Raccogli i log di Big Switch BigCloudFabric

Versione parser: 2.0

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di Big Switch BigCloudFabric in Google Security Operations utilizzando l'agente Bindplane.

Arista Networks Big Cloud Fabric (BCF), ora noto come Converged Cloud Fabric (CCF), è una soluzione di networking software-defined (SDN) che fornisce la gestione automatizzata del fabric del data center tramite un controller centralizzato. Il controller BCF/CCF gestisce le architetture di rete leaf-spine, fornendo funzionalità centralizzate di configurazione, monitoraggio e risoluzione dei problemi per le reti dei data center aziendali. Questo prodotto è stato originariamente sviluppato da Big Switch Networks prima di essere acquisito da Arista Networks.

Nota: Big Switch Networks Big Cloud Fabric (BCF) è un prodotto ritirato. Arista Networks offre ora Converged Cloud Fabric (CCF) come prodotto successore. Questo documento si applica sia ai controller BCF che a quelli CCF.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Windows Server 2016 o versioni successive oppure host Linux con systemd
• Connettività di rete tra l'agente Bindplane e il controller BCF/CCF
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
• Accesso amministrativo al controller BCF/CCF tramite GUI o CLI
• Controller BCF/CCF versione 2.5 o successive (per il supporto di syslog)

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliato)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza di Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea account di servizio.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome account di servizio: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Gestione dei dati > Agenti di raccolta. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Amministrazione > Profilo. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Profilo.

3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

   customer ID

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come RUNNING.

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sudo systemctl status observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare il syslog e inviarlo a Google SecOps

Individua il file di configurazione

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

1. Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

   receivers:
     udplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/bigswitch_bcf:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
       customer_id: 'YOUR_CUSTOMER_ID'
       endpoint: chronicle.googleapis.com
       log_type: BIGSWITCH_BCF
       raw_log_field: body
       ingestion_labels:
         env: production
         source: bcf_controller
   
   service:
     pipelines:
       logs/bcf_to_chronicle:
         receivers:
           - udplog
         exporters:
           - chronicle/bigswitch_bcf
   

2. Sostituisci i seguenti segnaposto:

   • Configurazione del ricevitore:

     • Il ricevitore è configurato per l'ascolto sulla porta UDP 514 per i messaggi syslog dal controller BCF/CCF
     • Per utilizzare una porta diversa, sostituisci 514 con il numero di porta che preferisci (ad esempio, 1514 per le installazioni Linux non privilegiate)

   • Configurazione dell'esportatore:

     • creds_file_path: percorso completo del file della chiave JSON del account di servizio (opzione 1):

       • Linux: /opt/observiq-otel-collector/ingestion-auth.json
       • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

     • YOUR_CUSTOMER_ID: sostituisci con il tuo Customer ID. Per maggiori dettagli, consulta Recupera l'ID cliente Google SecOps.

     • location: sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore aggiunge chronicle.googleapis.com come prefisso a questo valore. Per l'elenco completo, consulta Endpoint regionali.

     • project: sostituisci <PROJECT_NUMBER> con il numero di progetto da IAM e amministrazione > Impostazioni.

     • endpoint: mantieni l'impostazione chronicle.googleapis.com.

     • log_type: impostato su BIGSWITCH_BCF (non modificare)

     • ingestion_labels: etichette facoltative per la categorizzazione dei log (personalizzale in base alle esigenze)

Esportatore API di importazione precedente

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/bigswitch_bcf:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: BIGSWITCH_BCF
      raw_log_field: body
      ingestion_labels:
        env: production
        source: bcf_controller
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Salva il file di configurazione

Dopo la modifica, salva il file:

• Linux: premi Ctrl+O, poi Enter e infine Ctrl+X
• Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux:

  1. Esegui questo comando:

     sudo systemctl restart observiq-otel-collector
     

  2. Verifica che il servizio sia in esecuzione:

     sudo systemctl status observiq-otel-collector
     

  3. Controlla i log per verificare la presenza di errori:

     sudo journalctl -u observiq-otel-collector -f
     

• Per riavviare l'agente Bindplane in Windows:

  1. Scegli una delle seguenti opzioni:

     • Prompt dei comandi o PowerShell come amministratore:

       net stop observiq-otel-collector && net start observiq-otel-collector
       

     • Console Servizi:

       1. Premi Win+R, digita services.msc e premi Invio.
       2. Individua observIQ OpenTelemetry Collector.
       3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

  2. Verifica che il servizio sia in esecuzione:

     sc query observiq-otel-collector
     

  3. Controlla i log per verificare la presenza di errori:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

Configura l'inoltro del syslog Big Switch BigCloudFabric

Configura il controller BCF/CCF per inoltrare i messaggi syslog all'agente Bindplane utilizzando il metodo GUI o CLI.

