Netscout Arbor Sightline 로그 수집

다음에서 지원:

이 문서에서는 Bindplane 에이전트를 사용하여 Netscout Arbor Sightline 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

Netscout Arbor Sightline (이전 명칭: Peakflow SP)은 DDoS 감지 및 네트워크 가시성 플랫폼으로, 네트워크 전체 용량 계획부터 DDoS 및 기타 네트워크 위협의 완화 식별 및 관리까지 강력한 기능을 제공합니다. Sightline은 흐름 데이터, BGP 라우팅 정보, SNMP 데이터를 수집하고 분석하여 이상을 감지하고, 알림을 생성하고, 완화 대응을 조정합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • Windows Server 2016 이상 또는 systemd가 설치된 Linux 호스트
  • Bindplane 에이전트와 Netscout Arbor Sightline 어플라이언스 간의 네트워크 연결
  • 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
  • Netscout Arbor Sightline 웹 인터페이스에 대한 관리 액세스
  • 시스템 알림 구성을 위한 Netscout Arbor Sightline 명령줄 인터페이스 (CLI)에 대한 관리 액세스

Google SecOps 수집 인증 파일 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 수집 에이전트로 이동합니다.

  3. 수집 인증 파일을 다운로드합니다. Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 프로필로 이동합니다.

  3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

Bindplane 에이전트 설치

다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.

Windows 설치

  1. 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.

  2. 다음 명령어를 실행합니다.

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 설치가 완료될 때까지 기다립니다.

  4. 다음을 실행하여 설치를 확인합니다.

    sc query observiq-otel-collector

    서비스가 실행 중으로 표시되어야 합니다.

Linux 설치

  1. 루트 또는 sudo 권한으로 터미널을 엽니다.

  2. 다음 명령어를 실행합니다.

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 설치가 완료될 때까지 기다립니다.

  4. 다음을 실행하여 설치를 확인합니다.

    sudo systemctl status observiq-otel-collector

    서비스가 active (running)으로 표시되어야 합니다.

추가 설치 리소스

추가 설치 옵션 및 문제 해결은 Bindplane 에이전트 설치 가이드를 참고하세요.

syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성

구성 파일 찾기

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

구성 파일 설정

  1. config.yaml의 전체 내용을 다음 구성으로 바꿉니다.

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/arbor_sightline:
        compression: gzip
        creds_file_path: '<CREDS_FILE_PATH>'
        customer_id: '<CUSTOMER_ID>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: ARBOR_SIGHTLINE
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/arbor_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/arbor_sightline

  2. 다음 자리표시자를 바꿉니다.

    • 수신기 구성:

      • 수신기는 모든 인터페이스 (0.0.0.0:514)에서 UDP 포트 514를 수신하도록 구성됩니다.
      • 다른 포트 (예: 비루트 Linux 설치의 경우 1514)를 사용해야 하는 경우 listen_address 값을 수정합니다.
      • TCP syslog를 선호하는 경우 수신기 섹션과 파이프라인 모두에서 udplog를 tcplog로 바꿉니다.

    • 내보내기 도구 구성:

      • <CREDS_FILE_PATH>: 수집 인증 파일의 전체 경로

        • Linux: /etc/bindplane-agent/ingestion-auth.json
        • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

      • <CUSTOMER_ID>: 이전 단계의 고객 ID

      • endpoint: 리전 엔드포인트 URL (기본값은 미국 리전임)

        • 미국: malachiteingestion-pa.googleapis.com
        • 유럽: europe-malachiteingestion-pa.googleapis.com
        • 아시아: asia-southeast1-malachiteingestion-pa.googleapis.com
        • 전체 목록은 리전 엔드포인트를 참고하세요.

      • log_type: ARBOR_SIGHTLINE로 설정 (일치검색 필요)

      • ingestion_labels: YAML 형식의 선택적 라벨 (환경에 맞게 수정)

구성 예시

  • receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/arbor_sightline:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: ARBOR_SIGHTLINE
    raw_log_field: body
    ingestion_labels:
      env: production
      source: sightline

service:
  pipelines:
    logs/arbor_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/arbor_sightline

구성 파일 저장

수정 후 파일을 저장합니다.

