Kami telah mengatur ulang struktur navigasi agar selaras langsung dengan alur kerja operasional Anda. Lihat catatan rilis Google SecOps untuk mengetahui informasi selengkapnya.

Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

Mengumpulkan log Aruba Central

Didukung di:

Google SecOps SIEM

Dokumen ini menunjukkan cara menyerap log HPE Aruba Networking Central ke Google SecOps menggunakan agen Bindplane. Parser mengekstrak kolom dari log yang diformat syslog Aruba Central. Log ini menggunakan grok dan/atau kv untuk mengurai pesan log, lalu memetakan nilai ini ke Model Data Terpadu (UDM). Tindakan ini menetapkan nilai metadata default untuk sumber dan jenis peristiwa.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
Host Windows 2016 atau yang lebih baru atau Linux dengan systemd
Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
Akses istimewa ke konsol Pengelolaan Aruba Central

Mendapatkan file autentikasi penyerapan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Agen Pengumpulan.
Download File Autentikasi Penyerapan.
Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Profil.
Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

Buka Command Prompt atau PowerShell sebagai administrator.

Jalankan perintah berikut:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Penginstalan Linux

Buka terminal dengan hak istimewa root atau sudo.

Jalankan perintah berikut:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan ini.

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

Akses File Konfigurasi:
- Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
- Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

Edit file config.yaml sebagai berikut:

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ARUBA_CENTRAL'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
Ganti <customer_id> dengan ID Pelanggan yang sebenarnya.
Ganti /path/to/ingestion-authentication-file.json dengan jalur file tempat file autentikasi disimpan di Langkah 1.

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:
```
sudo systemctl restart observiq-otel-collector
```
Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

Mengonfigurasi Syslog di Aruba Central

Login ke UI web Aruba Central.
Dari dasbor, temukan grup yang berisi perangkat yang ingin Anda konfigurasi, atau tetapkan filter ke Semua Perangkat untuk setelan global.
Klik perangkat atau grup yang ingin Anda konfigurasi.
Buka Konfigurasi > Sistem > Pencatatan Aktivitas.
Cari bagian Syslog Servers, lalu klik tombol +.
- Nama Server: Masukkan nama yang unik dan deskriptif.
- IP server: Masukkan alamat IP agen Bindplane.
- Port Server: Masukkan nomor port agen Bindplane.
- Logging Format: Pilih Syslog.
- Kategori dan Fasilitas: Pilih kategori dan fasilitas yang ingin Anda kirimi log.
- Tingkat Logging: Pilih Informasi.
Klik Save Settings.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
`additional_amm`	`additional.fields`	Digabung
`additional_nid`	`additional.fields`	Digabung
`additional_setting_id`	`additional.fields`	Digabung
`additional_webhook`	`additional.fields`	Digabung
`dev_type_label`	`additional.fields`	Digabung
`operation_label`	`additional.fields`	Digabung
`datetime`	`metadata.event_timestamp`	Diurai sebagai `RFC 3339`
`timestamp`	`metadata.event_timestamp`	Diurai sebagai `RFC 3339`
`event_type`	`metadata.event_type`	Dipetakan secara langsung
`alert_type`	`metadata.product_event_type`	Dipetakan secara langsung
`event_data`	`metadata.product_event_type`	Dipetakan secara langsung
`id`	`metadata.product_log_id`	Dipetakan secara langsung
`details.__base_url`	`metadata.url_back_to_product`	Dipetakan secara langsung
`network_ssid`	`network.session_id`	Dipetakan secara langsung
`app`	`principal.application`	Dipetakan secara langsung
`cluster_hostname`	`principal.asset.hostname`	Dipetakan secara langsung
`host`	`principal.asset.hostname`	Dipetakan secara langsung
`princ_mac`	`principal.asset.mac`	Digabung
`details.group_name`	`principal.group.group_display_name`	Dipetakan secara langsung
`details.group`	`principal.group.product_object_id`	Dipetakan secara langsung
`cluster_hostname`	`principal.hostname`	Dipetakan secara langsung
`host`	`principal.hostname`	Dipetakan secara langsung
`princ_mac`	`principal.mac`	Digabung
`pid`	`principal.process.pid`	Dipetakan secara langsung
`cid`	`principal.user.product_object_id`	Dipetakan secara langsung
`details.user`	`principal.user.userid`	Dipetakan secara langsung
`device_id`	`principal.user.userid`	Dipetakan secara langsung
`labels`	`security_result.about.labels`	Digabung
`description`	`security_result.description`	Dipetakan secara langsung
`state_label`	`security_result.detection_fields`	Digabung
`severity`	`security_result.severity`	Nilai yang dipetakan (total 5, misalnya `"LOG_INFO", "LOG_DEBUG"` → `LOW`, `LOG_WARN` → `MEDIUM`, `LOG_...
`details.config_change`	`security_result.summary`	Dipetakan secara langsung
`target_mac`	`target.asset.mac`	Digabung
`target_mac`	`target.mac`	Digabung
`alert_type`	`target.resource.type`	Dipetakan: `DEVICE_CONFIG_CHANGE_DETECTED` → `DEVICE`
`target_userid`	`target.user.userid`	Dipetakan secara langsung
`userid`	`target.user.userid`	Dipetakan secara langsung
T/A	`metadata.product_name`	Konstanta: `ARUBA_CENTRAL`
T/A	`metadata.vendor_name`	Konstanta: `ARUBA CENTRAL`
T/A	`security_result.severity`	Konstanta: `LOW`
T/A	`target.resource.type`	Konstanta: `DEVICE`
`nid" , "setting_id" , "details.dev_type" , "webhook" and "operation`	`additional.fields`	Dipetakan dari log perubahan
`details.labels`	`security_result.about.labels`	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.