Mengumpulkan log Netscout Arbor Sightline

Didukung di:

Dokumen ini menjelaskan cara menyerap log Netscout Arbor Sightline ke Google Security Operations menggunakan agen Bindplane.

Netscout Arbor Sightline (sebelumnya Peakflow SP) adalah platform deteksi DDoS dan visibilitas jaringan yang memberikan kemampuan andal, mulai dari perencanaan kapasitas di seluruh jaringan hingga mengidentifikasi dan mengelola mitigasi DDoS dan ancaman lainnya terhadap jaringan. Sightline mengumpulkan dan menganalisis data alur, informasi pemilihan rute BGP, dan data SNMP untuk mendeteksi anomali, membuat pemberitahuan, dan mengoordinasikan respons mitigasi.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Konektivitas jaringan antara agen Bindplane dan peralatan Netscout Arbor Sightline
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
  • Akses administratif ke antarmuka web Netscout Arbor Sightline
  • Akses administratif ke antarmuka command line (CLI) Netscout Arbor Sightline untuk konfigurasi pemberitahuan sistem

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

  • Deployment baru: Gunakan Chronicle API (Opsi 1).
  • Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.
  1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
  2. Buka IAM & Admin > Service Accounts.
  3. Klik Create service account.
  4. Berikan detail konfigurasi berikut:
    • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
    • Service account description: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
  5. Klik Create and continue.
  6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
  7. Klik Continue lalu klik Done.
  8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
  9. Klik Add key > Create new key.
  10. Pilih JSON dan klik Create. File kunci akan didownload ke komputer Anda.
  11. Simpan file kunci sebagai ingestion-auth.json di direktori kolektor Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
  12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

  1. Login ke konsol Google SecOps.
  2. Buka Settings > Data Management > Collection Agents. Jika Anda menggunakan platform khusus SIEM, buka Settings > Collection Agents.
  3. Download file autentikasi penyerapan.
  4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan > Administrasi > Profil. Jika Anda menggunakan platform khusus SIEM, buka Settings > Profile.

  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sc query observiq-otel-collector

    Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sudo systemctl status observiq-otel-collector

    Layanan akan ditampilkan sebagai active (running).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen Bindplane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Mengedit file konfigurasi

  1. Ganti seluruh konten config.yaml dengan konfigurasi berikut:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/arbor_sightline:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: ARBOR_SIGHTLINE
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/arbor_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/arbor_sightline

  2. Ganti placeholder berikut:

    • Konfigurasi penerima:

      • Penerima dikonfigurasi untuk memproses port UDP 514 di semua antarmuka (0.0.0.0:514)
      • Jika Anda perlu menggunakan port lain (misalnya, 1514 untuk penginstalan Linux non-root), ubah nilai listen_address
      • Jika Anda lebih memilih syslog TCP, ganti udplog dengan tcplog di bagian penerima dan pipeline

    • Konfigurasi pengekspor:

      • <CREDS_FILE_PATH>: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):

        • Linux: /opt/observiq-otel-collector/ingestion-auth.json
        • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

      • <CUSTOMER_ID>: ID Pelanggan dari langkah sebelumnya

      • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.

      • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.

      • endpoint: Tetap tetapkan ke chronicle.googleapis.com.

      • log_type: Tetapkan ke ARBOR_SIGHTLINE (diperlukan pencocokan persis)

      • ingestion_labels: Label opsional dalam format YAML (ubah sesuai kebutuhan untuk lingkungan Anda)

Contoh konfigurasi

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/arbor_sightline:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
    endpoint: chronicle.googleapis.com
    log_type: ARBOR_SIGHTLINE
    raw_log_field: body
    ingestion_labels:
      env: production
      source: sightline

service:
  pipelines:
    logs/arbor_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/arbor_sightline

Pengekspor API penyerapan lama

  • Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/arbor_sightline:
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: ARBOR_SIGHTLINE
    raw_log_field: body
    ingestion_labels:
      env: production

Simpan file konfigurasi

Setelah mengedit, simpan file:

  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux:

    1. Jalankan perintah berikut:

      sudo systemctl restart observiq-otel-collector

    2. Pastikan layanan sedang berjalan:

      sudo systemctl status observiq-otel-collector

    3. Periksa log untuk mengetahui error:

      sudo journalctl -u observiq-otel-collector -f

  • Untuk memulai ulang agen Bindplane di Windows:

    1. Pilih salah satu opsi berikut:

      • Command Prompt atau PowerShell sebagai administrator:

        net stop observiq-otel-collector && net start observiq-otel-collector

      • Konsol Services:

        1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
        2. Cari observIQ OpenTelemetry Collector.
        3. Klik kanan, lalu pilih Restart.

