Mengumpulkan log switch Brocade

Versi Parser: 5.0

Didukung di:

Dokumen ini menjelaskan cara menyerap log switch Brocade ke Google Security Operations menggunakan agen Bindplane.

Switch Brocade (switch SAN Fibre Channel) menghasilkan pesan syslog untuk peristiwa fabric, perubahan zona, aktivitas login/logout, dan peristiwa sistem. Parser menormalisasi kolom dan memetakannya ke Model Data Terpadu (UDM).

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Konektivitas jaringan antara agen Bindplane dan switch Brocade
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
  • Akses administratif ke switch Brocade menggunakan SSH atau Telnet

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan

  4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.

  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sc query observiq-otel-collector

    Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sudo systemctl status observiq-otel-collector

    Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

  • Ganti seluruh konten config.yaml dengan konfigurasi berikut:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/brocade_switch:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: BROCADE_SWITCH
        raw_log_field: body

service:
    pipelines:
        logs/brocade_switch_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/brocade_switch

Parameter konfigurasi

Ganti placeholder berikut:

  • Konfigurasi penerima:

    • listen_address: Alamat IP dan port yang akan diproses:
      • 0.0.0.0 untuk mendengarkan di semua antarmuka (direkomendasikan)
      • Port 514 adalah port syslog standar (memerlukan root di Linux; gunakan 1514 untuk non-root)

  • Konfigurasi pengekspor:

    • creds_file_path: Jalur lengkap ke file autentikasi penyerapan:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID Pelanggan yang disalin dari konsol Google SecOps
    • endpoint: URL endpoint regional:
      • Amerika Serikat: malachiteingestion-pa.googleapis.com
      • Eropa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Lihat Endpoint Regional untuk mengetahui daftar lengkapnya

Simpan file konfigurasi

  • Setelah mengedit, simpan file:
    • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
    • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart observiq-otel-collector

    1. Pastikan layanan sedang berjalan:

      ```bash
sudo systemctl status observiq-otel-collector
```

    2. Periksa log untuk mengetahui error:

      ```bash
sudo journalctl -u observiq-otel-collector -f
```

  • Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

    • Command Prompt atau PowerShell sebagai administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Konsol layanan:

      1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
      2. Cari observIQ OpenTelemetry Collector.
      3. Klik kanan, lalu pilih Mulai ulang.

      4. Pastikan layanan sedang berjalan:

        sc query observiq-otel-collector

      5. Periksa log untuk mengetahui error:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi ekspor syslog dari switch Brocade

  1. Hubungkan ke switch Brocade menggunakan SSH atau Telnet dengan kredensial yang sesuai.

  2. Jalankan perintah berikut untuk menentukan alamat IP dan Port server syslog (Bindplane):

    syslogadmin --set -ip <BINDPLANE_IP> -port 514

  3. Jalankan perintah berikut untuk menampilkan server syslog yang dikonfigurasi:

    syslogadmin --show -ip

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
application additional.fields[].key: "application"
additional.fields[].value.string_value:		 Nilai diekstrak dari kolom application@1588 di log mentah saat kolom KV_DATA ada.
class additional.fields[].key: "class"
additional.fields[].value.string_value:		 Nilai diekstrak dari kolom class@1588 di log mentah saat kolom KV_DATA ada.
domain principal.administrative_domain Nilai yang diekstrak dari pola grok yang cocok dengan kolom domain.
Event additional.fields[].key: "event_category"
additional.fields[].value.string_value:		 Nilai diekstrak dari kolom arg0@1588 di log mentah saat kolom KV_DATA ada.
event_id metadata.product_log_id Nilai yang diekstrak dari pola grok yang cocok dengan kolom event_id.
event_type metadata.product_event_type Nilai yang diekstrak dari pola grok yang cocok dengan kolom event_type.
flags additional.fields[].key: "flags"
additional.fields[].value.string_value:		 Nilai yang diekstrak dari pola grok yang cocok dengan kolom flags.
Info metadata.description Nilai yang diekstrak dari kolom Info, diuraikan menggunakan grok.
interface app_protocol_src Nilai diekstrak dari kolom interface@1588 di log mentah saat kolom KV_DATA ada. Digunakan untuk mendapatkan network.application_protocol.
ip principal.ip Nilai yang diekstrak dari kolom ip, diuraikan menggunakan grok. Digabungkan ke principal.ip jika tidak sama dengan IP yang diekstrak dari kolom Info.
Info, IP Addr principal.ip Nilai yang diekstrak dari kolom IP Addr dalam kolom Info, diuraikan menggunakan grok.
log additional.fields[].key: "log"
additional.fields[].value.string_value:		 Nilai diekstrak dari kolom log@1588 di log mentah saat kolom KV_DATA ada.
msg metadata.description Nilai yang diekstrak dari kolom msg, diuraikan menggunakan grok.
msgid additional.fields[].key: "msgid"
additional.fields[].value.string_value:		 Nilai diekstrak dari kolom msgid@1588 di log mentah saat kolom KV_DATA ada.
prin_host principal.hostname
principal.asset.hostname		 Nilai yang diekstrak dari pola grok yang cocok dengan kolom prin_host.
product_version metadata.product_version Nilai yang diekstrak dari pola grok yang cocok dengan kolom product_version.
repeat_count additional.fields[].key: "repeat_count"
additional.fields[].value.string_value:		 Nilai yang diekstrak dari kolom msg, diuraikan menggunakan grok.
role, user_role principal.user.attribute.roles[].name Nilai yang diekstrak dari kolom role@1588 atau user_role. Jika nilainya adalah "admin", nilai tersebut akan diganti dengan "Admin".
sequence_number additional.fields[].key: "sequence_number"
additional.fields[].value.string_value:		 Nilai yang diekstrak dari pola grok yang cocok dengan kolom sequence_number.
severity security_result.severity Nilai yang diekstrak dari kolom severity, diuraikan menggunakan grok. Dipetakan ke nilai tingkat keparahan UDM (INFORMATIONAL, ERROR, CRITICAL, MEDIUM).
Status security_result.summary Nilai yang diekstrak dari kolom Status.
switch_name additional.fields[].key: "switch_name"
additional.fields[].value.string_value:		 Nilai yang diekstrak dari pola grok yang cocok dengan kolom switch_name.
target_application target.application Nilai yang diekstrak dari pola grok yang cocok dengan kolom target_application.
time additional.fields[].key: "time"
additional.fields[].value.string_value:		 Nilai yang diekstrak dari kolom time dalam kolom kv_data3.
timestamp metadata.event_timestamp.seconds Nilai yang diekstrak dari kolom timestamp, diuraikan menggunakan filter tanggal.
user principal.user.userid
principal.user.user_display_name		 Nilai yang diekstrak dari kolom user atau user@1588, diuraikan menggunakan grok. Disalin dari principal.hostname. Disalin dari principal.ip. Disalin dari metadata.product_event_type atau ditetapkan ke "STATUS_UPDATE" berdasarkan kondisi. Disalin dari create_time.nanos log. Ditentukan oleh logika parser berdasarkan nilai has_principal, has_target, has_userid, dan event_type. Dapat berupa "SYSTEM_AUDIT_LOG_UNCATEGORIZED", "STATUS_UPDATE", atau "GENERIC_EVENT". Hardcode ke "BROCADE_SWITCH". Hardcode ke "BROCADE". Hardcode ke "BROCADE_SWITCH". Diperoleh dari kolom interface atau ditetapkan ke "SSH" jika kolom interface berisi "SSH".
CLI event.idm.read_only_udm.metadata.description Dipetakan dari log perubahan
prin_host event.idm.read_only_udm.intermediary.hostname Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.