  • Linux: Ctrl+O, Enter, Ctrl+X 순서로 누릅니다.
  • Windows: 파일 > 저장을 클릭합니다.

변경사항을 적용하려면 Bindplane 에이전트를 다시 시작하세요.

  • Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 단계를 따르세요.

    1. 다음 명령어를 실행합니다.

      sudo systemctl restart observiq-otel-collector

    2. 서비스가 실행 중인지 확인합니다.

      sudo systemctl status observiq-otel-collector

    3. 로그에서 오류를 확인합니다.

      sudo journalctl -u observiq-otel-collector -f

  • Windows에서 Bindplane 에이전트를 다시 시작하려면 다음 단계를 따르세요.

    1. 다음 옵션 중 하나를 선택합니다.

      • 관리자 권한으로 명령 프롬프트 또는 PowerShell:

        net stop observiq-otel-collector && net start observiq-otel-collector

      • 서비스 콘솔:

        1. Win+R 키를 누르고 services.msc을 입력한 다음 Enter 키를 누릅니다.
        2. observIQ OpenTelemetry Collector를 찾습니다.
        3. 마우스 오른쪽 버튼을 클릭하고 다시 시작을 선택합니다.

    2. 서비스가 실행 중인지 확인합니다.

      sc query observiq-otel-collector

    3. 로그에서 오류를 확인합니다.

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Netscout Arbor Sightline syslog 전달 구성

로그를 Google SecOps에 전송하려면 syslog 이벤트를 Bindplane 에이전트로 전달하도록 Netscout Arbor Sightline을 구성해야 합니다. 여기에는 알림 그룹 만들기, 전역 알림 설정 구성, 알림 알림 규칙 설정이 포함됩니다.

알림 그룹 만들기

  1. 관리자로 Netscout Arbor Sightline 웹 인터페이스에 로그인합니다.
  2. 관리 > 알림 > 그룹으로 이동합니다.
  3. 알림 그룹 추가를 클릭합니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 대상: Bindplane 에이전트 호스트의 IP 주소를 입력합니다 (예: 192.168.1.100).
    • 포트: 514(또는 Bindplane 에이전트에서 구성된 포트(예: 1514))를 입력합니다.
    • 시설: syslog 시설을 선택합니다 (예: local0 또는 user).
    • 심각도: info를 선택합니다. 정보 심각도는 정보 이벤트 수준 이상의 심각도에서 모든 이벤트 메시지를 수집합니다.
  5. 저장을 클릭합니다.

  6. 구성 커밋을 클릭하여 구성 변경사항을 적용합니다.

전역 알림 설정 구성

Netscout Arbor Sightline의 전역 알림은 특정 알림 규칙과 연결되지 않은 시스템 알림을 제공합니다.

  1. Netscout Arbor Sightline 웹 인터페이스에서 Administration > Notification > Global Settings로 이동합니다.
  2. 기본 알림 그룹 필드에서 Google SecOps용으로 만든 알림 그룹을 선택합니다.
  3. 저장을 클릭합니다.
  4. 구성 커밋을 클릭하여 구성 변경사항을 적용합니다.

시스템 알림 사용 설정

시스템 알림을 사용하려면 명령줄 인터페이스 (CLI)를 통해 추가 구성이 필요합니다.

  1. 관리자로 Netscout Arbor Sightline 명령줄 인터페이스에 로그인합니다.

  2. 현재 시스템 알림 구성을 나열합니다.

    services sp alerts system_errors show

  3. 구성할 수 있는 사용 가능한 시스템 알림 필드 이름을 나열하려면 다음을 실행합니다.

    services sp alerts system_errors ?

  4. 시스템 알림에 대한 알림을 사용 설정합니다. 사용 설정하려는 각 알림 유형에 대해 다음을 실행합니다.

    services sp alerts system_errors <alert_name> notifications enable

    <alert_name>을 특정 시스템 알림 필드 이름 (예: disk_full, flow_collector_down, license_expiring)으로 바꿉니다.