    2. Pastikan layanan sedang berjalan:

      sc query observiq-otel-collector

    3. Periksa log untuk mengetahui error:

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi penerusan syslog Netscout Arbor Sightline

Untuk mengirim log ke Google SecOps, Anda harus mengonfigurasi Netscout Arbor Sightline agar meneruskan peristiwa syslog ke agen Bindplane. Hal ini mencakup pembuatan grup notifikasi, konfigurasi setelan notifikasi global, dan penyiapan aturan notifikasi pemberitahuan.

Membuat grup notifikasi

  1. Login ke antarmuka web Netscout Arbor Sightline sebagai administrator.
  2. Buka Administration > Notification > Groups.
  3. Klik Add Notification Group.
  4. Berikan detail konfigurasi berikut:
    • Destinations: Masukkan alamat IP host agen Bindplane (misalnya, 192.168.1.100).
    • Port: Masukkan 514 (atau port yang dikonfigurasi di agen Bindplane, seperti 1514).
    • Facility: Pilih fasilitas syslog (misalnya, local0 atau user).
    • Severity: Pilih info. Tingkat keparahan informasi mengumpulkan semua pesan peristiwa di tingkat peristiwa informasi dan tingkat keparahan yang lebih tinggi.
  5. Klik Simpan.

  6. Klik Configuration Commit untuk menerapkan perubahan konfigurasi.

Mengonfigurasi setelan notifikasi global

Notifikasi global di Netscout Arbor Sightline memberikan notifikasi sistem yang tidak terkait dengan aturan pemberitahuan tertentu.

  1. Di antarmuka web Netscout Arbor Sightline, buka Administration > Notification > Global Settings.
  2. Di kolom Default Notification Group, pilih grup notifikasi yang Anda buat untuk Google SecOps.
  3. Klik Simpan.
  4. Klik Configuration Commit untuk menerapkan perubahan konfigurasi.

Mengaktifkan notifikasi pemberitahuan sistem

Notifikasi sistem memerlukan konfigurasi tambahan melalui antarmuka command line (CLI).

  1. Login ke antarmuka command line Netscout Arbor Sightline sebagai administrator.

  2. Mencantumkan konfigurasi pemberitahuan sistem saat ini:

    services sp alerts system_errors show

  3. Untuk menampilkan daftar nama kolom pemberitahuan sistem yang tersedia dan dapat dikonfigurasi, jalankan:

    services sp alerts system_errors ?

  4. Aktifkan notifikasi untuk pemberitahuan sistem. Untuk setiap jenis pemberitahuan yang ingin Anda aktifkan, jalankan:

    services sp alerts system_errors <alert_name> notifications enable

    Ganti <alert_name> dengan nama kolom pemberitahuan sistem tertentu (misalnya, disk_full, flow_collector_down, license_expiring).

  5. Commit perubahan konfigurasi:

    config write

Mengonfigurasi aturan notifikasi pemberitahuan

Aturan notifikasi pemberitahuan menentukan pemberitahuan mana yang memicu notifikasi syslog ke Google SecOps.

  1. Di antarmuka web Netscout Arbor Sightline, buka Administration > Notification > Rules.
  2. Pilih salah satu opsi berikut:
    • Klik aturan yang ada untuk mengeditnya.
    • Klik Tambahkan Aturan untuk membuat aturan notifikasi baru.
  3. Konfigurasikan nilai berikut:
    • Name: Masukkan nama deskriptif untuk aturan (misalnya, Chronicle-DDoS-Alerts).
    • Resource: Masukkan alamat CIDR atau pilih objek terkelola dari daftar resource Sightline. Untuk menerapkan aturan ke semua resource, biarkan kolom ini kosong atau pilih All.
    • Kepentingan: Pilih tingkat kepentingan minimum untuk pemberitahuan (misalnya, Low, Medium, High, atau Critical). Pemberitahuan pada atau di atas tingkat ini akan memicu notifikasi.
    • Notification Group: Pilih grup notifikasi yang Anda buat untuk Google SecOps.
  4. Ulangi langkah-langkah ini untuk mengonfigurasi aturan tambahan sesuai kebutuhan untuk berbagai resource atau tingkat kepentingan.
  5. Klik Simpan.

