איסוף יומנים של Barracuda CloudGen Firewall

גרסת המנתח: 2.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Barracuda CloudGen Firewall ב-Google Security Operations באמצעות סוכן Bindplane.

‫Barracuda CloudGen Firewall הוא חומת אש מהדור הבא, שיוצרת הודעות syslog לתנועה ברשת, לאירועי אבטחה, לאימות ולפעולות מערכת באמצעות התכונה Syslog Streaming.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין Barracuda CloudGen Firewall
• אם מריצים את הסוכן מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• הרשאת אדמין ל-Barracuda Firewall Control Center

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מספקים את פרטי ההגדרה הבאים:
   • שם חשבון השירות: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בשם ingestion-auth.json בספריית Bindplane Collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שומרים את הקובץ.
12. עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות SIEM > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן מעבר לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sc query observiq-otel-collector
   

   השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, קראו את מדריך ההתקנה של סוכן Bindplane.

הערה: כדי להגדיר את Chronicle API exporter, צריך להשתמש ב-Bindplane collector מגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, צריך לשדרג את הכלי לאיסוף נתונים לפני שמשנים את ההגדרה.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

איתור קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/barracuda_cloudgen_firewall:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: BARRACUDA_CLOUDGEN_FIREWALL
      raw_log_field: body
  
  service:
    pipelines:
      logs/barracuda_cloudgen_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/barracuda_cloudgen_firewall
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • 0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

• הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
    • ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

כלי לייצוא נתונים מ-Legacy ingestion API

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב לקובץ האימות של ההעברה, ואם המופע שלכם נמצא מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/barracuda_cloudgen_firewall:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: BARRACUDA_CLOUDGEN_FIREWALL
      raw_log_field: body
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הפעלת סטרימינג של syslog ב-Barracuda CloudGen Firewall

1. נכנסים ל-Barracuda Firewall Control Center ברמת התיבה.
2. עוברים אל הגדרה > הגדרה מלאה > תיבה > שירותי תשתית > Syslog Streaming.
3. כדי להפעיל את העריכה, לוחצים על סמל הנעילה.
4. מעבירים את האפשרות Enable Syslog Streaming (הפעלת סטרימינג של Syslog) למצב Yes (כן).
5. לוחצים על Send Changes(שליחת השינויים) > Activate (הפעלה).

הגדרת מסננים של נתוני יומנים ב-Barracuda CloudGen Firewall

1. עוברים אל Configuration > Full Configuration > Box > Infrastructure Services > Syslog Streaming.
2. בוחרים באפשרות מסנני נתוני יומן.
3. לוחצים על התפריט Configuration Mode ובוחרים באפשרות Switch to Advanced View.
4. כדי להפעיל את העריכה, לוחצים על סמל הנעילה.
5. לוחצים על הוספה כדי להוסיף רשומה חדשה.
6. מזינים שם ייחודי בתיבת הדו-שיח מסננים.
7. לוחצים על OK.
8. בקטע Affected Box Logdata, בוחרים באפשרות logs sent via syslog.
9. לוחצים על הוספה לצד בחירת נתונים.
10. נותנים שם ייחודי לקבוצה.
11. לוחצים על OK.
12. בוחרים את הפריטים הבאים מתוך בחירת נתונים או את הקטגוריות הספציפיות לרישום ביומן:
    • Auth-All
    • Config-All
    • Control-All
    • Event-All
    • Firewall-All
    • Network-All
    • Settings-All
    • SSH-All
    • System-All
13. בוחרים את הפריטים הבאים מתוך סוגי הודעות או את רמת החומרה הספציפית שלכם לרישום ביומן:
    • Panic
    • Security
    • Fatal
    • Error
    • Warning
    • Notice
14. לוחצים על OK.
15. לוחצים על שליחת שינויים > הפעלה.

