收集 Array Networks SSL VPN 記錄

支援的國家/地區：

本文說明如何使用 Bindplane，將 Array Networks SSL VPN 記錄檔擷取至 Google Security Operations。剖析器會從系統記錄檔訊息中擷取欄位，並將這些欄位對應至 UDM。它會使用 grok 模式識別各種記錄格式，包括 HTTP 要求、SSL 訊息和一般狀態更新，然後有條件地剖析訊息中的鍵值組和 CSV 資料，以填入主體、目標、網路資訊和安全性結果等 UDM 欄位。剖析器也會根據擷取的資料處理不同事件類型，並將其歸類為網路事件、使用者事件或一般事件。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • 搭載 systemd 的 Windows 2016 以上版本或 Linux 主機
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
  • 有權存取 Array Networks SSL VPN 管理控制台或設備 (AG 系列或 vxAG)

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。
  3. 複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

  1. 開啟具備根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

  1. 存取設定檔：

    1. 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄，或 Windows 的安裝目錄。
    2. 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

  2. 按照下列方式編輯 config.yaml 檔案：

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ARRAYNETWORKS_VPN'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • 視基礎架構需求，替換通訊埠和 IP 位址。
    • 將 <CUSTOMER_ID> 替換為實際的客戶 ID。
    • 將 /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」部分中驗證檔案的儲存路徑。

重新啟動 Bindplane 代理程式，以套用變更

  • 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

    sudo systemctl restart bindplane-agent

  • 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，或輸入下列指令：

    net stop BindPlaneAgent && net start BindPlaneAgent

在 Array Networks SSL VPN 上設定 Syslog 轉送

  1. 登入 Array Networks SSL VPN 管理控制台網頁版使用者介面。
  2. 在左側導覽選單中，按一下「管理工具」。
  3. 按一下「監控」。
  4. 按一下「記錄」分頁標籤。
  5. 按一下「Syslog Servers」子分頁標籤。
  6. 在「REMOTE SYSLOG SERVER CONFIGURATION」部分，按一下「Add Server Entry」。
  7. 提供下列設定詳細資料：
    • 主機 IP：輸入 Bindplane 代理程式 IP 位址。
    • 「主機通訊埠」：輸入 Bindplane 代理程式通訊埠編號 (例如 514)。
    • 通訊協定：根據 Bindplane 代理程式設定，選取「UDP」或「TCP」。
    • 來源埠：保留預設值，或視網路設定需要指定。
    • 等級：選取「資訊型」。
  8. 按一下「儲存」即可套用設定。
  9. 按一下頁面頂端的「儲存設定」，保留變更。

UDM 對應表

記錄欄位 UDM 對應 邏輯
clientip principal.ip 從原始記錄訊息的 clientip 欄位擷取的用戶端 IP 位址。
column1 principal.ip 從原始記錄中的 column1 擷取的 IP 位址。
column1 principal.asset.ip 從原始記錄中的 column1 擷取的 IP 位址。
column3 network.received_bytes 收到的位元組數，已轉換為不帶正負號的整數。
column4 network.http.method 從原始記錄中的 column4 擷取的 HTTP 方法。
column7 target.ip 從原始記錄中的 column7 擷取的目標 IP 位址。
dport target.port 目的地通訊埠，已轉換為整數。
dst target.ip 目的地 IP 位址。
dst target.asset.ip 目的地 IP 位址。
hostname principal.hostname 從原始記錄訊息的 hostname 欄位擷取的主機名稱。
hostname principal.asset.hostname 從原始記錄訊息的 hostname 欄位擷取的主機名稱。
http_method network.http.method 從原始記錄訊息擷取的 HTTP 方法。
id principal.application 原始記錄中的應用程式 ID。
mac principal.mac 從原始記錄訊息的 mac 欄位擷取的 MAC 位址。
msg metadata.product_event_type 原始記錄中的訊息欄位，用做產品事件類型。移除反斜線和引號後，也可用於 security_result.description。
product_name metadata.product_name 從原始記錄訊息中擷取的產品名稱。
prxy_ip intermediary.ip Proxy IP 位址。
prxy_port intermediary.port Proxy 通訊埠，已轉換為整數。
response_code network.http.response_code 轉換為整數的 HTTP 回應碼。
security_result.action security_result.action 由剖析器邏輯根據 column2 的值決定。如果 column2 包含「TCP_MISS」，則為「BLOCK」，否則為「UNKNOWN_ACTION」。
security_result.description security_result.description 原始記錄中的訊息欄位，移除反斜線和引號後。
sport principal.port 來源通訊埠，已轉換為整數。
src principal.ip 來源 IP 位址。
src principal.asset.ip 來源 IP 位址。
target_hostname target.hostname 從原始記錄訊息中擷取的目標主機名稱。
timestamp metadata.event_timestamp 從原始記錄訊息擷取並剖析為時間戳記物件的時間戳記。
uri target.url 目標網址的一部分。與 uri_param 結合，形成完整網址。
uri_param target.url 目標網址的一部分。與 uri 結合，形成完整網址。
user target.user.userid 從原始記錄訊息中擷取的使用者名稱。
user_agent_string network.http.user_agent 從原始記錄訊息擷取的使用者代理程式字串。
vpn target.user.group_identifiers 從原始記錄訊息擷取的 VPN 名稱。
metadata.event_type metadata.event_type 由剖析器邏輯根據 has_principal、has_target、has_http_value 和 user 等欄位的組合判斷。可以是「NETWORK_HTTP」、「NETWORK_CONNECTION」、「STATUS_UPDATE」、「USER_UNCATEGORIZED」或「GENERIC_EVENT」。
network.ip_protocol network.ip_protocol 如果訊息包含「TCP」，請設為「TCP」。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。