  6. Klik Configuration Commit untuk menerapkan perubahan konfigurasi.

Menguji konektivitas syslog

Setelah mengonfigurasi grup dan aturan notifikasi, pastikan pesan syslog dikirim ke agen Bindplane.

  1. Di CLI Netscout Arbor Sightline, uji koneksi syslog:

    services sp notification test syslog group <notification_group_name>

    Ganti <notification_group_name> dengan nama grup notifikasi yang Anda buat.

  2. Perintah akan menampilkan:

    Server returned: Success

  3. Periksa log agen Bindplane untuk memastikan bahwa pesan pengujian diterima:

    Linux:

    sudo journalctl -u observiq-otel-collector -f

    Windows:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

  4. Di konsol Google SecOps, buka Search dan pastikan log Netscout Arbor Sightline muncul dengan label penyerapan ARBOR_SIGHTLINE.

Jenis peristiwa yang diteruskan ke Google SecOps

  • Netscout Arbor Sightline meneruskan kategori peristiwa berikut melalui syslog:

    • Peristiwa Denial of Service (DoS): pemberitahuan deteksi serangan DDoS, termasuk serangan volumetrik, serangan protokol, dan serangan lapisan aplikasi
    • Peristiwa autentikasi: Keberhasilan dan kegagalan login pengguna, upaya autentikasi
    • Peristiwa eksploitasi: Upaya eksploitasi dan pola traffic mencurigakan yang terdeteksi
    • Peristiwa aktivitas mencurigakan: Perilaku traffic yang tidak biasa dan potensi ancaman keamanan
    • Peristiwa sistem: Kondisi peralatan, status layanan, perubahan konfigurasi, dan pemberitahuan operasional
    • Peristiwa mitigasi: Mulai, berhenti, dan update status mitigasi untuk serangan DDoS

