Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Raccogli i log degli switch Arista

Versione parser: 3.0

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log degli switch Arista in Google Security Operations utilizzando l'agente Bindplane.

Arista EOS (Extensible Operating System) viene eseguito sugli switch di rete Arista e genera messaggi syslog per eventi di sistema, modifiche dell'interfaccia, autenticazione, contabilità AAA e modifiche dello stato del protocollo. Il parser gestisce i formati JSON e syslog.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

Un'istanza Google SecOps
Windows Server 2016 o versioni successive oppure host Linux con systemd
Connettività di rete tra l'agente Bindplane e lo switch Arista
Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
Arista EOS 4.23.x o versioni successive
Accesso privilegiato allo switch Arista EOS

Recuperare il file di autenticazione dell'importazione di Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Agenti di raccolta.
Scarica il file di autenticazione dell'acquisizione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Nota :questo file JSON contiene le credenziali per l'autenticazione dell'agente Bindplane in Google SecOps.

Recuperare l'ID cliente Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Profilo.
Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Nota: l'ID cliente è necessario per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

Apri Prompt dei comandi o PowerShell come amministratore.

Esegui questo comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendi il completamento dell'installazione.
Verifica l'installazione eseguendo:
```
sc query observiq-otel-collector
```
Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

Apri un terminale con privilegi root o sudo.

Esegui questo comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Attendi il completamento dell'installazione.
Verifica l'installazione eseguendo:
```
sudo systemctl status observiq-otel-collector
```
Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/arista_switch:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: ARISTA_SWITCH
        raw_log_field: body

service:
    pipelines:
        logs/arista_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/arista_switch

Parametri di configurazione

Sostituisci i seguenti segnaposto:

Configurazione del destinatario:
- listen_address: Indirizzo IP e porta da ascoltare:
  - 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
  - La porta 514 è la porta syslog standard (richiede l'accesso root su Linux; utilizza 1514 per l'accesso non root)
Configurazione dell'esportatore:
- creds_file_path: Percorso completo del file di autenticazione dell'acquisizione:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: ID cliente copiato dalla console Google SecOps
- endpoint: URL dell'endpoint regionale:
  - Stati Uniti: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Per l'elenco completo, consulta Endpoint regionali.

Salva il file di configurazione

Dopo la modifica, salva il file:
- Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
- Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux, esegui questo comando:

sudo systemctl restart observiq-otel-collector

Verifica che il servizio sia in esecuzione:

```bash
sudo systemctl status observiq-otel-collector
```

Controlla i log per verificare la presenza di errori:

```bash
sudo journalctl -u observiq-otel-collector -f
```

Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:
- Prompt dei comandi o PowerShell come amministratore:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console dei servizi:
  1. Premi Win+R, digita services.msc e premi Invio.
  2. Individua observIQ OpenTelemetry Collector.
  3. Fai clic con il tasto destro del mouse e seleziona Riavvia.
  4. Verifica che il servizio sia in esecuzione:
```
sc query observiq-otel-collector
```
  5. Controlla i log per verificare la presenza di errori:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configura syslog sullo switch Arista

Accedi allo switch Arista.
Attiva la modalità di configurazione:
```
Arista# configure terminal
```
Configura la destinazione syslog per inviare i log all'agente Bindplane:
```
Arista(config)# logging host <bindplane-server-ip> <port-number> protocol udp
Arista(config)# logging trap informational
Arista(config)# copy running-config startup-config
```
- Sostituisci <bindplane-server-ip> con l'indirizzo IP dell'agente Bindplane.
- Sostituisci <port-number> con la porta configurata per l'ascolto (ad esempio, 514).

(Facoltativo) Abilita la registrazione dell'esecuzione dei comandi per la contabilità AAA:

Arista(config)# aaa accounting commands all console start-stop logging
Arista(config)# aaa accounting commands all default start-stop logging
Arista(config)# aaa accounting exec console start-stop logging
Arista(config)# aaa accounting exec default start-stop logging
Arista(config)# copy running-config startup-config

(Facoltativo) Abilita la registrazione di esito positivo e negativo dell'autenticazione:

Arista(config)# aaa authentication policy on-success log
Arista(config)# aaa authentication policy on-failure log
Arista(config)# copy running-config startup-config

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
`appname`	`target.application`	Mappato direttamente dal campo `appname`.
`description`	`metadata.description`	Mappato direttamente dal campo `description`, che viene estratto dal campo `message` utilizzando pattern grok basati su `product_event_type`.
`dst_ip`	`target.ip`, `target.asset.ip`	Mappato direttamente dal campo `dst_ip`, che viene estratto dal campo `message` utilizzando i pattern grok.
`dst_mac`	`target.mac`	Mappato direttamente dal campo `dst_mac`, che viene estratto dal campo `message` utilizzando i pattern grok.
`dst_port`	`target.port`	Mappato direttamente dal campo `dst_port`, che viene estratto dal campo `message` utilizzando i pattern grok.
`facility`	`additional.fields[facility].string_value`	Mappato direttamente dal campo `facility`.
`hostname`	`principal.hostname`, `principal.asset.hostname`	Mappato direttamente dal campo `hostname`.
`inner_msg`	`metadata.description`	Mappato direttamente dal campo `inner_msg`, che viene estratto dal campo `message` utilizzando i pattern grok.
`ip_protocol`	`network.ip_protocol`	Mappato direttamente dal campo `ip_protocol`, che viene estratto dal campo `message` utilizzando i pattern grok. Se il valore è "tcp", viene convertito in "TCP". Se il tipo di evento è "NO_IGMP_QUERIER", è impostato su "IGMP".
`pid`	`principal.process.pid`	Mappato direttamente dal campo `pid`, che viene estratto dal campo `message` utilizzando i pattern grok.
`prin_ip`	`principal.ip`, `principal.asset.ip`	Mappato direttamente dal campo `prin_ip`, che viene estratto dal campo `message` utilizzando i pattern grok.
`product_event_type`	`metadata.product_event_type`	Mappato direttamente dal campo `product_event_type`, che viene estratto dal campo `message` utilizzando i pattern grok.
`proto`	`network.application_protocol`	Se il campo `proto` è "sshd", il campo UDM è impostato su "SSH".
`severity`	`security_result.severity`, `security_result.severity_details`	`security_result.severity` deriva dal campo `severity` in base a questi mapping: "DEFAULT", "DEBUG", "INFO", "NOTICE" -> "INFORMATIONAL"; "WARNING", "ERROR", "ERR", "WARN" -> "MEDIUM"; "CRITICAL", "ALERT", "EMERGENCY" -> "HIGH". Il valore non elaborato di `severity` è mappato a `security_result.severity_details`.
`session_id`	`network.session_id`	Mappato direttamente dal campo `session_id`, che viene estratto dal campo `message` utilizzando i pattern grok.
`source_ip`	`principal.ip`, `principal.asset.ip`	Mappato direttamente dal campo `source_ip`, che viene estratto dal campo `message` utilizzando i pattern grok.
`source_port`	`principal.port`	Mappato direttamente dal campo `source_port`, che viene estratto dal campo `message` utilizzando i pattern grok.
`src_ip`	`principal.ip`, `principal.asset.ip`	Mappato direttamente dal campo `src_ip`, che viene estratto dal campo `message` utilizzando i pattern grok.
`table_name`	`target.resource.name`	Mappato direttamente dal campo `table_name`, che viene estratto dal campo `message` utilizzando i pattern grok. Se questo campo è compilato, `target.resource.resource_type` è impostato su "TABLE".
`target_host`	`target.hostname`, `target.asset.hostname`	Mappato direttamente dal campo `target_host`, che viene estratto dal campo `message` utilizzando i pattern grok.
`target_ip`	`target.ip`, `target.asset.ip`	Mappato direttamente dal campo `target_ip`, che viene estratto dal campo `message` utilizzando i pattern grok.
`target_package`	`target.process.command_line`	Mappato direttamente dal campo `target_package`, che viene estratto dal campo `message` utilizzando i pattern grok.
`target_port`	`target.port`	Mappato direttamente dal campo `target_port`, che viene estratto dal campo `message` utilizzando i pattern grok.
`timestamp`	`metadata.event_timestamp`	Mappato direttamente dal campo `timestamp` dopo essere stato analizzato in un oggetto timestamp.
`user`	`principal.user.userid`	Mappato direttamente dal campo `user`, che viene estratto dal campo `message` utilizzando i pattern grok.
`user_name`	`target.user.userid`	Mappato direttamente dal campo `user_name`, che viene estratto dal campo `message` utilizzando i pattern grok.
`vrf`	`additional.fields[vrf].string_value`	Mappato direttamente dal campo `vrf`, che viene estratto dal campo `message` utilizzando i pattern grok. Derivato da una combinazione dei campi `has_principal`, `has_target`, `user`, `message`, `product_event_type` e `description` utilizzando una logica condizionale complessa, come descritto nel codice del parser. Il valore predefinito è "GENERIC_EVENT". Codificato in modo permanente su "ARISTA_SWITCH". Codificato in modo permanente su "Arista Switch". Impostato come hardcoded su "Arista". Impostato su "BLOCK" se il campo `description` contiene "connection rejected".
`dpid`	`additional.fields[DPID].string_value`	Mappato direttamente dal campo `dpid`.
`intf`	`additional.fields[intf].string_value`	Mappato direttamente dal campo `intf`.

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.