Barracuda CloudGen Firewall-Logs erfassen

Parserversion:2.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Barracuda CloudGen Firewall-Logs mit dem Bindplane-Agenten in Google Security Operations aufnehmen.

Die Barracuda CloudGen Firewall ist eine Next-Generation Firewall, die über die Syslog-Streaming-Funktion Syslog-Nachrichten für Netzwerkverkehr, Sicherheitsereignisse, Authentifizierung und Systemvorgänge generiert.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem Bindplane-Agent und der Barracuda CloudGen Firewall
  • Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Administratorzugriff auf das Barracuda Firewall Control Center

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Authentifizierungsdatei für die Datenaufnahme herunterladen

  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.

  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

    Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

    Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/barracuda_cloudgen_firewall:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: BARRACUDA_CLOUDGEN_FIREWALL
        raw_log_field: body

service:
    pipelines:
        logs/barracuda_cloudgen_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/barracuda_cloudgen_firewall

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • listen_address: IP-Adresse und Port, auf die gewartet werden soll:
      • 0.0.0.0, um auf allen Schnittstellen zuzuhören (empfohlen)
      • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

  • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Kundennummer, die aus der Google SecOps-Konsole kopiert wurde
    • endpoint: Regionale Endpunkt-URL:
      • USA: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Eine vollständige Liste finden Sie unter Regionale Endpunkte.

Konfigurationsdatei speichern

  • Speichern Sie die Datei nach der Bearbeitung:
    • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
    • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

    1. Prüfen Sie, ob der Dienst ausgeführt wird:

      sudo systemctl status observiq-otel-collector

    2. Logs auf Fehler prüfen:

      sudo journalctl -u observiq-otel-collector -f

  • Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

    • Eingabeaufforderung oder PowerShell als Administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Dienstkonsole:

      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

      4. Prüfen Sie, ob der Dienst ausgeführt wird:

        sc query observiq-otel-collector

      5. Prüfen Sie die Logs auf Fehler:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Streaming für Barracuda CloudGen Firewall aktivieren

  1. Melden Sie sich auf Box-Ebene im Barracuda Firewall Control Center an.
  2. Gehen Sie zu Konfiguration > Vollständige Konfiguration > Box > Infrastrukturdienste > Syslog-Streaming.
  3. Klicken Sie auf das Symbol Sperren, um die Bearbeitung zu aktivieren.
  4. Stellen Sie den Schalter Syslog-Streaming aktivieren auf Ja.
  5. Klicken Sie auf Änderungen senden > Aktivieren.

Logdatenfilter für Barracuda CloudGen Firewall konfigurieren

  1. Gehen Sie zu Konfiguration > Vollständige Konfiguration > Box > Infrastrukturdienste > Syslog-Streaming.
  2. Wählen Sie Logdata Filters (Filter für Logdaten) aus.
  3. Klicken Sie auf das Menü Konfigurationsmodus und wählen Sie Zur erweiterten Ansicht wechseln aus.
  4. Klicken Sie auf das Symbol Sperren, um die Bearbeitung zu aktivieren.
  5. Klicken Sie auf Hinzufügen, um einen neuen Eintrag hinzuzufügen.
  6. Geben Sie im Dialogfeld Filter einen eindeutigen Namen ein.
  7. Klicken Sie auf OK.
  8. Wählen Sie im Abschnitt Affected Box Logdata die Option logs sent via syslog aus.
  9. Klicken Sie neben Datenauswahl auf Hinzufügen.
  10. Geben Sie einen eindeutigen Namen für die Gruppe ein.
  11. Klicken Sie auf OK.
  12. Wählen Sie im Bereich Datenauswahl oder in Ihren spezifischen Kategorien für die Protokollierung die folgenden Elemente aus:
    • Auth-All
    • Config-All
    • Control-All
    • Event-All
    • Firewall-All
    • Network-All
    • Settings-All
    • SSH-All
    • System-All
  13. Wählen Sie unter Nachrichtentypen die folgenden Elemente oder den gewünschten Schweregrad für das Logging aus:
    • Panic
    • Security
    • Fatal
    • Error
    • Warning
    • Notice
  14. Klicken Sie auf OK.
  15. Klicken Sie auf Änderungen senden > Aktivieren.

