收集 Array Networks SSL VPN 日志

支持的平台：

本文档介绍了如何使用 Bindplane 将 Array Networks SSL VPN 日志注入到 Google Security Operations。解析器从 syslog 消息中提取字段，并将它们映射到 UDM。它使用 Grok 模式来识别各种日志格式，包括 HTTP 请求、SSL 消息和通用状态更新，然后有条件地解析消息中的键值对和 CSV 数据，以填充 UDM 字段，例如主账号、目标、网络信息和安全结果。解析器还会根据提取的数据处理不同的事件类型，将其归类为网络事件、用户事件或通用事件。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例
  • 搭载 systemd 的 Windows 2016 或更高版本或 Linux 主机
  • 如果通过代理运行，请确保防火墙端口已根据 Bindplane 代理要求打开
  • 对 Array Networks SSL VPN 管理控制台或设备（AG 系列或 vxAG）的特权访问权限

获取 Google SecOps 注入身份验证文件

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。
  3. 下载注入身份验证文件。将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 个人资料。
  3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安装资源

  • 如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

  1. 访问配置文件：

    1. 找到 config.yaml 文件。通常，它位于 Linux 上的 /etc/bindplane-agent/ 目录中或 Windows 上的安装目录中。
    2. 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

  2. 按如下方式修改 config.yaml 文件：

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ARRAYNETWORKS_VPN'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • 根据基础架构的需要替换端口和 IP 地址。
    • 将 <CUSTOMER_ID> 替换为实际的客户 ID。
    • 将 /path/to/ingestion-authentication-file.json 更新为获取 Google SecOps 注入身份验证文件部分中保存身份验证文件的路径。

重启 Bindplane 代理以应用更改

  • 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

    sudo systemctl restart bindplane-agent

  • 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

    net stop BindPlaneAgent && net start BindPlaneAgent

在 Array Networks SSL VPN 上配置 Syslog 转发

  1. 登录 Array Networks SSL VPN 管理控制台 Web 界面。
  2. 在左侧导航菜单中，点击管理员工具。
  3. 点击监控。
  4. 点击日志记录标签页。
  5. 点击 Syslog 服务器子标签页。
  6. 在 REMOTE SYSLOG SERVER CONFIGURATION 部分，点击 Add Server Entry。
  7. 提供以下配置详细信息：
    • 主机 IP：输入 Bindplane 代理 IP 地址。
    • 主机端口：输入 Bindplane 代理端口号（例如 514）。
    • 协议：根据您的 Bindplane 代理配置，选择 UDP 或 TCP。
    • Source Port：保留默认值，或根据网络配置的需要指定。
    • 级别：选择信息。
  8. 点击保存以应用配置。
  9. 点击页面顶部的 Save Configuration（保存配置）以保存更改。

UDM 映射表

日志字段 UDM 映射 逻辑
clientip principal.ip 从原始日志消息的 clientip 字段中提取的客户端 IP 地址。
column1 principal.ip 从原始日志中的 column1 提取的 IP 地址。
column1 principal.asset.ip 从原始日志中的 column1 提取的 IP 地址。
column3 network.received_bytes 接收到的字节数，转换为无符号整数。
column4 network.http.method 从原始日志中的 column4 提取的 HTTP 方法。
column7 target.ip 从原始日志中的 column7 提取的目标 IP 地址。
dport target.port 目标端口，已转换为整数。
dst target.ip 目标 IP 地址。
dst target.asset.ip 目标 IP 地址。
hostname principal.hostname 从原始日志消息的 hostname 字段中提取的主机名。
hostname principal.asset.hostname 从原始日志消息的 hostname 字段中提取的主机名。
http_method network.http.method 从原始日志消息中提取的 HTTP 方法。
id principal.application 原始日志中的应用 ID。
mac principal.mac 从原始日志消息的 mac 字段中提取的 MAC 地址。
msg metadata.product_event_type 原始日志中的消息字段，用作产品事件类型。也用于移除反斜杠和引号后的 security_result.description。
product_name metadata.product_name 从原始日志消息中提取的产品名称。
prxy_ip intermediary.ip 代理 IP 地址。
prxy_port intermediary.port 代理端口，已转换为整数。
response_code network.http.response_code HTTP 响应代码（已转换为整数）。
security_result.action security_result.action 由解析器逻辑根据 column2 的值确定。如果 column2 包含“TCP_MISS”，则为“BLOCK”，否则为“UNKNOWN_ACTION”。
security_result.description security_result.description 原始日志中的消息字段，在移除反斜杠和引号后。
sport principal.port 来源端口，已转换为整数。
src principal.ip 来源 IP 地址。
src principal.asset.ip 来源 IP 地址。
target_hostname target.hostname 从原始日志消息中提取的目标主机名。
timestamp metadata.event_timestamp 从原始日志消息中提取并解析为时间戳对象的时间戳。
uri target.url 目标网址的一部分。与 uri_param 结合形成完整的网址。
uri_param target.url 目标网址的一部分。与 uri 结合形成完整的网址。
user target.user.userid 从原始日志消息中提取的用户名。
user_agent_string network.http.user_agent 从原始日志消息中提取的用户代理字符串。
vpn target.user.group_identifiers 从原始日志消息中提取的 VPN 名称。
metadata.event_type metadata.event_type 由解析器逻辑根据 has_principal、has_target、has_http_value 和 user 等字段的组合来确定。可以是“NETWORK_HTTP”“NETWORK_CONNECTION”“STATUS_UPDATE”“USER_UNCATEGORIZED”或“GENERIC_EVENT”。
network.ip_protocol network.ip_protocol 如果消息包含“TCP”，则设置为“TCP”。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。