Recopila registros de switches de Brocade

Versión del analizador: 5.0

Compatible con:

En este documento, se explica cómo transferir registros de conmutadores de Brocade a Google Security Operations con el agente de Bindplane.

Los switches Brocade (switches SAN de canal de fibra) generan mensajes de syslog para eventos de estructura, cambios de zona, actividad de acceso y salida, y eventos del sistema. El analizador normaliza los campos y los asigna al modelo de datos unificado (UDM).

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Windows Server 2016 o posterior, o host de Linux con systemd
  • Conectividad de red entre el agente de Bindplane y el interruptor de Brocade
  • Si se ejecuta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos según los requisitos del agente de Bindplane
  • Acceso de administrador al switch de Brocade con SSH o Telnet

Obtén credenciales de Google SecOps para el agente de Bindplane

Para autenticar el agente de Bindplane en Google SecOps, elige uno de los siguientes métodos:

  • Implementaciones nuevas: Usa la API de Chronicle (opción 1).
  • Implementaciones heredadas: Sigue usando el archivo de autenticación de transferencia (opción 2) hasta que se descontinúe la API de Ingestion el 20 de julio de 2027.
  1. Accede a la consola deGoogle Cloud y selecciona el proyecto de Google Cloud que está vinculado a tu instancia de Google SecOps.
  2. Ve a IAM y administración > Cuentas de servicio.
  3. Haga clic en Crear cuenta de servicio.
  4. Proporciona los siguientes detalles de configuración:
    • Nombre de la cuenta de servicio: Ingresa un nombre para la cuenta (por ejemplo, bindplane-ingest).
    • Descripción de la cuenta de servicio: Ingresa una descripción (por ejemplo, Bindplane agent log ingestion).
  5. Haz clic en Crear y continuar.
  6. En la sección Otorga a esta cuenta de servicio acceso al proyecto, haz clic en Seleccionar un rol y elige Editor de Chronicle.
  7. Haz clic en Continuar y, luego, en Listo.
  8. Haz clic en la cuenta de servicio que creaste y, luego, ve a la pestaña Claves.
  9. Haz clic en Agregar clave > Crear clave nueva.
  10. Selecciona JSON y haz clic en Crear. El archivo de claves se descargará en tu computadora.
  11. Guarda el archivo de claves como ingestion-auth.json en el directorio del recopilador de Bindplane (/opt/observiq-otel-collector/ingestion-auth.json en Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json en Windows) o actualiza creds_file_path en config.yaml para que coincida con la ruta de acceso en la que lo guardas.
  12. Ve a IAM y administración > Configuración y copia el Número de proyecto. Lo necesitarás para la configuración del exportador.

Opción 2: Descarga el archivo de autenticación de transferencia (heredado)

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración > Administración de datos > Agentes de recopilación. Si estás en una plataforma solo de SIEM, ve a Configuración > Agentes de recopilación.
  3. Descarga el archivo de autenticación de transferencia.
  4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración > Administración > Perfil. Si estás en una plataforma solo de SIEM, ve a Configuración > Perfil.

  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el comando siguiente:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sc query observiq-otel-collector

    El servicio debería mostrarse como RUNNING.

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el comando siguiente:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sudo systemctl status observiq-otel-collector

    El servicio debería mostrarse como active (running).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solución de problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir syslog y enviarlo a Google SecOps

Ubica el archivo de configuración

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

  • Reemplaza todo el contenido de config.yaml por la siguiente configuración:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/brocade_switch:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: BROCADE_SWITCH
    raw_log_field: body

service:
  pipelines:
    logs/brocade_switch_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/brocade_switch

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

  • Configuración del receptor:

    • listen_address: Es la dirección IP y el puerto que se escucharán:
      • 0.0.0.0 para escuchar en todas las interfaces (recomendado)
      • El puerto 514 es el puerto estándar de syslog (requiere acceso raíz en Linux; usa 1514 para acceso no raíz)

  • Configuración del exportador:

    • creds_file_path: Ruta de acceso completa al archivo de claves JSON de la cuenta de servicio (opción 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Es el ID de cliente copiado de la consola de Google SecOps.
    • location: Reemplaza <LOCATION> por la región de tu instancia de Google SecOps (por ejemplo, us, europe o asia-southeast1). El exportador agrega el prefijo chronicle.googleapis.com con este valor. Consulta Extremos regionales para obtener la lista completa.
    • project: Reemplaza <PROJECT_NUMBER> por el número de proyecto de IAM y administración > Configuración.
    • endpoint: Mantén la configuración como chronicle.googleapis.com.

Exportador de la API de transferencia heredada

  • Si usas el archivo de autenticación de transferencia de la opción 2, reemplaza el bloque exporters por lo siguiente. Establece creds_file_path en la ruta de acceso al archivo de autenticación de transferencia y, si tu instancia está fuera de EE.UU., reemplaza malachiteingestion-pa.googleapis.com por tu extremo regional (por ejemplo, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/brocade_switch:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: BROCADE_SWITCH
    raw_log_field: body

Guarda el archivo de configuración

  • Después de editarlo, guarda el archivo:
    • Linux: Presiona Ctrl+O, luego Enter y, por último, Ctrl+X
    • Windows: Haz clic en Archivo > Guardar.

Reinicia el agente de Bindplane para aplicar los cambios.

