Collecter les journaux Aruba Central

Compatible avec :

Ce document explique comment ingérer des journaux HPE Aruba Networking Central dans Google SecOps à l'aide de l'agent Bindplane. L'analyseur extrait les champs des journaux au format syslog Aruba Central. Il utilise grok et/ou kv pour analyser le message de journal, puis mappe ces valeurs au modèle de données unifié (UDM). Il définit les valeurs de métadonnées par défaut pour la source et le type d'événement.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Un hôte Windows 2016 ou version ultérieure, ou Linux avec systemd
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès privilégié à la console Aruba Central Management

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Profil.
  3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de fenêtres

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installation de Linux

  1. Ouvrez un terminal avec les droits root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Ressources d'installation supplémentaires

Pour plus d'options d'installation, consultez ce guide d'installation.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

  1. Accédez au fichier de configuration :

    • Trouvez le fichier config.yaml. Il se trouve généralement dans le répertoire /etc/bindplane-agent/ sous Linux ou dans le répertoire d'installation sous Windows.
    • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou le Bloc-notes).

  2. Modifiez le fichier config.yaml comme suit :

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ARUBA_CENTRAL'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
    • Remplacez <customer_id> par le numéro client réel.
    • Remplacez /path/to/ingestion-authentication-file.json par le chemin d'accès au fichier d'authentification que vous avez enregistré à l'étape 1.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  1. Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

  2. Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

    net stop observiq-otel-collector && net start observiq-otel-collector

Configurer Syslog sur Aruba Central

  1. Connectez-vous à l'interface utilisateur Web Aruba Central.
  2. Dans le tableau de bord, recherchez un groupe contenant les appareils que vous souhaitez configurer, ou définissez le filtre sur Tous les appareils pour les paramètres généraux.
  3. Cliquez sur l'appareil ou le groupe que vous souhaitez configurer.
  4. Accédez à Configuration> Système> Journalisation.
  5. Recherchez la section Syslog Servers (Serveurs Syslog), puis cliquez sur le bouton +.
    • Nom du serveur : saisissez un nom unique et descriptif.
    • Adresse IP du serveur : saisissez l'adresse IP de l'agent Bindplane.
    • Port du serveur : saisissez le numéro de port de l'agent Bindplane.
    • Format de journalisation : sélectionnez Syslog.
    • Catégorie et établissement : sélectionnez les catégories et les établissements pour lesquels vous souhaitez envoyer des journaux.
    • Niveau de journalisation : sélectionnez Informationnel.
  6. Cliquez sur Save Settings (Enregistrer les paramètres).

Table de mappage UDM

Champ de journal Mappage UDM Logique
additional_amm additional.fields Fusionné
additional_nid additional.fields Fusionné
additional_setting_id additional.fields Fusionné
additional_webhook additional.fields Fusionné
dev_type_label additional.fields Fusionné
operation_label additional.fields Fusionné
datetime metadata.event_timestamp Analysé en tant que RFC 3339
timestamp metadata.event_timestamp Analysé en tant que RFC 3339
event_type metadata.event_type Mappé directement
alert_type metadata.product_event_type Mappé directement
event_data metadata.product_event_type Mappé directement
id metadata.product_log_id Mappé directement
details.__base_url metadata.url_back_to_product Mappé directement
network_ssid network.session_id Mappé directement
app principal.application Mappé directement
cluster_hostname principal.asset.hostname Mappé directement
host principal.asset.hostname Mappé directement
princ_mac principal.asset.mac Fusionné
details.group_name principal.group.group_display_name Mappé directement
details.group principal.group.product_object_id Mappé directement
cluster_hostname principal.hostname Mappé directement
host principal.hostname Mappé directement
princ_mac principal.mac Fusionné
pid principal.process.pid Mappé directement
cid principal.user.product_object_id Mappé directement
details.user principal.user.userid Mappé directement
device_id principal.user.userid Mappé directement
labels security_result.about.labels Fusionné
description security_result.description Mappé directement
state_label security_result.detection_fields Fusionné
severity security_result.severity Valeurs mappées (5 au total, par exemple "LOG_INFO", "LOG_DEBUG" → LOW, LOG_WARN → MEDIUM, `LOG_...
details.config_change security_result.summary Mappé directement
target_mac target.asset.mac Fusionné
target_mac target.mac Fusionné
alert_type target.resource.type Mappé : DEVICE_CONFIG_CHANGE_DETECTED → DEVICE
target_userid target.user.userid Mappé directement
userid target.user.userid Mappé directement
N/A metadata.product_name Constante : ARUBA_CENTRAL
N/A metadata.vendor_name Constante : ARUBA CENTRAL
N/A security_result.severity Constante : LOW
N/A target.resource.type Constante : DEVICE
nid" , "setting_id" , "details.dev_type" , "webhook" and "operation additional.fields Mappé à partir du journal des modifications
details.labels security_result.about.labels Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.