Wir haben die Navigationsstruktur unserer Dokumentation neu organisiert, um sie direkt an Ihre betrieblichen Arbeitsabläufe anzupassen. Weitere Informationen finden Sie in den Versionshinweisen und im Video zur Anleitung.

Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Array Networks SSL VPN-Logs erfassen

Parserversion:1.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Array Networks SSL VPN-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Ein Windows 2016- oder höher- oder Linux-Host mit systemd
Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
Privilegierter Zugriff auf die Array Networks SSL VPN-Verwaltungskonsole oder ‑Appliance (AG-Serie oder vxAG)

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Profile auf.
Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Fenstereinbau

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie in diesem Installationsleitfaden.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei aufrufen:
- Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
- Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

Bearbeiten Sie die Datei config.yamlso:

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ARRAYNETWORKS_VPN'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
Ersetzen Sie <CUSTOMER_ID> durch die tatsächliche Kundennummer.
Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Dateipfad, in dem die Authentifizierungsdatei in Schritt 1 gespeichert wurde.
Der Endpunkt malachiteingestion-pa.googleapis.com ist für die US-Region. Wenn sich Ihre Google SecOps-Instanz in einer anderen Region befindet, verwenden Sie den regionalspezifischen Erfassungs-Endpunkt, der in Ihrer Mandantendokumentation angegeben ist.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:
```
sudo systemctl restart observiq-otel-collector
```
Um den Bindplane-Agent unter Windows neu zu starten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

Syslog-Weiterleitung auf Array Networks SSL VPN konfigurieren

Melden Sie sich in der Array Networks SSL VPN Management Console (Web-UI) an.
Klicken Sie im linken Navigationsmenü auf ADMIN TOOLS (ADMIN-TOOLS).
Klicken Sie auf Monitoring.
Klicken Sie auf den Tab Logging.
Klicken Sie auf den Tab Syslog-Server.
Klicken Sie im Bereich REMOTE SYSLOG SERVER CONFIGURATION (Konfiguration des Remote-Syslog-Servers) auf Add Server Entry (Servereintrag hinzufügen).
Geben Sie die folgenden Konfigurationsdetails an:
- Host-IP: Geben Sie die IP-Adresse des Bindplane-Agents ein.
- Host Port (Hostport): Geben Sie die Portnummer des Bindplane-Agents ein, z. B. 514.
- Protokoll: Wählen Sie je nach Konfiguration des Bindplane-Agents UDP oder TCP aus.
- Quellport: Behalten Sie den Standardwert bei oder geben Sie einen Wert an, wenn dies für Ihre Netzwerkkonfiguration erforderlich ist.
- Stufe: Wählen Sie die Mindestschweregradstufe aus, die weitergeleitet werden soll (z. B. „Information“, „Warnung“, „Fehler“).
Klicken Sie auf Hinzufügen oder Speichern, um die Konfiguration anzuwenden.
Klicken Sie oben auf der Seite auf Save Configuration (Konfiguration speichern), um die Änderungen zu übernehmen.