Logstream-Ziel für Barracuda CloudGen Firewall konfigurieren

  1. Gehen Sie zu Konfiguration > Vollständige Konfiguration > Box > Infrastrukturdienste > Syslog-Streaming.
  2. Wählen Sie Logstream-Ziele aus.
  3. Klicken Sie auf das Menü Konfigurationsmodus und wählen Sie Zur erweiterten Ansicht wechseln aus.
  4. Klicken Sie auf das Symbol Sperren, um die Bearbeitung zu aktivieren.
  5. Klicken Sie auf Hinzufügen, um einen neuen Eintrag hinzuzufügen.
  6. Geben Sie einen eindeutigen Namen für das Ziel ein.
  7. Klicken Sie auf OK.
  8. Wählen Sie das neu erstellte Logstream-Ziel aus.
  9. Klicken Sie auf Explizite IP-Adresse.
  10. Geben Sie die folgenden Konfigurationsdetails an:
    • Ziel-IP-Adresse: Geben Sie die IP-Adresse des Bindplane-Agents ein.
    • Zielport: Geben Sie die Portnummer des Bindplane-Agents ein.
    • Übertragungsmodus: Wählen Sie UDP aus.
  11. Klicken Sie auf OK.
  12. Klicken Sie auf Änderungen senden > Aktivieren.

Logdatenstreams für Barracuda CloudGen Firewall konfigurieren

  1. Gehen Sie zu Configuration> Full Configuration> Box> Infrastructure Services> Syslog Streaming.
  2. Wählen Sie Logdata Streams aus.
  3. Klicken Sie auf das Menü Konfigurationsmodus und wählen Sie Zur erweiterten Ansicht wechseln aus.
  4. Klicken Sie auf das Symbol Sperren, um die Bearbeitung zu aktivieren.
  5. Klicken Sie auf Hinzufügen, um einen neuen Eintrag hinzuzufügen.
  6. Geben Sie einen eindeutigen Namen für die Konfiguration an.
  7. Klicken Sie auf OK.
  8. Setzen Sie Active Streams (Aktive Streams) auf Yes (Ja).
  9. Legen Sie für Logziele das zuvor erstellte Ziel fest.
  10. Legen Sie für Logfilter den zuvor erstellten Filter fest.
  11. Klicken Sie auf OK.
  12. Klicken Sie auf Änderungen senden > Aktivieren.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
connection_type_label additional.fields Zusammengeführt
details_label additional.fields Zusammengeführt
id_label additional.fields Zusammengeführt
process_name_label additional.fields Zusammengeführt
desc metadata.description Direkt zugeordnet
has_principal metadata.event_type Zugeordnet: true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_user metadata.event_type Zugeordnet: true → USER_UNCATEGORIZED
host principal.asset.hostname Direkt zugeordnet
column13 principal.asset.ip Zusammengeführt
src_ip principal.asset.ip Zusammengeführt
host principal.hostname Direkt zugeordnet
column13 principal.ip Zusammengeführt
src_ip principal.ip Zusammengeführt
column6 principal.mac Zusammengeführt
column5 principal.port Umbenannt/zugeordnet
src_port principal.port Direkt zugeordnet
_action security_result.action Zusammengeführt
action security_result.action Zugeordnet: Allow → _action
action security_result.action_details Direkt zugeordnet
severity security_result.severity Zugeordnet: INFO → INFORMATIONAL, WARNING → MEDIUM, BLOCK → ERROR
severity security_result.severity_details Direkt zugeordnet
tar_app target.application Direkt zugeordnet
column14 target.asset.ip Zusammengeführt
column7 target.asset.ip Zusammengeführt
dst_ip target.asset.ip Zusammengeführt
column14 target.ip Zusammengeführt
column7 target.ip Zusammengeführt
dst_ip target.ip Zusammengeführt
mac target.mac Zusammengeführt
column8 target.port Umbenannt/zugeordnet
dst_port target.port Umbenannt/zugeordnet
product_id target.process.pid Direkt zugeordnet
user_id target.user.userid Direkt zugeordnet
– metadata.event_type Konstante: NETWORK_CONNECTION
– metadata.product_name Konstante: BARRACUDA CLOUDGEN FIREWALL
– metadata.vendor_name Konstante: BARRACUDA CLOUDGEN FIREWALL
– security_result.severity Konstante: INFORMATIONAL
server event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
service event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
box event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
startport event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
endport event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
request_type event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
request_key event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
syslogpriority event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
peer event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus dem Änderungsprotokoll zugeordnet
origin event.idm.read_only_udm.principal.application Aus dem Änderungsprotokoll zugeordnet
desc event.idm.read_only_udm.metadata.description Aus dem Änderungsprotokoll zugeordnet
principal_user_id event.idm.read_only_udm.principal.user.userid Aus dem Änderungsprotokoll zugeordnet
cn_data event.idm.read_only_udm.principal.user.group_identifiers Aus dem Änderungsprotokoll zugeordnet
src_port event.idm.read_only_udm.principal.port Aus dem Änderungsprotokoll zugeordnet
column1 event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
column3 event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
column9 event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
column12 event.idm.read_only_udm.security_result.rule_id Aus dem Änderungsprotokoll zugeordnet
column4 event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus dem Änderungsprotokoll zugeordnet
column2 event.idm.read_only_udm.network.ip_protocol Aus dem Änderungsprotokoll zugeordnet
ts_timestamp event.idm.read_only_udm.metadata.event_timestamp Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten