איסוף יומנים של מתג Aruba

גרסת מנתח: 8.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של מתג Aruba ב-Google Security Operations באמצעות סוכן Bindplane.

מתגי Aruba יוצרים הודעות syslog לאירועים במערכת, לשינויים במצב הממשק, לאימות ולפעילות התהליך. הכלי לניתוח מחלץ שדות מהודעות syslog באמצעות דפוסי grok וממפה אותם למודל UDM.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות לרשת בין סוכן Bindplane לבין מתג Aruba
  • אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • גישה עם הרשאות למתג של Aruba

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents.
  3. מורידים את קובץ האימות להטמעת נתונים.

  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

מאתרים את קובץ התצורה

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

  • מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/aruba_switch:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: ARUBA_SWITCH
        raw_log_field: body

service:
    pipelines:
        logs/aruba_switch_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/aruba_switch

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
      • 0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

  • הגדרת כלי הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
    • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
    • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
      2. מחפשים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת syslog במתג Aruba

אפשרות 1: הגדרת CLI

  1. מתחברים למתג Aruba באמצעות SSH:

    ssh admin@<switch-ip>

  2. נכנסים למצב הגדרה גלובלית:

    configure terminal

  3. מציינים את שרת ה-syslog החיצוני:

    logging <bindplane-ip>
    • מחליפים את <bindplane-ip> בכתובת ה-IP של סוכן Bindplane.

  4. (אופציונלי) מגדירים את רמת החומרה של הרישום ביומן:

    logging severity <level>

  5. (אופציונלי) מוסיפים מזהה מותאם אישית של מקור היומן (תג):

    logging facility local5

  6. שומרים את ההגדרה:

    write memory

אפשרות 2: הגדרה בממשק האינטרנט

  1. מתחברים לממשק האינטרנט של מתג Aruba.
  2. עוברים אל System > Logs > Syslog (מערכת > יומנים > יומן מערכת).
  3. מוסיפים פרמטרים של שרת syslog:
    • מזינים את כתובת ה-IP של Bindplane.
    • מזינים את היציאה של Bindplane.
    • מגדירים את רמת החומרה כדי לשלוט בפירוט של היומנים.
  4. לוחצים על Save.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
app principal.application הערך של השדה app מיומן הגולמי משויך ישירות ל-principal.application.
description security_result.description הערך של השדה description מהיומן הגולמי מוקצה ישירות ל-security_result.description.
event_id additional.fields.key המחרוזת event_id מוקצית ל-additional.fields.key.
event_id additional.fields.value.string_value הערך של השדה event_id מיומן הגולמי משויך ישירות ל-additional.fields.value.string_value.
host principal.asset.hostname הערך של השדה host מיומן הגולמי משויך ישירות ל-principal.asset.hostname.
host principal.hostname הערך של השדה host מיומן הגולמי משויך ישירות ל-principal.hostname.
pid principal.process.pid הערך של השדה pid מהיומן הגולמי מוקצה ישירות ל-principal.process.pid.
ts metadata.event_timestamp הערך בשדה ts מיומן הגולמי מומר לחותמת זמן ומוקצה ל-metadata.event_timestamp. חותמת הזמן משמשת גם לשדה timestamp ברמה העליונה ב-UDM. הערך של metadata.event_type הוא STATUS_UPDATE כי המשתנה principal_mid_present מוגדר כ-true במנתח כשהשדה host מופיע ביומן הגולמי. המחרוזת ARUBA_SWITCH מוקצית ל-metadata.product_name בתוך מנתח התוכן. המחרוזת "ARUBA SWITCH" מוקצית ל-metadata.vendor_name במנתח. המנתח מנסה לחלץ ולנתח את סוכן המשתמש מהיומן הגולמי באמצעות client.userAgent.rawUserAgent. אם הפעעולה בוצעה ללא שגיאות, סוכן המשתמש שנותח מוקצה ל-network.http.parsed_user_agent. עם זאת, מכיוון שהיומנים הגולמיים שסופקו לא מכילים את השדה הזה, סביר להניח שהשדה הזה ב-UDM יהיה ריק. המנתח מנסה לחלץ את סוכן המשתמש הגולמי מהיומן הגולמי באמצעות client.userAgent.rawUserAgent. אם הפעולה בוצעה ללא שגיאות, סוכן המשתמש הגולמי מוקצה ל-network.http.user_agent. עם זאת, מכיוון שהיומנים הגולמיים שסופקו לא מכילים את השדה הזה, סביר להניח שהשדה הזה ב-UDM יהיה ריק.
product_event_type event.idm.read_only_udm.metadata.product_event_type מופה מיומן השינויים
mac event.idm.read_only_udm.principal.mac מופה מיומן השינויים
ip event.idm.read_only_udm.principal.ip מופה מיומן השינויים
ip event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
dal_function event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
return_code event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
error_tag event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
internal_id event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
priority event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
neighbor_port_id event.idm.read_only_udm.additional.fields מופה מיומן השינויים
prin_mac event.idm.read_only_udm.principal.mac מופה מיומן השינויים
hostname event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
log_id event.idm.read_only_udm.additional.fields מופה מיומן השינויים
priority event.idm.read_only_udm.additional.fields מופה מיומן השינויים
facility event.idm.read_only_udm.additional.fields מופה מיומן השינויים
status event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
severity security_result.severity מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.