Hinweis :Die oben gezeigten UI-Pfade basieren auf der AG-Serie von Array Networks und der vxAG-Firmware. Wenn sich Ihre Firmware-Version unterscheidet, können die genauen Menülabels leicht variieren. Eine firmware-spezifische Anleitung finden Sie im Array Networks-Administrationshandbuch.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
`clientip`	`principal.ip`	Die IP-Adresse des Clients, die aus dem Feld `clientip` im Roh-Logeintrag extrahiert wurde.
`column1`	`principal.ip`	Die IP-Adresse, die aus `column1` im Rohlog extrahiert wurde.
`column1`	`principal.asset.ip`	Die IP-Adresse, die aus `column1` im Rohlog extrahiert wurde.
`column3`	`network.received_bytes`	Die Anzahl der empfangenen Byte, in eine vorzeichenlose Ganzzahl konvertiert.
`column4`	`network.http.method`	Die HTTP-Methode, die aus `column4` im Rohlog extrahiert wurde.
`column7`	`target.ip`	Die Ziel-IP-Adresse, die aus `column7` im Rohlog extrahiert wurde.
`dport`	`target.port`	Zielport, in eine Ganzzahl konvertiert.
`dst`	`target.ip`	IP-Adresse des Ziels.
`dst`	`target.asset.ip`	IP-Adresse des Ziels.
`hostname`	`principal.hostname`	Der Hostname, der aus dem Feld `hostname` im Roh-Logeintrag extrahiert wurde.
`hostname`	`principal.asset.hostname`	Der Hostname, der aus dem Feld `hostname` im Roh-Logeintrag extrahiert wurde.
`http_method`	`network.http.method`	Die HTTP-Methode, die aus dem Rohlog-Eintrag extrahiert wurde.
`id`	`principal.application`	Die Anwendungs-ID aus dem Rohlog.
`mac`	`principal.mac`	Die MAC-Adresse, die aus dem Feld `mac` im Rohlog-Eintrag extrahiert wurde.
`msg`	`metadata.product_event_type`	Das Nachrichtenfeld aus dem Rohprotokoll, das als Produktereignistyp verwendet wird. Wird auch für `security_result.description` verwendet, nachdem umgekehrte Schrägstriche und Anführungszeichen entfernt wurden.
`product_name`	`metadata.product_name`	Der Produktname, der aus dem Roh-Logeintrag extrahiert wurde.
`prxy_ip`	`intermediary.ip`	Proxy-IP-Adresse.
`prxy_port`	`intermediary.port`	Proxy-Port, in eine Ganzzahl konvertiert.
`response_code`	`network.http.response_code`	Der HTTP-Antwortcode, in eine Ganzzahl konvertiert.
`security_result.action`	`security_result.action`	Wird von der Parserlogik basierend auf dem Wert von `column2` bestimmt. „BLOCK“, wenn `column2` „TCP_MISS“ enthält, andernfalls „UNKNOWN_ACTION“.
`security_result.description`	`security_result.description`	Das Nachrichtenfeld aus dem Rohlog nach dem Entfernen von Backslashes und Anführungszeichen.
`sport`	`principal.port`	Quellport, in eine Ganzzahl konvertiert.
`src`	`principal.ip`	IP-Adresse der Quelle.
`src`	`principal.asset.ip`	IP-Adresse der Quelle.
`target_hostname`	`target.hostname`	Der Ziel-Hostname, der aus dem Roh-Logeintrag extrahiert wurde.
`timestamp`	`metadata.event_timestamp`	Der aus dem Roh-Logeintrag extrahierte und in ein Zeitstempelobjekt geparste Zeitstempel.
`uri`	`target.url`	Teil der Ziel-URL. Wird mit `uri_param` kombiniert, um die vollständige URL zu bilden.
`uri_param`	`target.url`	Teil der Ziel-URL. Wird mit `uri` kombiniert, um die vollständige URL zu bilden.
`user`	`target.user.userid`	Der Nutzername, der aus dem Roh-Logeintrag extrahiert wurde.
`user_agent_string`	`network.http.user_agent`	Der User-Agent-String, der aus der Rohprotokollnachricht extrahiert wurde.
`vpn`	`target.user.group_identifiers`	Der VPN-Name, der aus dem Roh-Logeintrag extrahiert wurde.
`metadata.event_type`	`metadata.event_type`	Wird von der Parserlogik anhand einer Kombination von Feldern wie `has_principal`, `has_target`, `has_http_value` und `user` bestimmt. Kann „NETWORK_HTTP“, „NETWORK_CONNECTION“, „STATUS_UPDATE“, „USER_UNCATEGORIZED“ oder „GENERIC_EVENT“ sein.
`network.ip_protocol`	`network.ip_protocol`	Legen Sie „TCP“ fest, wenn die Nachricht „TCP“ enthält.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten