איסוף יומנים של Big Switch BigCloudFabric

גרסת כלי הניתוח: 2.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Big Switch BigCloudFabric ב-Google Security Operations באמצעות סוכן Bindplane.

‫Arista Networks Big Cloud Fabric‏ (BCF), שנקרא עכשיו Converged Cloud Fabric‏ (CCF), הוא פתרון של שירותי Networking מוגדרי-תוכנה (SDN) שמספק ניהול אוטומטי של רשת מרכז נתונים באמצעות בקר מרכזי. הבקר BCF/CCF מנהל ארכיטקטורות של רשתות מסוג leaf-spine, ומספק יכולות ריכוזיות להגדרה, למעקב ולפתרון בעיות ברשתות של מרכזי נתונים ארגוניים. המוצר הזה פותח במקור על ידי Big Switch Networks לפני שנרכש על ידי Arista Networks.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות לרשת בין סוכן Bindplane לבין בקר BCF/CCF
  • אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • גישת אדמין לבקר BCF/CCF דרך ממשק משתמש גרפי או CLI
  • גרסה 2.5 ואילך של בקר BCF/CCF (לתמיכה ב-syslog)

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents.
  3. מורידים את קובץ האימות להטמעת נתונים.

  4. שומרים את הקובץ באופן מאובטח במערכת שבה רוצים להתקין את Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

איתור קובץ ההגדרות

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ ההגדרות

  1. מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/bigswitch_bcf:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: BIGSWITCH_BCF
        raw_log_field: body
        ingestion_labels:
            env: production
            source: bcf_controller

service:
    pipelines:
        logs/bcf_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/bigswitch_bcf

  2. מחליפים את ה-placeholders הבאים:

    • הגדרות המקלט:

      • המקלט מוגדר להאזין ליציאת UDP‏ 514 להודעות syslog מבקר BCF/CCF
      • כדי להשתמש ביציאה אחרת, משנים את 514 למספר היציאה הרצוי (לדוגמה, 1514 להתקנות Linux ללא הרשאות מיוחדות)

    • הגדרות של כלי הייצוא:

      • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:

        • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
        • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

      • ‫YOUR_CUSTOMER_ID: מחליפים ב-Customer ID. פרטים נוספים זמינים במאמר בנושא קבלת מזהה לקוח ב-Google SecOps.

      • ‫endpoint: כתובת URL של נקודת קצה אזורית:

        • ארה"ב: malachiteingestion-pa.googleapis.com
        • אירופה: europe-malachiteingestion-pa.googleapis.com
        • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
        • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

      • ‫log_type: מוגדר ל-BIGSWITCH_BCF (לא משנים)

      • ‫ingestion_labels: תוויות אופציונליות לסיווג יומנים (אפשר להתאים אישית לפי הצורך)

שמירת קובץ ההגדרות

אחרי שמסיימים לערוך, שומרים את הקובץ:

  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

    1. מריצים את הפקודה הבאה:

      sudo systemctl restart observiq-otel-collector

    2. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    3. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את סוכן Bindplane ב-Windows:

    1. בוחרים אחת מהאפשרויות האלה:

      • שורת הפקודה או PowerShell כאדמין:

        net stop observiq-otel-collector && net start observiq-otel-collector

      • מסוף השירותים:

        1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
        2. מחפשים את observIQ OpenTelemetry Collector.
        3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    2. מוודאים שהשירות פועל:

      sc query observiq-otel-collector

    3. בודקים אם יש שגיאות ביומנים:

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog של Big Switch BigCloudFabric

מגדירים את בקר BCF/CCF להעברת הודעות syslog לסוכן Bindplane באמצעות ממשק המשתמש הגרפי או שיטת ה-CLI.