  5. 구성 변경사항을 커밋합니다.

    config write

알림 규칙 구성

알림 알림 규칙은 Google SecOps에 대한 syslog 알림을 트리거하는 알림을 결정합니다.

  1. Netscout Arbor Sightline 웹 인터페이스에서 Administration> Notification> Rules로 이동합니다.
  2. 다음 옵션 중 하나를 선택합니다.
    • 기존 규칙을 클릭하여 수정합니다.
    • 규칙 추가를 클릭하여 새 알림 규칙을 만듭니다.
  3. 다음 값을 구성합니다.
    • 이름: 규칙을 설명하는 이름을 입력합니다 (예: Chronicle-DDoS-Alerts).
    • 리소스: CIDR 주소를 입력하거나 Sightline 리소스 목록에서 관리 객체를 선택합니다. 모든 리소스에 규칙을 적용하려면 이 필드를 비워 두거나 모두를 선택합니다.
    • 중요도: 알림의 최소 중요도 수준 (예: Low, Medium, High, Critical)을 선택합니다. 이 수준 이상의 알림이 발생하면 알림이 트리거됩니다.
    • 알림 그룹: Google SecOps용으로 만든 알림 그룹을 선택합니다.
  4. 필요에 따라 다른 리소스 또는 중요도 수준에 대한 규칙을 추가로 구성하려면 이 단계를 반복합니다.
  5. 저장을 클릭합니다.

  6. 구성 커밋을 클릭하여 구성 변경사항을 적용합니다.

syslog 연결 테스트

알림 그룹과 규칙을 구성한 후 syslog 메시지가 Bindplane 에이전트로 전송되는지 확인합니다.

  1. Netscout Arbor Sightline CLI에서 syslog 연결을 테스트합니다.

    services sp notification test syslog group <notification_group_name>

    <notification_group_name>을 생성한 알림 그룹의 이름으로 바꿉니다.

  2. 명령어는 다음을 반환해야 합니다.

    Server returned: Success

  3. Bindplane 에이전트 로그를 확인하여 테스트 메시지가 수신되고 있는지 확인합니다.

    Linux:

    sudo journalctl -u observiq-otel-collector -f

    Windows:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

  4. Google SecOps 콘솔에서 검색으로 이동하여 Netscout Arbor Sightline 로그가 수집 라벨 ARBOR_SIGHTLINE과 함께 표시되는지 확인합니다.

Google SecOps로 전달되는 이벤트 유형

  • Netscout Arbor Sightline은 syslog를 통해 다음 이벤트 카테고리를 전달합니다.

    • 서비스 거부 (DoS) 이벤트: 볼륨 공격, 프로토콜 공격, 애플리케이션 계층 공격을 포함한 DDoS 공격 감지 알림
    • 인증 이벤트: 사용자 로그인 성공 및 실패, 인증 시도
    • 악용 이벤트: 감지된 악용 시도 및 의심스러운 트래픽 패턴
    • 의심스러운 활동 이벤트: 비정상적인 트래픽 동작 및 잠재적인 보안 위협
    • 시스템 이벤트: 어플라이언스 상태, 서비스 상태, 구성 변경, 운영 알림
    • 완화 이벤트: DDoS 공격의 완화 시작, 중지, 상태 업데이트

