Mengumpulkan log Aruba Wireless Controller dan Access Point

Versi Parser: 12.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Aruba Wireless Controller dan Access Point ke Google Security Operations menggunakan agen Bindplane.

Aruba Wireless Controller dan Access Point menghasilkan pesan syslog untuk peristiwa nirkabel, asosiasi klien, autentikasi, kontrol akses, dan operasi sistem. Parser memproses pesan syslog, mengekstrak kolom yang terkait dengan detail observer, perantara, dan titik akses.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan Aruba Wireless Controller
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke Aruba Wireless Controller

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus menggunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Nama akun layanan: Masukkan nama untuk akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan ganti kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai active (running).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen Bindplane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan Bindplane collector v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade pengumpul sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Edit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/aruba_wireless:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: ARUBA_WIRELESS
      raw_log_field: body
  
  service:
    pipelines:
      logs/aruba_wireless_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/aruba_wireless
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • listen_address: Alamat IP dan port yang akan diproses:
    • 0.0.0.0 untuk memproses semua antarmuka (direkomendasikan)
    • Port 514 adalah port syslog standar (memerlukan root di Linux; gunakan 1514 untuk non-root)

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID Pelanggan yang disalin dari konsol Google SecOps
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap disetel ke chronicle.googleapis.com.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/aruba_wireless:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: ARUBA_WIRELESS
      raw_log_field: body
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Simpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol layanan:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Restart.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi Pengontrol dan Titik Akses Nirkabel Aruba

1. Login ke UI web pengontrol Aruba.
2. Buka menu atas, lalu pilih Konfigurasi > Sistem.
3. Pilih Logging untuk membuka halaman konfigurasi logging.
4. Di bagian Syslog servers, klik + Add untuk menambahkan server syslog baru.
5. Masukkan detail berikut:
   • Name: Masukkan nama unik untuk server syslog; misalnya, Google SecOps Syslog.
   • Alamat IP: Masukkan alamat IP Bindplane.
   • Port: Masukkan nomor port Bindplane (biasanya 514 untuk UDP).
   • Fasilitas Logging: Pilih local 6 (umum digunakan untuk perangkat jaringan).
   • Logging Level: Pilih Informational untuk mengambil log informasi.
   • Format: Pilih format bsd-standard (ini adalah format syslog default yang digunakan oleh pengontrol Aruba).
6. Klik Kirim untuk menyimpan setelan Anda.
7. Klik Perubahan dalam proses.

8. Klik Deploy Changes untuk menerapkan konfigurasi server syslog baru.

   Catatan: Setelah men-deploy perubahan, konfigurasi tingkat logging untuk kategori log tertentu.

9. Buka setelan Logging Level dan tetapkan Logging Level ke Informational untuk setiap kategori berikut:

   • Jaringan
   • Semua
   • Cluster
   • DHCP
   • GP
   • Mobilitas
   • Packet-Dump
   • SDN

