Coletar registros do Aruba Central

Compatível com:

Este documento mostra como ingerir registros do HPE Aruba Networking Central no Google SecOps usando o agente do Bindplane. O analisador extrai campos de registros formatados do Syslog do Aruba Central. Ele usa grok e/ou kv para analisar a mensagem de registro e, em seguida, mapeia esses valores para o Modelo de dados unificado (UDM, na sigla em inglês). Ele define valores de metadados padrão para a origem e o tipo do evento.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Uma instância do Google SecOps
  • Um host do Windows 2016 ou mais recente ou do Linux com systemd
  • Se estiver executando em um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane
  • Acesso privilegiado ao console de gerenciamento do Aruba Central

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Faça o download do arquivo de autenticação de ingestão.
  4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.
  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instale o agente do Bindplane no sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o Prompt de comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

  1. Abra um terminal com privilégios de raiz ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalação adicionais

Para mais opções de instalação, consulte este guia de instalação.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

  1. Acesse o arquivo de configuração:

    • Localize o arquivo config.yaml. Normalmente, ele está no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
    • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

  2. Edite o arquivo config.yaml da seguinte forma:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ARUBA_CENTRAL'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
    • Substitua <customer_id> pelo ID do cliente real.
    • Atualize /path/to/ingestion-authentication-file.json para o caminho do arquivo em que o arquivo de autenticação foi salvo na etapa 1.

Reiniciar o agente do Bindplane para aplicar as mudanças

  1. Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

    sudo systemctl restart observiq-otel-collector

  2. Para reiniciar o agente do Bindplane no Windows, use o console Serviços ou insira o seguinte comando:

    net stop observiq-otel-collector && net start observiq-otel-collector

Configurar o Syslog no Aruba Central

  1. Faça login na UI da Web do Aruba Central.
  2. No painel, localize um grupo que contenha os dispositivos que você quer configurar ou defina o filtro como Todos os dispositivos para configurações globais.
  3. Clique no dispositivo ou grupo que você quer configurar.
  4. Acesse Configuração > Sistema > Registro.
  5. Localize a seção Servidores Syslog e clique no botão +.
    • Nome do servidor: insira um nome exclusivo e descritivo.
    • IP do servidor: insira o endereço IP do agente do Bindplane.
    • Porta do servidor: insira o número da porta do agente do Bindplane.
    • Formato de registro: selecione Syslog.
    • Categoria e instalação: selecione as categorias e instalações para as quais você quer enviar registros.
    • Nível de registro: selecione Informativo.
  6. Clique em Save Settings.

Tabela de mapeamento de UDM

Campo de registro Mapeamento de UDM Lógica
additional_amm additional.fields Mesclado
additional_nid additional.fields Mesclado
additional_setting_id additional.fields Mesclado
additional_webhook additional.fields Mesclado
dev_type_label additional.fields Mesclado
operation_label additional.fields Mesclado
datetime metadata.event_timestamp Analisado como RFC 3339
timestamp metadata.event_timestamp Analisado como RFC 3339
event_type metadata.event_type Mapeado diretamente
alert_type metadata.product_event_type Mapeado diretamente
event_data metadata.product_event_type Mapeado diretamente
id metadata.product_log_id Mapeado diretamente
details.__base_url metadata.url_back_to_product Mapeado diretamente
network_ssid network.session_id Mapeado diretamente
app principal.application Mapeado diretamente
cluster_hostname principal.asset.hostname Mapeado diretamente
host principal.asset.hostname Mapeado diretamente
princ_mac principal.asset.mac Mesclado
details.group_name principal.group.group_display_name Mapeado diretamente
details.group principal.group.product_object_id Mapeado diretamente
cluster_hostname principal.hostname Mapeado diretamente
host principal.hostname Mapeado diretamente
princ_mac principal.mac Mesclado
pid principal.process.pid Mapeado diretamente
cid principal.user.product_object_id Mapeado diretamente
details.user principal.user.userid Mapeado diretamente
device_id principal.user.userid Mapeado diretamente
labels security_result.about.labels Mesclado
description security_result.description Mapeado diretamente
state_label security_result.detection_fields Mesclado
severity security_result.severity Valores mapeados (5 no total, por exemplo, "LOG_INFO", "LOG_DEBUG" → LOW, LOG_WARN → MEDIUM, `LOG_...
details.config_change security_result.summary Mapeado diretamente
target_mac target.asset.mac Mesclado
target_mac target.mac Mesclado
alert_type target.resource.type Mapeado: DEVICE_CONFIG_CHANGE_DETECTED → DEVICE
target_userid target.user.userid Mapeado diretamente
userid target.user.userid Mapeado diretamente
N/A metadata.product_name Constante: ARUBA_CENTRAL
N/A metadata.vendor_name Constante: ARUBA CENTRAL
N/A security_result.severity Constante: LOW
N/A target.resource.type Constante: DEVICE
nid" , "setting_id" , "details.dev_type" , "webhook" and "operation additional.fields Mapeado do registro de alterações
details.labels security_result.about.labels Mapeado do registro de alterações

Registro de alterações

Ver o registro de alterações desse analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.