Metodo 1: configura syslog utilizzando la GUI

1. Accedi all'interfaccia web del controller BCF/CCF utilizzando le tue credenziali di amministratore.
2. Vai a Maintenance (Manutenzione) > Logging (Logging).
3. Fai clic sulla scheda Remote Logging (Logging remoto).
4. Fai clic su Aggiungi per creare una nuova configurazione del server syslog remoto.
5. Fornisci i seguenti dettagli di configurazione:
   • Server: inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
   • Port (Porta): inserisci 514 (o la porta configurata nel file config.yaml dell'agente Bindplane).
   • Protocollo: seleziona UDP.
6. Fai clic su Salva o Applica per salvare la configurazione.
7. Verifica che la configurazione venga visualizzata nell'elenco Logging remoto.

Metodo 2: configura syslog utilizzando l'interfaccia a riga di comando

1. Connettiti al controller BCF/CCF tramite SSH utilizzando le tue credenziali di amministratore.

2. Attiva la modalità di abilitazione:

   controller-1> enable
   

3. Attiva la modalità di configurazione:

   controller-1# configure
   

4. Configura il server syslog remoto:

   controller-1(config)# logging remote 192.168.1.100
   

   Sostituisci 192.168.1.100 con l'indirizzo IP dell'host dell'agente Bindplane.

5. Esci dalla modalità di configurazione:

   controller-1(config)# exit
   

6. Verifica la configurazione di syslog:

   controller-1# show logging
   

   L'output dovrebbe mostrare l'indirizzo IP del server syslog remoto configurato.

Verifica l'inoltro dei log

1. Genera eventi dei log di test sul controller BCF/CCF apportando modifiche alla configurazione o visualizzando lo stato del sistema.

2. Controlla i log dell'agente Bindplane per verificare che i messaggi syslog vengano ricevuti:

   • Linux:

     sudo journalctl -u observiq-otel-collector -f
     

   • Windows:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

3. Accedi alla console Google SecOps e verifica che i log vengano visualizzati nell'interfaccia di ricerca con l'etichetta di importazione BIGSWITCH_BCF.

   Nota: potrebbero essere necessari alcuni minuti prima che i log vengano visualizzati in Google SecOps dopo la configurazione iniziale.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
descrizione	metadata.description	Valore copiato direttamente, con gli spazi iniziali e finali rimossi
target_host, time, product_event_type, description, application	metadata.event_type	Impostato su STATUS_HEARTBEAT se target_host e time non sono vuoti; SERVICE_STOP se product_event_type == PORT_DOWN; SERVICE_START se la descrizione corrisponde a ".Running job." o product_event_type == PORT_UP o application == snmpd-execstart; STATUS_SHUTDOWN se la descrizione corrisponde a ".status down."; SERVICE_DELETION se product_event_type == Removing Endpoint; SERVICE_CREATION se product_event_type == Adding Endpoint; SERVICE_MODIFICATION se product_event_type == Moving Endpoint o la descrizione corrisponde a ".change instances."; NETWORK_CONNECTION se target_host non è vuoto; altrimenti GENERIC_EVENT
product_event_type	metadata.product_event_type	Valore copiato direttamente
application_protocol	network.application_protocol	Impostato su "UNKNOWN_APPLICATION_PROTOCOL" se application_protocol == "lldpa"
host	principal.hostname	Valore copiato direttamente
ip	principal.ip	Valore copiato direttamente
process_id	principal.process.pid	Valore copiato direttamente
UTENTE	principal.user.userid	Valore copiato direttamente
log_level	security_result	Oggetto con gravità impostata su INFORMATIONAL se INFO, MEDIUM se WARN, HIGH se ERROR; azione impostata su ALLOW se INFO o WARN, BLOCK se ERROR
applicazione	target.application	Valore copiato direttamente
target_host	target.hostname	Valore copiato direttamente
porta	target.port	Convertito in numero intero
COMMAND	target.process.command_line	Valore copiato direttamente
product_specific_id	target.process.product_specific_process_id	Con prefisso "Bigswitch:"
kv_1, kv2, kv3	target.user.group_identifiers	Unito da kv_1 se non vuoto, kv2 se non vuoto, kv3 se non vuoto
	metadata.product_name	Impostalo su "Big Cloud Fabric"
	metadata.vendor_name	Impostato su "Big Switch"

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.