Recopila registros de VPN SSL de Array Networks

Versión del analizador: 1.0

Se admite en los siguientes sistemas operativos:

En este documento, se explica cómo transferir registros de VPN SSL de Array Networks a Google Security Operations con el agente de Bindplane.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Un host de Windows 2016 o posterior, o Linux con systemd
  • Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
  • Acceso con privilegios a la consola o el dispositivo de administración de la VPN SSL de Array Networks (serie AG o vxAG)

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recopilación.
  3. Descarga el archivo de autenticación de transferencia.
  4. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el comando siguiente:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el comando siguiente:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta esta guía de instalación.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:

    • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Notepad).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ARRAYNETWORKS_VPN'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.
    • Reemplaza <CUSTOMER_ID> por el ID de cliente real.
    • Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso al archivo en la que se guardó el archivo de autenticación en el paso 1.
    • El extremo malachiteingestion-pa.googleapis.com es para la región de EE.UU. Si tu instancia de Google SecOps se encuentra en una región diferente, usa el extremo de transferencia apropiado para la región que se proporciona en la documentación del arrendatario.

Reinicia el agente de Bindplane para aplicar los cambios

  1. Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart observiq-otel-collector

  2. Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

    net stop observiq-otel-collector && net start observiq-otel-collector

Configura el reenvío de Syslog en la VPN SSL de Array Networks

  1. Accede a la consola de administración de la VPN SSL de Array Networks (IU web).
  2. En el menú de navegación de la izquierda, haz clic en ADMIN TOOLS.
  3. Haz clic en Monitoring.
  4. Haz clic en la pestaña Logging.
  5. Haz clic en la subpestaña Servidores Syslog.
  6. En la sección REMOTE SYSLOG SERVER CONFIGURATION, haz clic en Add Server Entry.
  7. Proporciona los siguientes detalles de configuración:
    • IP del host: Ingresa la dirección IP del agente de Bindplane.
    • Puerto del host: Ingresa el número de puerto del agente de Bindplane (por ejemplo, 514).
    • Protocol: Selecciona UDP o TCP, según la configuración de tu agente de Bindplane.
    • Puerto de origen: Deja el valor predeterminado o especifícalo si lo requiere la configuración de tu red.
    • Nivel: Selecciona el nivel de gravedad mínimo para reenviar (por ejemplo, Informativo, Advertencia, Error).
  8. Haz clic en Agregar o Guardar para aplicar la configuración.

  9. Haz clic en Save Configuration en la parte superior de la página para conservar los cambios.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
clientip principal.ip Es la dirección IP del cliente que se extrae del campo clientip en el mensaje de registro sin procesar.
column1 principal.ip Dirección IP extraída de column1 en el registro sin procesar.
column1 principal.asset.ip Dirección IP extraída de column1 en el registro sin procesar.
column3 network.received_bytes Cantidad de bytes recibidos, convertida en un número entero sin signo.
column4 network.http.method Es el método HTTP extraído de column4 en el registro sin procesar.
column7 target.ip Es la dirección IP de destino que se extrajo de column7 en el registro sin procesar.
dport target.port Es el puerto de destino, convertido en un número entero.
dst target.ip Dirección IP de destino.
dst target.asset.ip Dirección IP de destino.
hostname principal.hostname Es el nombre de host que se extrae del campo hostname en el mensaje de registro sin procesar.
hostname principal.asset.hostname Es el nombre de host que se extrae del campo hostname en el mensaje de registro sin procesar.
http_method network.http.method Es el método HTTP que se extrajo del mensaje de registro sin procesar.
id principal.application Es el ID de aplicación que se extrajo del registro sin procesar.
mac principal.mac Es la dirección MAC que se extrae del campo mac en el mensaje de registro sin procesar.
msg metadata.product_event_type Es el campo de mensaje del registro sin procesar, que se usa como el tipo de evento del producto. También se usa para security_result.description después de quitar las barras invertidas y las comillas.
product_name metadata.product_name Es el nombre del producto que se extrajo del mensaje de registro sin procesar.
prxy_ip intermediary.ip Dirección IP del proxy.
prxy_port intermediary.port Puerto de proxy, convertido en un número entero.
response_code network.http.response_code Es el código de respuesta HTTP, convertido en un número entero.
security_result.action security_result.action La lógica del analizador determina este valor según el valor de column2. Se establece en "BLOCK" si column2 contiene "TCP_MISS"; de lo contrario, se establece en "UNKNOWN_ACTION".
security_result.description security_result.description Campo de mensaje del registro sin procesar, después de quitar las barras inversas y las comillas.
sport principal.port Es el puerto de origen, convertido en un número entero.
src principal.ip Dirección IP de origen.
src principal.asset.ip Dirección IP de origen.
target_hostname target.hostname Es el nombre de host de destino que se extrajo del mensaje de registro sin procesar.
timestamp metadata.event_timestamp Es la marca de tiempo que se extrae del mensaje de registro sin procesar y se analiza en un objeto de marca de tiempo.
uri target.url Es parte de la URL de destino. Se combina con uri_param para formar la URL completa.
uri_param target.url Es parte de la URL de destino. Se combina con uri para formar la URL completa.
user target.user.userid Es el nombre de usuario que se extrae del mensaje de registro sin procesar.
user_agent_string network.http.user_agent Es la cadena de usuario-agente extraída del mensaje de registro sin procesar.
vpn target.user.group_identifiers Es el nombre de la VPN que se extrajo del mensaje de registro sin procesar.
metadata.event_type metadata.event_type Se determina según la lógica del analizador en función de una combinación de campos como has_principal, has_target, has_http_value y user. Puede ser "NETWORK_HTTP", "NETWORK_CONNECTION", "STATUS_UPDATE", "USER_UNCATEGORIZED" o "GENERIC_EVENT".
network.ip_protocol network.ip_protocol Se establece en "TCP" si el mensaje contiene "TCP".

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.