הגדרת יעד ל-logstream ב-Barracuda CloudGen Firewall

1. עוברים אל Configuration > Full Configuration > Box > Infrastructure Services > Syslog Streaming.
2. בוחרים באפשרות יעדים של Logstream.
3. לוחצים על התפריט Configuration Mode ובוחרים באפשרות Switch to Advanced View.
4. כדי להפעיל את העריכה, לוחצים על סמל הנעילה.
5. לוחצים על הוספה כדי להוסיף רשומה חדשה.
6. מזינים שם ייחודי ליעד.
7. לוחצים על OK.
8. בוחרים את יעד Logstream שנוצר.
9. לוחצים על כתובת IP מפורשת.
10. מספקים את פרטי ההגדרה הבאים:
    • כתובת ה-IP של היעד: מזינים את כתובת ה-IP של סוכן Bindplane.
    • יציאת יעד: מזינים את מספר היציאה של סוכן Bindplane.
    • מצב שידור: בוחרים באפשרות UDP.
11. לוחצים על OK.
12. לוחצים על שליחת שינויים > הפעלה.

הגדרת זרמי נתוני יומן עבור Barracuda CloudGen Firewall

1. עוברים אל הגדרה > הגדרה מלאה > תיבה > שירותי תשתית > Syslog Streaming.
2. לוחצים על מקורות נתונים.
3. לוחצים על התפריט Configuration Mode (מצב הגדרה) ובוחרים באפשרות Switch to Advanced View (מעבר לתצוגה מתקדמת).
4. כדי להפעיל את העריכה, לוחצים על סמל הנעילה.
5. לוחצים על הוספה כדי להוסיף רשומה חדשה.
6. נותנים שם ייחודי להגדרה.
7. לוחצים על OK.
8. מעבירים את ההגדרה Active Streams (שידורים פעילים) למצב Yes (כן).
9. מגדירים את Log Destinations (יעדי יומן) ליעד שנוצר קודם.
10. מגדירים את Log Filters למסנן שיצרתם קודם.
11. לוחצים על OK.
12. לוחצים על שליחת שינויים > הפעלה.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
connection_type_label	additional.fields	ממוזג
details_label	additional.fields	ממוזג
id_label	additional.fields	ממוזג
process_name_label	additional.fields	ממוזג
desc	metadata.description	מיפוי ישיר
has_principal	metadata.event_type	מיפוי: true ← NETWORK_CONNECTION, true ← STATUS_UPDATE
has_user	metadata.event_type	מופה: true ← USER_UNCATEGORIZED
host	principal.asset.hostname	מיפוי ישיר
column13	principal.asset.ip	ממוזג
src_ip	principal.asset.ip	ממוזג
host	principal.hostname	מיפוי ישיר
column13	principal.ip	ממוזג
src_ip	principal.ip	ממוזג
column6	principal.mac	ממוזג
column5	principal.port	שם שונה/מיפוי
src_port	principal.port	מיפוי ישיר
_action	security_result.action	ממוזג
action	security_result.action	מופה: Allow ← _action
action	security_result.action_details	מיפוי ישיר
severity	security_result.severity	מופו: INFO ← INFORMATIONAL, WARNING ← MEDIUM, BLOCK ← ERROR
severity	security_result.severity_details	מיפוי ישיר
tar_app	target.application	מיפוי ישיר
column14	target.asset.ip	ממוזג
column7	target.asset.ip	ממוזג
dst_ip	target.asset.ip	ממוזג
column14	target.ip	ממוזג
column7	target.ip	ממוזג
dst_ip	target.ip	ממוזג
mac	target.mac	ממוזג
column8	target.port	שם שונה/מיפוי
dst_port	target.port	שינוי שם/מיפוי
product_id	target.process.pid	מיפוי ישיר
user_id	target.user.userid	מיפוי ישיר
לא רלוונטי	metadata.event_type	קבוע: NETWORK_CONNECTION
לא רלוונטי	metadata.product_name	קבוע: BARRACUDA CLOUDGEN FIREWALL
לא רלוונטי	metadata.vendor_name	קבוע: BARRACUDA CLOUDGEN FIREWALL
לא רלוונטי	security_result.severity	קבוע: INFORMATIONAL
server	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
service	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
box	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
startport	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
endport	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
request_type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
request_key	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
syslogpriority	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
peer	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
origin	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
desc	event.idm.read_only_udm.metadata.description	מופה מיומן השינויים
principal_user_id	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
cn_data	event.idm.read_only_udm.principal.user.group_identifiers	מופה מיומן השינויים
src_port	event.idm.read_only_udm.principal.port	מופה מיומן השינויים
column1	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column3	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column9	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column12	event.idm.read_only_udm.security_result.rule_id	מופה מיומן השינויים
column4	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
column2	event.idm.read_only_udm.network.ip_protocol	מופה מיומן השינויים
ts_timestamp	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.