שיטה 1: הגדרת syslog באמצעות ממשק המשתמש הגרפי

  1. נכנסים לממשק האינטרנט של בקר BCF/CCF באמצעות פרטי הכניסה של האדמין.
  2. עוברים אל תחזוקה > רישום ביומן.
  3. לוחצים על הכרטיסייה Remote Logging (רישום ביומן מרחוק).
  4. כדי ליצור הגדרה חדשה של שרת syslog מרוחק, לוחצים על הוספה.
  5. מספקים את פרטי ההגדרה הבאים:
    • שרת: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
    • יציאה: מזינים 514 (או את היציאה שהוגדרה בקובץ Bindplane agent config.yaml).
    • פרוטוקול: בוחרים באפשרות UDP.
  6. לוחצים על שמירה או על אישור כדי לשמור את ההגדרה.
  7. מוודאים שההגדרה מופיעה ברשימה Remote Logging (רישום ביומן מרחוק).

שיטה 2: הגדרת syslog באמצעות ה-CLI

  1. מתחברים לבקר BCF/CCF באמצעות SSH עם פרטי הכניסה של האדמין.

  2. מזינים את הפקודה enable:

    controller-1> enable

  3. נכנסים למצב הגדרה:

    controller-1# configure

  4. מגדירים את שרת ה-syslog המרוחק:

    controller-1(config)# logging remote 192.168.1.100

    מחליפים את 192.168.1.100 בכתובת ה-IP של המארח של סוכן Bindplane.

  5. יציאה ממצב ההגדרה:

    controller-1(config)# exit

  6. בודקים את ההגדרות של syslog:

    controller-1# show logging

    בפלט אמורה להופיע כתובת ה-IP של שרת ה-syslog המרוחק שהוגדר.

אימות העברת היומנים

  1. כדי ליצור אירועים ביומן הבדיקה ב-BCF/CCF Controller, מבצעים שינויים בהגדרות או צופים בסטטוס המערכת.

  2. בודקים את היומנים של סוכן Bindplane כדי לוודא שהודעות syslog מתקבלות:

    • Linux:

      sudo journalctl -u observiq-otel-collector -f

    • ‫Windows:

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

  3. נכנסים למסוף Google SecOps ומוודאים שהיומנים מופיעים בממשק Search עם התווית BIGSWITCH_BCF.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
description metadata.description הערך הועתק ישירות, והוסרו רווחים לבנים בתחילת הטקסט או בסופו
target_host, time, product_event_type, description, application metadata.event_type הערך הוא STATUS_HEARTBEAT אם target_host ו-time לא ריקים; הערך הוא SERVICE_STOP אם product_event_type == PORT_DOWN; הערך הוא SERVICE_START אם description תואם ל-‎ ".Running job."‎ או product_event_type == PORT_UP או application == snmpd-execstart; הערך הוא STATUS_SHUTDOWN אם description תואם ל-‎ ".status down."‎; ‫SERVICE_DELETION אם product_event_type == Removing Endpoint;‏ SERVICE_CREATION אם product_event_type == Adding Endpoint;‏ SERVICE_MODIFICATION אם product_event_type == Moving Endpoint או אם התיאור תואם ל-‎ ".change instances."; NETWORK_CONNECTION if target_host not empty; else GENERIC_EVENT
product_event_type metadata.product_event_type הערך הועתק ישירות
application_protocol network.application_protocol הערך הוא UNKNOWN_APPLICATION_PROTOCOL אם application_protocol == "lldpa"
מארח principal.hostname הערך הועתק ישירות
ip principal.ip הערך הועתק ישירות
process_id principal.process.pid הערך הועתק ישירות
משתמש principal.user.userid הערך הועתק ישירות
log_level security_result אובייקט עם רמת חומרה שמוגדרת כ-INFORMATIONAL אם INFO, ‏ MEDIUM אם WARN, ‏ HIGH אם ERROR; פעולה שמוגדרת כ-ALLOW אם INFO או WARN, ‏ BLOCK אם ERROR
אפליקציה target.application הערך הועתק ישירות
target_host target.hostname הערך הועתק ישירות
יציאה target.port הומר למספר שלם
פקודה target.process.command_line הערך הועתק ישירות
product_specific_id target.process.product_specific_process_id התחילית היא Bigswitch:‎
kv_1, kv2, kv3 target.user.group_identifiers הערך ממוזג מ-kv_1 אם הוא לא ריק, מ-kv2 אם הוא לא ריק, מ-kv3 אם הוא לא ריק
metadata.product_name הוגדר ל-Big Cloud Fabric
metadata.vendor_name הגדרה כ-Big Switch

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.