Array Networks SSL VPN-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Array Networks SSL VPN-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Ein Windows 2016- oder Linux-Host mit systemd
  • Wenn Sie einen Proxy verwenden, prüfen Sie, ob die Firewallports gemäß den Anforderungen des Bindplane-Agent geöffnet sind.
  • Privilegierter Zugriff auf die Array Networks SSL VPN-Verwaltungskonsole oder -Appliance (AG-Serie oder vxAG)

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie SIEM-Einstellungen > Erfassungs-Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie SIEM-Einstellungen > Profil auf.
  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie den folgenden Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

  2. Führen Sie den folgenden Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Weitere Installationsressourcen

Weitere Installationsoptionen finden Sie in dieser Installationsanleitung.

Bindplane-Agent für die Aufnahme von Syslog-Daten und das Senden an Google SecOps konfigurieren

  1. Greifen Sie auf die Konfigurationsdatei zu:

    • Suchen Sie die Datei config.yaml. Unter Linux befindet sie sich normalerweise im Verzeichnis /etc/bindplane-agent/ und unter Windows im Installationsverzeichnis.
    • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

  2. Bearbeiten Sie die Datei config.yaml so:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ARRAYNETWORKS_VPN'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
    • Ersetzen Sie <CUSTOMER_ID> durch die tatsächliche Kundennummer.
    • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Dateipfad, in dem die Authentifizierungsdatei in Schritt 1 gespeichert wurde.
    • Der Endpunkt malachiteingestion-pa.googleapis.com gilt für die US-Region. Wenn sich Ihre Google SecOps-Instanz in einer anderen Region befindet, verwenden Sie den entsprechenden Aufnahmeendpunkt für die Region, der in der Dokumentation Ihres Mandanten angegeben ist.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  1. Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

  2. Unter Windows können Sie den Bindplane-Agent entweder über die Konsole Dienste neu starten oder den folgenden Befehl eingeben:

    net stop observiq-otel-collector && net start observiq-otel-collector

Syslog-Weiterleitung auf Array Networks SSL VPN konfigurieren

  1. Melden Sie sich in der Array Networks SSL VPN-Verwaltungskonsole (WebUI) an.
  2. Klicken Sie im linken Navigationsmenü auf ADMIN TOOLS (Verwaltungstools).
  3. Klicken Sie auf Monitoring.
  4. Klicken Sie auf den Tab Logging (Protokollierung).
  5. Klicken Sie auf den Untertab Syslog Servers (Syslog-Server).
  6. Klicken Sie im Bereich REMOTE SYSLOG SERVER CONFIGURATION (Konfiguration des Remote-Syslog-Servers) auf Add Server Entry (Servereintrag hinzufügen).
  7. Geben Sie die folgenden Konfigurationsdetails an:
    • Host IP (Host-IP): Geben Sie die IP-Adresse des Bindplane-Agent ein.
    • Host Port (Host-Port): Geben Sie die Portnummer des Bindplane-Agent ein (z. B. 514).
    • Protocol (Protokoll): Wählen Sie je nach Konfiguration des Bindplane-Agent UDP oder TCP aus.
    • Quellport: Übernehmen Sie die Standardeinstellung oder geben Sie einen Port an, wenn dies für Ihre Netzwerkkonfiguration erforderlich ist.
    • Level (Stufe): Wählen Sie die Mindestschweregradstufe für die Weiterleitung aus (z. B. „Information“, „Warnung“, „Fehler“).
  8. Klicken Sie auf Add (Hinzufügen) oder Save (Speichern), um die Konfiguration anzuwenden.

  9. Klicken Sie oben auf der Seite auf Save Configuration (Konfiguration speichern), um die Änderungen zu übernehmen.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
clientip principal.ip Die IP-Adresse des Clients, die aus dem Feld clientip im Roh-Logeintrag extrahiert wurde.
column1 principal.ip Die IP-Adresse, die aus column1 im Rohlog extrahiert wurde.
column1 principal.asset.ip Die IP-Adresse, die aus column1 im Rohlog extrahiert wurde.
column3 network.received_bytes Die Anzahl der empfangenen Bytes, konvertiert in eine vorzeichenlose Ganzzahl.
column4 network.http.method Die HTTP-Methode, die aus column4 im Rohlog extrahiert wurde.
column7 target.ip Die Ziel-IP-Adresse, die aus column7 im Rohlog extrahiert wurde.
dport target.port Der Zielport, konvertiert in eine Ganzzahl.
dst target.ip Die Ziel-IP-Adresse.
dst target.asset.ip Die Ziel-IP-Adresse.
hostname principal.hostname Der Hostname, der aus dem Feld hostname im Roh-Logeintrag extrahiert wurde.
hostname principal.asset.hostname Der Hostname, der aus dem Feld hostname im Roh-Logeintrag extrahiert wurde.
http_method network.http.method Die HTTP-Methode, die aus dem Roh-Logeintrag extrahiert wurde.
id principal.application Die Anwendungs-ID aus dem Rohlog.
mac principal.mac Die MAC-Adresse, die aus dem Feld mac im Rohlog extrahiert wurde.
msg metadata.product_event_type Das Nachrichtenfeld aus dem Rohlog, das als Produktereignistyp verwendet wird. Wird auch für security_result.description verwendet, nachdem umgekehrte Schrägstriche und Anführungszeichen entfernt wurden.
product_name metadata.product_name Der Produktname, der aus dem Roh-Logeintrag extrahiert wurde.
prxy_ip intermediary.ip Die Proxy-IP-Adresse.
prxy_port intermediary.port Der Proxy-Port, konvertiert in eine Ganzzahl.
response_code network.http.response_code Der HTTP-Antwortcode, konvertiert in eine Ganzzahl.
security_result.action security_result.action Wird von der Parserlogik basierend auf dem Wert von column2 bestimmt. „BLOCK“, wenn column2 „TCP_MISS“ enthält, andernfalls „UNKNOWN_ACTION“.
security_result.description security_result.description Das Nachrichtenfeld aus dem Rohlog, nachdem umgekehrte Schrägstriche und Anführungszeichen entfernt wurden.
sport principal.port Der Quellport, konvertiert in eine Ganzzahl.
src principal.ip Die Quell-IP-Adresse.
src principal.asset.ip Die Quell-IP-Adresse.
target_hostname target.hostname Der Zielhostname, der aus dem Rohlog extrahiert wurde.
timestamp metadata.event_timestamp Der Zeitstempel, der aus dem Roh-Logeintrag extrahiert und in ein Zeitstempelobjekt geparst wurde.
uri target.url Ein Teil der Ziel-URL. Wird mit uri_param kombiniert, um die vollständige URL zu bilden.
uri_param target.url Ein Teil der Ziel-URL. Wird mit uri kombiniert, um die vollständige URL zu bilden.
user target.user.userid Der Nutzername, der aus dem Roh-Logeintrag extrahiert wurde.
user_agent_string network.http.user_agent Der User-Agent-String, der aus dem Rohlog extrahiert wurde.
vpn target.user.group_identifiers Der VPN-Name, der aus dem Rohlog extrahiert wurde.
metadata.event_type metadata.event_type Wird von der Parserlogik basierend auf einer Kombination von Feldern wie has_principal, has_target, has_http_value und user bestimmt. Kann „NETWORK_HTTP“, „NETWORK_CONNECTION“, „STATUS_UPDATE“, „USER_UNCATEGORIZED“ oder „GENERIC_EVENT“ sein.
network.ip_protocol network.ip_protocol Wird auf „TCP“ gesetzt, wenn die Nachricht „TCP“ enthält.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten