Nous avons réorganisé la structure de navigation de notre documentation pour l'aligner directement sur vos workflows opérationnels. Pour en savoir plus, consultez les notes de version et la vidéo de présentation.

Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux VPN SSL Array Networks

Version de l'analyseur : 1.0

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer les journaux VPN SSL Array Networks dans Google Security Operations à l'aide de l'agent Bindplane.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Une instance Google SecOps
Un hôte Windows 2016 ou version ultérieure, ou Linux avec systemd
Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
Un accès privilégié à la console de gestion ou à l'appliance VPN SSL Array Networks (série AG ou vxAG)

Obtenir le fichier d'authentification d'ingestion Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à SIEM Settings > Collection Agents (Paramètres SIEM > Agents de collecte).
Téléchargez le fichier d'authentification d'ingestion.
Enregistrez le fichier de manière sécurisée sur le système où Bindplane sera installé.

Obtenir l'ID client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM > Profil.
Copiez l'ID client dans la section Organization Details (Informations sur l'organisation) et enregistrez-le.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation sous Windows

Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

Exécutez la commande suivante :

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installation sous Linux

Ouvrez un terminal avec des droits root ou sudo.

Exécutez la commande suivante :

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Ressources d'installation supplémentaires

Pour plus d'options d'installation, consultez ce guide d'installation.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

Accédez au fichier de configuration :
- Recherchez le fichier config.yaml. Il se trouve généralement dans le répertoire /etc/bindplane-agent/ sous Linux ou dans le répertoire d'installation sous Windows.
- Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou Bloc-notes).

Modifiez le fichier config.yaml comme suit :

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ARRAYNETWORKS_VPN'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
Remplacez <CUSTOMER_ID> par l'ID client réel.
Mettez à jour /path/to/ingestion-authentication-file.json avec le chemin d'accès au fichier où le fichier d'authentification a été enregistré à l'étape 1.
Le point de terminaison malachiteingestion-pa.googleapis.com est destiné à la région États-Unis. Si votre instance Google SecOps se trouve dans une autre région, utilisez le point de terminaison d'ingestion approprié pour la région fourni dans la documentation de votre locataire.

Redémarrer l'agent Bindplane pour appliquer les modifications

Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :
```
sudo systemctl restart observiq-otel-collector
```
Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

Configurer le transfert Syslog sur le VPN SSL Array Networks

Connectez-vous à la console de gestion VPN SSL Array Networks (interface utilisateur Web).
Dans le menu de navigation de gauche, cliquez sur ADMIN TOOLS (Outils d'administration).
Cliquez sur Monitoring (Surveillance).
Cliquez sur l'onglet Logging (Journalisation).
Cliquez sur le sous-onglet Syslog Servers (Serveurs Syslog).
Dans la section REMOTE SYSLOG SERVER CONFIGURATION (Configuration du serveur Syslog distant), cliquez sur Add Server Entry (Ajouter une entrée de serveur).
Fournissez les informations de configuration suivantes :
- Host IP (Adresse IP de l'hôte) : saisissez l'adresse IP de l'agent Bindplane.
- Host Port (Port de l'hôte) : saisissez le numéro de port de l'agent Bindplane (par exemple, 514).
- Protocol (Protocole) : sélectionnez UDP ou TCP, selon la configuration de votre agent Bindplane.
- Source Port (Port source) : laissez la valeur par défaut ou spécifiez-la si votre configuration réseau l'exige.
- Level (Niveau) : sélectionnez le niveau de gravité minimal à transférer (par exemple, "Informational" (Information), "Warning" (Avertissement) ou "Error" (Erreur)).
Cliquez sur Add (Ajouter) ou Save (Enregistrer) pour appliquer la configuration.
Cliquez sur Save Configuration (Enregistrer la configuration) en haut de la page pour conserver les modifications.