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica que el servicio esté en ejecución:

      ```bash
sudo systemctl status observiq-otel-collector
```

    2. Revisa los registros en busca de errores:

      ```bash
sudo journalctl -u observiq-otel-collector -f
```

  • Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:

    • Símbolo del sistema o PowerShell como administrador:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Consola de servicios:

      1. Presiona Win+R, escribe services.msc y presiona Intro.
      2. Busca observIQ OpenTelemetry Collector.
      3. Haz clic con el botón derecho y selecciona Reiniciar.

      4. Verifica que el servicio esté en ejecución:

        sc query observiq-otel-collector

      5. Revisa los registros en busca de errores:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configura la exportación de syslog desde un interruptor de Brocade

  1. Conéctate al switch de Brocade con SSH o Telnet con las credenciales adecuadas.

  2. Ejecuta el siguiente comando para especificar la dirección IP y el puerto del servidor Syslog (Bindplane):

    syslogadmin --set -ip <BINDPLANE_IP> -port 514

  3. Ejecuta el siguiente comando para mostrar los servidores Syslog configurados:

    syslogadmin --show -ip

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
application additional.fields[].key: "application"
additional.fields[].value.string_value:		 Es el valor extraído del campo application@1588 en el registro sin procesar cuando existe el campo KV_DATA.
class additional.fields[].key: "class"
additional.fields[].value.string_value:		 Es el valor extraído del campo class@1588 en el registro sin procesar cuando existe el campo KV_DATA.
domain principal.administrative_domain Es el valor extraído del patrón de grok que coincide con el campo domain.
Event additional.fields[].key: "event_category"
additional.fields[].value.string_value:		 Es el valor extraído del campo arg0@1588 en el registro sin procesar cuando existe el campo KV_DATA.
event_id metadata.product_log_id Es el valor extraído del patrón de grok que coincide con el campo event_id.
event_type metadata.product_event_type Es el valor extraído del patrón de grok que coincide con el campo event_type.
flags additional.fields[].key: "flags"
additional.fields[].value.string_value:		 Es el valor extraído del patrón de grok que coincide con el campo flags.
Info metadata.description Es el valor extraído del campo Info, analizado con grok.
interface app_protocol_src Es el valor extraído del campo interface@1588 en el registro sin procesar cuando existe el campo KV_DATA. Se usa para derivar network.application_protocol.
ip principal.ip Es el valor extraído del campo ip, analizado con grok. Se combina en principal.ip si no es igual a la IP extraída del campo Info.
Info, IP Addr principal.ip Es el valor extraído del campo IP Addr dentro del campo Info, analizado con grok.
log additional.fields[].key: "log"
additional.fields[].value.string_value:		 Es el valor extraído del campo log@1588 en el registro sin procesar cuando existe el campo KV_DATA.
msg metadata.description Es el valor extraído del campo msg, analizado con grok.
msgid additional.fields[].key: "msgid"
additional.fields[].value.string_value:		 Es el valor extraído del campo msgid@1588 en el registro sin procesar cuando existe el campo KV_DATA.
prin_host principal.hostname
principal.asset.hostname		 Es el valor extraído del patrón de grok que coincide con el campo prin_host.
product_version metadata.product_version Es el valor extraído del patrón de grok que coincide con el campo product_version.
repeat_count additional.fields[].key: "repeat_count"
additional.fields[].value.string_value:		 Es el valor extraído del campo msg, analizado con grok.
role, user_role principal.user.attribute.roles[].name Es el valor extraído del campo role@1588 o user_role. Si el valor es "admin", se reemplaza por "Admin".
sequence_number additional.fields[].key: "sequence_number"
additional.fields[].value.string_value:		 Es el valor extraído del patrón de grok que coincide con el campo sequence_number.
severity security_result.severity Es el valor extraído del campo severity, analizado con grok. Se asigna a los valores de gravedad de UDM (INFORMATIONAL, ERROR, CRITICAL, MEDIUM).
Status security_result.summary Es el valor extraído del campo Status.
switch_name additional.fields[].key: "switch_name"
additional.fields[].value.string_value:		 Es el valor extraído del patrón de grok que coincide con el campo switch_name.
target_application target.application Es el valor extraído del patrón de grok que coincide con el campo target_application.
time additional.fields[].key: "time"
additional.fields[].value.string_value:		 Es el valor extraído del campo time dentro del campo kv_data3.
timestamp metadata.event_timestamp.seconds Es el valor extraído del campo timestamp, analizado con el filtro de fecha.
user principal.user.userid
principal.user.user_display_name		 Es el valor extraído del campo user o user@1588, analizado con grok. Se copió de principal.hostname. Se copió de principal.ip. Se copia de metadata.product_event_type o se establece en "STATUS_UPDATE" según las condiciones. Se copia del create_time.nanos del registro. Se determina según la lógica del analizador en función de los valores de has_principal, has_target, has_userid y event_type. Puede ser "SYSTEM_AUDIT_LOG_UNCATEGORIZED", "STATUS_UPDATE" o "GENERIC_EVENT". Está codificado como "BROCADE_SWITCH". Está codificado como "BROCADE". Está codificado como "BROCADE_SWITCH". Se deriva del campo interface o se establece en "SSH" si el campo interface contiene "SSH".
CLI event.idm.read_only_udm.metadata.description Asignado desde el registro de cambios
prin_host event.idm.read_only_udm.intermediary.hostname Asignado desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.