accesso con privilegi all'interfaccia di gestione di AMD Pensando Policy and Services Manager (PSM) o dello switch Aruba CX 10000.
  • Connettività di rete tra l'host dell'agente Bindplane e lo switch Aruba CX 10000 o PSM.

Recuperare il file di autenticazione dell'importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri Prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la Guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

  1. Accedi al file di configurazione:

    • Individua il file config.yaml. In genere si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'AMD_DSS_FIREWALL'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
  • Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
  • Sostituisci <CUSTOMER_ID> con l'ID cliente effettivo.
  • Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file di autenticazione.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux:

  1. Esegui questo comando:

    sudo systemctl restart observiq-otel-collector

  2. Verifica che il servizio sia in esecuzione:

    sudo systemctl status observiq-otel-collector

  3. Controlla i log per individuare eventuali errori:

    sudo journalctl -u observiq-otel-collector -f

Per riavviare l'agente Bindplane in Windows:

  1. Scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console dei servizi:
      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

  2. Verifica che il servizio sia in esecuzione:

    sc query observiq-otel-collector

  3. Controlla i log per individuare eventuali errori:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configura l'inoltro di syslog sul firewall AMD Pensando DSS

Il firewall AMD Pensando DSS supporta due metodi per configurare l'inoltro di syslog: tramite l'interfaccia web di Pensando Policy and Services Manager (PSM) o tramite la CLI AOS-CX sullo switch Aruba CX 10000.

Configurare l'esportazione Syslog tramite Pensando PSM

  1. Accedi all'interfaccia web di AMD Pensando Policy and Services Manager (PSM).
  2. Vai a Monitoraggio > Avvisi ed eventi.
  3. Seleziona la scheda Destinazioni.
  4. Fai clic su Aggiungi destinazione.
  5. Fornisci i seguenti dettagli di configurazione:
    • Tipo di destinazione: seleziona Syslog.
    • Indirizzo server: inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
    • Porta: inserisci la porta configurata nell'agente Bindplane config.yaml (ad esempio, 514).
    • Protocollo: seleziona UDP in modo che corrisponda alla configurazione del ricevitore dell'agente Bindplane.
    • Formato: seleziona BSD (RFC 5424).
  6. Fai clic su Salva per creare la destinazione syslog.
  7. Seleziona la scheda Policy di avviso.
  8. Fai clic su Aggiungi policy di avviso per definire quali eventi e avvisi inoltrare.
  9. Seleziona le categorie di eventi e i livelli di gravità che preferisci.
  10. Nella sezione Destinazioni, seleziona la destinazione syslog che hai creato.

  11. Fai clic su Salva per attivare la policy di avviso.

Configurare syslog tramite la CLI AOS-CX su Aruba CX 10000

  1. Connettiti allo switch Aruba CX 10000 tramite SSH o console.

  2. Attiva la modalità di configurazione:

    configure terminal

  3. Configura il server syslog remoto con UDP (sostituisci <BINDPLANE_IP> con l'indirizzo IP dell'agente Bindplane):

    logging <BINDPLANE_IP> udp 514 severity info

    Oppure per TCP:

    logging <BINDPLANE_IP> tcp 1470 severity info

    oppure per TLS:

    logging <BINDPLANE_IP> tls 6514 severity info

  4. Imposta la struttura syslog:

    logging facility local0

  5. Salva la configurazione:

    write memory

  6. Esci dalla modalità di configurazione:

    exit

Per saperne di più sul comando di logging AOS-CX, consulta il riferimento alla CLI AOS-CX.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
action read_only_udm.metadata.product_event_type Mappatura diretta.
action read_only_udm.security_result.action Se l'azione è "deny", impostala su "BLOCK". Se l'azione è "consenti", imposta "ALLOW".
column10 read_only_udm.network.session_id Mappatura diretta.
column11 read_only_udm.additional.fields.value.string_value Mappatura diretta. La chiave è codificata come "security_policy_id".
column12 read_only_udm.security_result.rule_id Mappatura diretta.
column13 read_only_udm.security_result.rule_name Mappatura diretta.
column14 read_only_udm.network.sent_packets Mappatura diretta.
column15 read_only_udm.network.sent_bytes Mappatura diretta.
column16 read_only_udm.network.received_packets Mappatura diretta.
column17 read_only_udm.network.received_bytes Mappatura diretta.
column18 read_only_udm.additional.fields.value.string_value Mappatura diretta. La chiave è codificata come "vlan".
column19 read_only_udm.principal.asset.software.vendor_name Mappatura diretta.
column19 read_only_udm.principal.asset.software.name Mappatura diretta.
column2 read_only_udm.metadata.product_event_type Mappatura diretta.
column20 read_only_udm.principal.asset.software.version Mappatura diretta.
column21 read_only_udm.principal.asset_id Concatena "asset_id:" con il valore della colonna 21.
column22 read_only_udm.principal.asset.attribute.labels.value Mappatura diretta. La chiave è codificata come "device_name".
column23 read_only_udm.principal.asset.attribute.labels.value Mappatura diretta. La chiave è codificata come "unit_id".
column24 read_only_udm.metadata.product_version Mappatura diretta.
column25 read_only_udm.additional.fields.value.string_value Mappatura diretta. La chiave è codificata come "policy_name".
column25 read_only_udm.security_result.rule_type Mappatura diretta.
column4 read_only_udm.principal.resource.product_object_id Mappatura diretta.
column5 read_only_udm.principal.ip Mappatura diretta.
column6 read_only_udm.principal.port Mappatura diretta.
column7 read_only_udm.target.ip Mappatura diretta.
column8 read_only_udm.target.port Mappatura diretta.
column9 read_only_udm.network.ip_protocol Mappa il numero di protocollo numerico al nome corrispondente (ad es. 6 a TCP, 17 a UDP).
dip read_only_udm.target.ip Mappatura diretta.
dport read_only_udm.target.port Mappatura diretta.
dvc read_only_udm.intermediary.hostname Se dvc non è un indirizzo IP, mappalo al nome host. In caso contrario, esegui il mapping all'IP.
iflowbytes read_only_udm.network.sent_bytes Mappatura diretta.
iflowpkts read_only_udm.network.sent_packets Mappatura diretta.
msg_id read_only_udm.additional.fields.value.string_value Mappatura diretta. La chiave è codificata come "msg_id".
policy_name read_only_udm.additional.fields.value.string_value Mappatura diretta. La chiave è codificata come "policy_name".
policy_name read_only_udm.security_result.rule_type Mappatura diretta.
proc_id read_only_udm.target.process.pid Mappatura diretta.
proc_name read_only_udm.target.application Mappatura diretta.
protocol_number_src read_only_udm.network.ip_protocol Mappa il numero di protocollo numerico al nome corrispondente (ad es. 6 a TCP, 17 a UDP).
rflowbytes read_only_udm.network.received_bytes Mappatura diretta.
rflowpkts read_only_udm.network.received_packets Mappatura diretta.
rule_id read_only_udm.security_result.rule_id Mappatura diretta.
rule_name read_only_udm.security_result.rule_name Mappatura diretta.
sd read_only_udm.additional.fields.value.string_value Mappatura diretta. La chiave è codificata come "sd".
security_policy_id read_only_udm.additional.fields.value.string_value Mappatura diretta. La chiave è codificata come "security_policy_id".
session_id read_only_udm.network.session_id Mappatura diretta.
session_state read_only_udm.metadata.product_event_type Mappatura diretta.
sip read_only_udm.principal.ip Mappatura diretta.
software_version read_only_udm.principal.asset.software.version Mappatura diretta.
sport read_only_udm.principal.port Mappatura diretta.
ts read_only_udm.metadata.event_timestamp Il timestamp del log viene analizzato e formattato nel formato timestamp UDM.
vlan read_only_udm.additional.fields.value.string_value Mappatura diretta. La chiave è codificata come "vlan".
read_only_udm.metadata.event_type Se sono presenti sia sip che dip, imposta il valore su "NETWORK_UNCATEGORIZED". Se è presente solo sip, impostalo su "STATUS_UPDATE". In caso contrario, imposta "GENERIC_EVENT".
read_only_udm.metadata.log_type Codificato in modo permanente su "AMD_DSS_FIREWALL".
read_only_udm.metadata.product_name Codificato in modo permanente su "AMD_DSS_FIREWALL".
read_only_udm.metadata.vendor_name Codificato in modo permanente su "AMD_DSS_FIREWALL".
read_only_udm.principal.resource.resource_type Codificato come "VPC_NETWORK".

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.