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
Additional Info	read_only_udm.security_result.description	Nilai Additional Info dari log mentah dipetakan ke kolom UDM security_result.description.
AP	read_only_udm.target.hostname	Jika ada dalam log mentah, nilai setelah AP: akan diekstrak dan dipetakan ke kolom UDM target.hostname.
BSSID	read_only_udm.target.mac, read_only_udm.principal.resource.name (jika jenis resource adalah BSSID)	Nilai BSSID dari log mentah dipetakan ke target.mac. Nama ini juga digunakan sebagai nama resource saat principal.resource.type adalah BSSID.
COMMAND	read_only_udm.principal.process.command_line	Nilai perintah dari log mentah dipetakan ke kolom UDM principal.process.command_line.
Dst-MAC	read_only_udm.target.mac	Jika ada, nilai Dst-MAC dari log mentah akan dipetakan ke kolom UDM target.mac.
SERVER	read_only_udm.target.hostname	Jika ada, nama server dari log mentah dipetakan ke kolom UDM target.hostname.
SERVER-IP	read_only_udm.target.ip	Jika ada, IP server dari log mentah dipetakan ke kolom UDM target.ip.
Src-MAC	read_only_udm.principal.mac	Jika ada, nilai Src-MAC dari log mentah dipetakan ke kolom UDM principal.mac.
SSID	read_only_udm.target.resource.name (jika jenis resource adalah SSID)	Nilai SSID dari log mentah digunakan sebagai nama resource jika target.resource.type adalah SSID.
USER	read_only_udm.target.user.userid	Jika ada, ID pengguna dari log mentah dipetakan ke kolom UDM target.user.userid.
USERIP	read_only_udm.principal.ip, read_only_udm.observer.ip	Jika ada, IP pengguna dari log mentah dipetakan ke kolom UDM principal.ip dan observer.ip.
USERMAC	read_only_udm.principal.mac	Jika ada, MAC pengguna dari log mentah akan dipetakan ke kolom UDM principal.mac.
USERNAME	read_only_udm.principal.user.userid	Jika ada, nama pengguna dari log mentah dipetakan ke kolom UDM principal.user.userid.
action	read_only_udm.security_result.action	Nilai tindakan dari log mentah (misalnya, permit, deny) dipetakan ke kolom UDM security_result.action.
apname	read_only_udm.target.hostname	Jika ada, nama AP dari log mentah akan dipetakan ke kolom UDM target.hostname.
bssid	read_only_udm.target.mac	Jika ada, nilai BSSID dari log mentah dipetakan ke kolom UDM target.mac.
collection_time.seconds	read_only_udm.metadata.event_timestamp.seconds	Nilai detik waktu pengumpulan dari log mentah dipetakan ke kolom UDM metadata.event_timestamp.seconds.
device_ip	read_only_udm.intermediary.ip	IP perangkat dari log mentah atau dari logstash dipetakan ke kolom UDM intermediary.ip.
dstip	read_only_udm.target.ip	Jika ada, IP tujuan dari log mentah dipetakan ke kolom UDM target.ip.
dstport	read_only_udm.target.port	Jika ada, port tujuan dari log mentah akan dipetakan ke kolom UDM target.port.
event_id	read_only_udm.metadata.product_event_type	ID peristiwa dari log mentah digunakan untuk membuat kolom metadata.product_event_type di UDM, dengan awalan Event ID:.
event_message	read_only_udm.security_result.summary	Pesan peristiwa dari log mentah dipetakan ke kolom UDM security_result.summary.
log.source.address	read_only_udm.observer.ip	Alamat sumber log dipetakan ke kolom UDM observer.ip.
log_type	read_only_udm.metadata.log_type	Jenis log dari log mentah dipetakan ke kolom UDM metadata.log_type.
logstash.collect.host	read_only_udm.observer.ip atau read_only_udm.observer.hostname	Host pengumpulan logstash dipetakan ke observer.ip jika berupa alamat IP, atau observer.hostname jika berupa nama host.
logstash.ingest.host	read_only_udm.intermediary.hostname	Host penyerapan logstash dipetakan ke kolom UDM intermediary.hostname.
logstash.process.host	read_only_udm.intermediary.hostname	Host proses logstash dipetakan ke kolom UDM intermediary.hostname.
program	read_only_udm.target.application	Nama program dari log mentah dipetakan ke kolom UDM target.application.
serverip	read_only_udm.target.ip	Jika ada, IP server dari log mentah dipetakan ke kolom UDM target.ip.
servername	read_only_udm.target.hostname	Jika ada, nama server dari log mentah dipetakan ke kolom UDM target.hostname.
