Raccogli i log di Barracuda CloudGen Firewall

Versione parser: 2.0

Supportato in:

Questo documento spiega come importare i log di Barracuda CloudGen Firewall in Google Security Operations utilizzando l'agente Bindplane.

Barracuda CloudGen Firewall è un firewall di nuova generazione che genera messaggi syslog per il traffico di rete, gli eventi di sicurezza, l'autenticazione e le operazioni di sistema tramite la funzionalità Syslog Streaming.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Windows Server 2016 o versioni successive oppure host Linux con systemd
  • Connettività di rete tra l'agente Bindplane e il firewall Barracuda CloudGen
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
  • Accesso amministrativo al Barracuda Firewall Control Center

Recuperare il file di autenticazione dell'importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione

  4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Ottieni l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.

  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri Prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sc query observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sudo systemctl status observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

  • Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/barracuda_cloudgen_firewall:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: BARRACUDA_CLOUDGEN_FIREWALL
        raw_log_field: body

service:
    pipelines:
        logs/barracuda_cloudgen_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/barracuda_cloudgen_firewall

Parametri di configurazione

Sostituisci i seguenti segnaposto:

  • Configurazione del destinatario:

    • listen_address: indirizzo IP e porta su cui ascoltare:
      • 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
      • La porta 514 è la porta syslog standard (richiede l'accesso root su Linux; utilizza 1514 per l'accesso non root)

  • Configurazione dell'esportatore:

    • creds_file_path: Percorso completo del file di autenticazione dell'acquisizione:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID cliente copiato dalla console Google SecOps
    • endpoint: URL dell'endpoint regionale:
      • Stati Uniti: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Per l'elenco completo, consulta Endpoint regionali.

Salva il file di configurazione

  • Dopo la modifica, salva il file:
    • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
    • Windows: fai clic su File > Salva

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica che il servizio sia in esecuzione:

      sudo systemctl status observiq-otel-collector

    2. Controlla i log per individuare eventuali errori:

      sudo journalctl -u observiq-otel-collector -f

  • Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console dei servizi:

      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

      4. Verifica che il servizio sia in esecuzione:

        sc query observiq-otel-collector

      5. Controlla i log per verificare la presenza di errori:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Abilita lo streaming syslog per Barracuda CloudGen Firewall

  1. Accedi al Barracuda Firewall Control Center a livello di box.
  2. Vai a Configuration > Full Configuration > Box > Infrastructure Services > Syslog Streaming.
  3. Fai clic sull'icona Blocca per attivare la modifica.
  4. Imposta Enable Syslog Streaming (Attiva streaming Syslog) su Yes (Sì).
  5. Fai clic su Invia modifiche > Attiva.

Configurare i filtri logdata per Barracuda CloudGen Firewall

  1. Vai a Configuration > Full Configuration > Box > Infrastructure Services > Syslog Streaming.
  2. Seleziona Filtri logdata.
  3. Fai clic sul menu Modalità di configurazione e seleziona Passa alla visualizzazione avanzata.
  4. Fai clic sull'icona Blocca per attivare la modifica.
  5. Fai clic su Aggiungi per aggiungere una nuova voce.
  6. Fornisci un nome univoco nella finestra di dialogo Filtri.
  7. Fai clic su OK.
  8. Nella sezione Affected Box Logdata (Dati di log della casella interessata), seleziona logs sent via syslog (log inviati tramite syslog).
  9. Fai clic su Aggiungi accanto a Selezione dati.
  10. Specifica un nome univoco per il gruppo.
  11. Fai clic su OK.
  12. Seleziona i seguenti elementi da Selezione dati o le categorie specifiche per il logging:
    • Auth-All
    • Config-All
    • Control-All
    • Event-All
    • Firewall-All
    • Network-All
    • Settings-All
    • SSH-All
    • System-All
  13. Seleziona i seguenti elementi da Tipi di messaggi o la gravità specifica per il logging:
    • Panic
    • Security
    • Fatal
    • Error
    • Warning
    • Notice
  14. Fai clic su OK.
  15. Fai clic su Invia modifiche > Attiva.

Configura la destinazione logstream per Barracuda CloudGen Firewall

  1. Vai a Configurazione > Configurazione completa > Casella > Servizi di infrastruttura > Streaming Syslog.
  2. Seleziona Destinazioni Logstream.
  3. Fai clic sul menu Modalità di configurazione e seleziona Passa alla visualizzazione avanzata.
  4. Fai clic sull'icona Blocca per attivare la modifica.
  5. Fai clic su Aggiungi per aggiungere una nuova voce.
  6. Fornisci un nome univoco per la destinazione.
  7. Fai clic su OK.
  8. Seleziona la destinazione Logstream appena creata.
  9. Fai clic su IP esplicito.
  10. Fornisci i seguenti dettagli di configurazione:
    • Indirizzo IP di destinazione: inserisci l'indirizzo IP dell'agente Bindplane.
    • Porta di destinazione: inserisci il numero di porta dell'agente Bindplane.
    • Modalità di trasmissione: seleziona UDP.
  11. Fai clic su OK.
  12. Fai clic su Invia modifiche > Attiva.

Configura i flussi logdata per Barracuda CloudGen Firewall

  1. Vai a Configuration > Full Configuration > Box > Infrastructure Services > Syslog Streaming.
  2. Seleziona Logdata Streams.
  3. Fai clic sul menu Modalità di configurazione e seleziona Passa alla visualizzazione avanzata.
  4. Fai clic sull'icona Blocca per attivare la modifica.
  5. Fai clic su Aggiungi per aggiungere una nuova voce.
  6. Fornisci un nome univoco per la configurazione.
  7. Fai clic su OK.
  8. Imposta Stream attivi su Sì.
  9. Imposta Destinazioni log sulla destinazione creata in precedenza.
  10. Imposta Filtri log sul filtro creato in precedenza.
  11. Fai clic su OK.
  12. Fai clic su Invia modifiche > Attiva.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
connection_type_label additional.fields Unita
details_label additional.fields Unita
id_label additional.fields Unita
process_name_label additional.fields Unita
desc metadata.description Mappato direttamente
has_principal metadata.event_type Mappato: true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_user metadata.event_type Mappatura: true → USER_UNCATEGORIZED
host principal.asset.hostname Mappato direttamente
column13 principal.asset.ip Unita
src_ip principal.asset.ip Unita
host principal.hostname Mappato direttamente
column13 principal.ip Unita
src_ip principal.ip Unita
column6 principal.mac Unita
column5 principal.port Rinominate/mappate
src_port principal.port Mappato direttamente
_action security_result.action Unita
action security_result.action Mappato: Allow → _action
action security_result.action_details Mappato direttamente
severity security_result.severity Mappato: INFO → INFORMATIONAL, WARNING → MEDIUM, BLOCK → ERROR
severity security_result.severity_details Mappato direttamente
tar_app target.application Mappato direttamente
column14 target.asset.ip Unita
column7 target.asset.ip Unita
dst_ip target.asset.ip Unita
column14 target.ip Unita
column7 target.ip Unita
dst_ip target.ip Unita
mac target.mac Unita
column8 target.port Rinominate/mappate
dst_port target.port Rinominate/mappate
product_id target.process.pid Mappato direttamente
user_id target.user.userid Mappato direttamente
N/D metadata.event_type Costante: NETWORK_CONNECTION
N/D metadata.product_name Costante: BARRACUDA CLOUDGEN FIREWALL
N/D metadata.vendor_name Costante: BARRACUDA CLOUDGEN FIREWALL
N/D security_result.severity Costante: INFORMATIONAL
server event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
service event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
box event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
startport event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
endport event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
request_type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
request_key event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
syslogpriority event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
peer event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
origin event.idm.read_only_udm.principal.application Mappato dal log delle modifiche
desc event.idm.read_only_udm.metadata.description Mappato dal log delle modifiche
principal_user_id event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
cn_data event.idm.read_only_udm.principal.user.group_identifiers Mappato dal log delle modifiche
src_port event.idm.read_only_udm.principal.port Mappato dal log delle modifiche
column1 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column3 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column9 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column12 event.idm.read_only_udm.security_result.rule_id Mappato dal log delle modifiche
column4 event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
column2 event.idm.read_only_udm.network.ip_protocol Mappato dal log delle modifiche
ts_timestamp event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.