UDM 매핑 테이블

로그 필드 UDM 매핑 논리
msg1 additional.fields 비어 있지 않은 경우 각 필드의 라벨과 병합되며, msg1의 경우 'message_description', config_version의 경우 'config_version'과 같은 특정 키를 사용합니다.
config_version additional.fields
prin_user additional.fields
old_bgp_attributes additional.fields
new_bgp_attributes additional.fields
reason additional.fields
sample_rate additional.fields
proto additional.fields
지원 additional.fields
identifier additional.fields
expected_bps additional.fields
actual_bps additional.fields
서버 additional.fields
상태 additional.fields
퍼센트 additional.fields
요율 additional.fields
rateunit additional.fields
flags additional.fields
라우터 additional.fields
인터페이스 additional.fields
ip_ver additional.fields
protocol_id additional.fields
router_name additional.fields
interface_id additional.fields
interface_name additional.fields
우선순위 additional.fields
log_level additional.fields
수영장 additional.fields
thread_id additional.fields
제한 시간 additional.fields
시도 additional.fields
vulns extensions.vulns.vulnerabilities 취약점이 비어 있지 않은 경우 병합됨
내림차순 metadata.description desc와 desc2가 모두 비어 있지 않으면 '%{desc}: %{desc2}'로 설정하고, 그렇지 않으면 desc로 설정합니다. 비어 있지 않으면 message_desc로 덮어씁니다.
desc2 metadata.description
message_desc metadata.description
event_time metadata.event_timestamp MMM dd HH:mm:ss 또는 MMM d HH:mm:ss 형식의 날짜 필터와 시간대 Europe/London을 사용하여 변환됨
desc2 metadata.event_type desc2가 '(DNS 증폭
메시지 metadata.event_type
src_ip metadata.event_type
has_target_ip metadata.event_type
has_network_protocol metadata.event_type
host_name metadata.event_type
메시지 metadata.product_event_type 메시지가 '호스트 감지'와 일치하면 '호스트 감지'로 설정하고, 메시지가 '시작됨'과 일치하면 'TMS 완화 시작됨'으로 설정하고, 메시지가 '중지됨'과 일치하면 'TMS 완화 중지됨'으로 설정합니다.
metadata.product_name metadata.product_name 'ARBOR_SIGHTLINE'으로 설정
metadata.vendor_name metadata.vendor_name 'NETSCOUT'으로 설정
direction network.direction 방향이 'incoming'인 경우 'INBOUND'로 설정됩니다.
proto network.ip_protocol 프로토콜이 '6'인 경우 'TCP'로 설정하고, '(?i)(TCP
network_protocol network.ip_protocol
바이트 network.sent_bytes 값이 직접 복사되고 uinteger로 변환됨
packets network.sent_packets 값이 직접 복사되어 정수로 변환됨
기간 network.session_duration.seconds 비어 있지 않고 '0'이 아닌 경우 직접 복사된 값, 정수로 변환됨
host_name principal.hostname 값이 직접 복사됨
src_ip principal.ip src_ip 및 nameserver_ip에서 병합됨
nameserver_ip principal.ip
네임스페이스 principal.namespace 값이 직접 복사됨
filename principal.process.file.full_path 값이 직접 복사됨
alert_id principal.process.pid 값이 직접 복사됨
prin_url principal.url 값이 직접 복사됨
prin_user principal.user.userid 값이 직접 복사됨
영향 security_result.detection_fields 영향의 '영향', 중요도의 '중요도', 서명의 '서명', 리더의 '리더', parent_managed_object의 'parent_managed_object', alert_id의 'Alert ID' 키와 병합됨
중요도 security_result.detection_fields
signature security_result.detection_fields
리더 security_result.detection_fields
parent_managed_object security_result.detection_fields
alert_id security_result.detection_fields
줄이는 것을 security_result.severity 심각도가 ['10', '9']인 경우 'INFORMATIONAL', ['8', '7']인 경우 'LOW', '6'인 경우 'MEDIUM', ['5', '4']인 경우 'HIGH', ['3', '2', '1']인 경우 'CRITICAL'로 설정됩니다.
desc2 security_result.threat_status 설명에 '호스트 감지 알림'이 포함되고 메시지에 'start'가 포함되고 'stop'이 포함되지 않으면 'ACTIVE'로 설정됩니다. 설명에 '호스트 감지 알림'이 포함되고 메시지에 'stop'이 포함되면 'CLEARED'로 설정됩니다.
메시지 security_result.threat_status
intem_host target.group.product_object_id 값이 직접 복사됨
dst_ip target.ip 값이 직접 복사됨
dst_port target.port 값이 직접 복사되어 정수로 변환됨
file_path target.process.file.full_path 값이 직접 복사됨
stop_time vulns.vulnerabilities.scan_end_time yyyy-MM-dd HH:mm:ss 형식의 날짜 필터를 사용하여 변환됨
start_time vulns.vulnerabilities.scan_start_time yyyy-MM-dd HH:mm:ss 또는 yyyy-MM-dd 형식의 날짜 필터를 사용하여 변환됨

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.