srcip	read_only_udm.principal.ip	Jika ada, IP sumber dari log mentah dipetakan ke kolom UDM principal.ip.
srcport	read_only_udm.principal.port	Jika ada, port sumber dari log mentah dipetakan ke kolom UDM principal.port.
syslog_host	read_only_udm.intermediary.hostname	Host syslog dari log mentah dipetakan ke kolom UDM intermediary.hostname.
timestamp	read_only_udm.metadata.event_timestamp	Stempel waktu dari log mentah diurai dan dipetakan ke kolom UDM metadata.event_timestamp.
userip	read_only_udm.principal.ip, read_only_udm.observer.ip	Jika ada, IP pengguna dari log mentah dipetakan ke kolom UDM principal.ip dan observer.ip.
usermac	read_only_udm.principal.mac	Jika ada, MAC pengguna dari log mentah akan dipetakan ke kolom UDM principal.mac.
username	read_only_udm.principal.user.userid	Jika ada, nama pengguna dari log mentah dipetakan ke kolom UDM principal.user.userid. Diperoleh dari event_id dan logika dalam parser. Ditentukan oleh parser berdasarkan ID peristiwa dan konten pesan log. Hardcode ke Wireless. Hardcode ke Aruba. Ditentukan oleh parser berdasarkan ID peristiwa dan konten pesan log. Ditentukan oleh parser berdasarkan ID peristiwa dan konten pesan log. Diekstrak dari pesan log mentah menggunakan ekspresi reguler. Ditentukan oleh parser berdasarkan ID peristiwa dan konten pesan log. Objek kosong ditambahkan saat event_type adalah USER_LOGIN atau peristiwa autentikasi terkait. Ditentukan oleh parser berdasarkan protokol jaringan yang digunakan dalam peristiwa (misalnya, TCP, UDP, ICMP, IGMP). Berisi kolom tambahan yang diekstrak dari log mentah berdasarkan kondisi tertentu. Misalnya, ap_name ditambahkan sebagai pasangan nilai kunci jika ada. Tetapkan ke BSSID jika BSSID ada dalam konteks akun utama. Tetapkan ke SSID jika SSID ada dalam konteks target. Berisi key-value pair informasi deteksi yang relevan yang diekstrak dari log mentah, seperti BSSID atau SSID.
event_code	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
function_name	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
thread_id	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
station_macaddress	event.idm.read_only_udm.principal.mac	Dipetakan dari log perubahan
station_macaddress	event.idm.read_only_udm.principal.asset.mac	Dipetakan dari log perubahan
event_details	event.idm.read_only_udm.security_result.summary	Dipetakan dari log perubahan
application	event.idm.read_only_udm.principal.application	Dipetakan dari log perubahan
version	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
priority	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
module	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
instance	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
role	event.idm.read_only_udm.principal.user.attribute.roles.name	Dipetakan dari log perubahan
policy	event.idm.read_only_udm.security_result.rule_name	Dipetakan dari log perubahan
command_status	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
p_host	event.idm.read_only_udm.principal.ip	Dipetakan dari log perubahan
p_host	event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
p_host	event.idm.read_only_udm.principal.hostname	Dipetakan dari log perubahan
p_host	event.idm.read_only_udm.principal.asset.hostname	Dipetakan dari log perubahan
t_user	event.idm.read_only_udm.target.user.userid	Dipetakan dari log perubahan
p_ip	event.idm.read_only_udm.principal.ip	Dipetakan dari log perubahan
p_ip	event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
cmd	event.idm.read_only_udm.target.process.command_line	Dipetakan dari log perubahan
node	event.idm.read_only_udm.target.resource.name	Dipetakan dari log perubahan
principal_ip_value	event.idm.read_only_udm.principal.ip	Dipetakan dari log perubahan
p_port	event.idm.read_only_udm.principal.port	Dipetakan dari log perubahan
t_hostname	event.idm.read_only_udm.intermediary.hostname	Dipetakan dari log perubahan
details	metadata.description	Dipetakan dari log perubahan
ap_name	additional.fields	Dipetakan dari log perubahan
logstash.irm_site", "logstash.irm_environment", "logstash.irm_region	additional.fields	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.