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
msg1 additional.fields Digabungkan dengan label dari setiap kolom jika tidak kosong, menggunakan kunci tertentu seperti "message_description" untuk msg1, "config_version" untuk config_version, dll.
config_version additional.fields
prin_user additional.fields
old_bgp_attributes additional.fields
new_bgp_attributes additional.fields
mampu bernalar additional.fields
sample_rate additional.fields
proto additional.fields
yang didukung AI additional.fields
ID additional.fields
expected_bps additional.fields
actual_bps additional.fields
server additional.fields
status additional.fields
persen additional.fields
rate additional.fields
rateunit additional.fields
flag additional.fields
router additional.fields
antarmuka additional.fields
ip_ver additional.fields
protocol_id additional.fields
router_name additional.fields
interface_id additional.fields
interface_name additional.fields
priority additional.fields
log_level additional.fields
kolam renang additional.fields
thread_id additional.fields
timeout additional.fields
percobaan additional.fields
vulns extensions.vulns.vulnerabilities Digabungkan jika kerentanan tidak kosong
menurun metadata.description Setel ke "%{desc}: %{desc2}" jika desc dan desc2 tidak kosong, atau desc; ditimpa oleh message_desc jika tidak kosong
desc2 metadata.description
message_desc metadata.description
event_time metadata.event_timestamp Dikonversi menggunakan filter tanggal dengan format MMM dd HH:mm:ss atau MMM d HH:mm:ss, zona waktu Europe/London
desc2 metadata.event_type Setel ke "SCAN_PROCESS" jika desc2 cocok dengan "(DNS Amplification
pesan metadata.event_type
src_ip metadata.event_type
has_target_ip metadata.event_type
has_network_protocol metadata.event_type
host_name metadata.event_type
pesan metadata.product_event_type Setel ke "Host Detection" jika pesan cocok dengan "Host Detection"; "TMS Mitigation started" jika pesan cocok dengan " started"; "TMS Mitigation stopped" jika pesan cocok dengan " stopped"
metadata.product_name metadata.product_name Tetapkan ke "ARBOR_SIGHTLINE"
metadata.vendor_name metadata.vendor_name Tetapkan ke "NETSCOUT"
direction network.direction Tetapkan ke "INBOUND" jika arahnya "incoming"
proto network.ip_protocol Tetapkan ke "TCP" jika proto "6"; jika tidak, tetapkan ke network_protocol huruf besar jika cocok dengan "(?i)(TCP
network_protocol network.ip_protocol
byte network.sent_bytes Nilai disalin langsung, dikonversi ke uinteger
paket network.sent_packets Nilai disalin langsung, dikonversi menjadi bilangan bulat
durasi network.session_duration.seconds Nilai disalin langsung jika tidak kosong dan bukan "0", dikonversi menjadi bilangan bulat
host_name principal.hostname Nilai disalin langsung
src_ip principal.ip Digabungkan dari src_ip dan nameserver_ip
nameserver_ip principal.ip
namespace principal.namespace Nilai disalin langsung
filename principal.process.file.full_path Nilai disalin langsung
alert_id principal.process.pid Nilai disalin langsung
prin_url principal.url Nilai disalin langsung
prin_user principal.user.userid Nilai disalin langsung
dampak security_result.detection_fields Digabungkan dengan kunci "Impact" dari impact, "Importance" dari importance, "Signature" dari signature, "Leader" dari leader, "parent_managed_object" dari parent_managed_object, "Alert ID" dari alert_id
importance security_result.detection_fields
tanda tangan security_result.detection_fields
pemimpin security_result.detection_fields
parent_managed_object security_result.detection_fields
alert_id security_result.detection_fields
tingkat keseriusan, security_result.severity Tetapkan ke "INFORMATIONAL" jika tingkat keparahan dalam ["10","9"]; "LOW" jika dalam ["8","7"]; "MEDIUM" jika "6"; "HIGH" jika dalam ["5","4"]; "CRITICAL" jika dalam ["3","2","1"]
desc2 security_result.threat_status Setel ke "ACTIVE" jika desc cocok dengan "Host Detection alert" dan message "start" dan bukan "stop"; "CLEARED" jika desc cocok dengan "Host Detection alert" dan message "stop"
pesan security_result.threat_status
intem_host target.group.product_object_id Nilai disalin langsung
dst_ip target.ip Nilai disalin langsung
dst_port target.port Nilai disalin langsung, dikonversi menjadi bilangan bulat
file_path target.process.file.full_path Nilai disalin langsung
stop_time vulns.vulnerabilities.scan_end_time Dikonversi menggunakan filter tanggal dengan format yyyy-MM-dd HH:mm:ss
start_time vulns.vulnerabilities.scan_start_time Dikonversi menggunakan filter tanggal dengan format yyyy-MM-dd HH:mm:ss atau yyyy-MM-dd
msg1 event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
prin_user event.idm.read_only_udm.principal.user.userid Dipetakan dari log perubahan
config_version event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
old_bgp_attributes event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
new_bgp_attributes event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
reason event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
sample_rate event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
proto event.idm.read_only_udm.network.ip_protocol Dipetakan dari log perubahan
proto event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
bytes event.idm.read_only_udm.network.sent_bytes Dipetakan dari log perubahan
packets event.idm.read_only_udm.network.sent_packets Dipetakan dari log perubahan
flows event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
identifier event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
expected_bps event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
actual_bps event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
server event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
status event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
percent event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
rate event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
rateunit event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
flags event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
router event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
interface event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
ip_ver event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
protocol_id event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
router_name event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
interface_id event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
interface_name event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
network_protocol event.idm.read_only_udm.network.ip_protocol Dipetakan dari log perubahan
prin_url event.idm.read_only_udm.principal.url Dipetakan dari log perubahan
src_port event.idm.read_only_udm.principal.port Dipetakan dari log perubahan
dst_port event.idm.read_only_udm.target.port Dipetakan dari log perubahan
dst_ip event.idm.read_only_udm.target.ip Dipetakan dari log perubahan
severity event.idm.read_only_udm.security_result.severity Dipetakan dari log perubahan
Active/Cleared security_result.threat_status Dipetakan dari log perubahan
alert_id","parent_managed_object security_result.detection_fields Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.