Remarque : Les chemins d'accès à l'interface utilisateur indiqués ci-dessus sont basés sur le micrologiciel des séries AG et vxAG d'Array Networks. Si votre version de micrologiciel est différente, les libellés exacts des menus peuvent varier légèrement. Consultez le guide d'administration d'Array Networks pour obtenir des instructions spécifiques au micrologiciel.

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
`clientip`	`principal.ip`	Adresse IP du client extraite du champ `clientip` dans le message de journal brut.
`column1`	`principal.ip`	Adresse IP extraite de `column1` dans le journal brut.
`column1`	`principal.asset.ip`	Adresse IP extraite de `column1` dans le journal brut.
`column3`	`network.received_bytes`	Nombre d'octets reçus, converti en entier non signé.
`column4`	`network.http.method`	Méthode HTTP extraite de `column4` dans le journal brut.
`column7`	`target.ip`	Adresse IP cible extraite de `column7` dans le journal brut.
`dport`	`target.port`	Port de destination, converti en entier.
`dst`	`target.ip`	Adresse IP de destination.
`dst`	`target.asset.ip`	Adresse IP de destination.
`hostname`	`principal.hostname`	Nom d'hôte extrait du champ `hostname` dans le message de journal brut.
`hostname`	`principal.asset.hostname`	Nom d'hôte extrait du champ `hostname` dans le message de journal brut.
`http_method`	`network.http.method`	Méthode HTTP extraite du message de journal brut.
`id`	`principal.application`	ID application du journal brut.
`mac`	`principal.mac`	Adresse MAC extraite du champ `mac` dans le message de journal brut.
`msg`	`metadata.product_event_type`	Champ de message du journal brut, utilisé comme type d'événement de produit. Également utilisé pour `security_result.description` après suppression des barres obliques inverses et des guillemets.
`product_name`	`metadata.product_name`	Nom du produit extrait du message de journal brut.
`prxy_ip`	`intermediary.ip`	Adresse IP du proxy.
`prxy_port`	`intermediary.port`	Port du proxy, converti en entier.
`response_code`	`network.http.response_code`	Code de réponse HTTP, converti en entier.
`security_result.action`	`security_result.action`	Déterminé par la logique de l'analyseur en fonction de la valeur de `column2`. "BLOCK" si `column2` contient "TCP_MISS", "UNKNOWN_ACTION" sinon.
`security_result.description`	`security_result.description`	Champ de message du journal brut, après suppression des barres obliques inverses et des guillemets.
`sport`	`principal.port`	Port source, converti en entier.
`src`	`principal.ip`	Adresse IP source.
`src`	`principal.asset.ip`	Adresse IP source.
`target_hostname`	`target.hostname`	Nom d'hôte cible extrait du message de journal brut.
`timestamp`	`metadata.event_timestamp`	Horodatage extrait du message de journal brut et analysé dans un objet d'horodatage.
`uri`	`target.url`	Partie de l'URL cible. Combiné avec `uri_param` pour former l'URL complète.
`uri_param`	`target.url`	Partie de l'URL cible. Combiné avec `uri` pour former l'URL complète.
`user`	`target.user.userid`	Nom d'utilisateur extrait du message de journal brut.
`user_agent_string`	`network.http.user_agent`	Chaîne de l'agent utilisateur extraite du message de journal brut.
`vpn`	`target.user.group_identifiers`	Nom du VPN extrait du message de journal brut.
`metadata.event_type`	`metadata.event_type`	Déterminé par la logique de l'analyseur en fonction d'une combinaison de champs tels que `has_principal`, `has_target`, `has_http_value` et `user`. Valeurs possibles : "NETWORK_HTTP", "NETWORK_CONNECTION", "STATUS_UPDATE", "USER_UNCATEGORIZED" ou "GENERIC_EVENT".
`network.ip_protocol`	`network.ip_protocol`	Défini sur "TCP" si le message contient "TCP".

Journal des modifications

Consulter le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses auprès des membres de la communauté et des professionnels Google SecOps.