Recopila registros de Cisco APIC

Compatible con:

En este documento, se explica cómo transferir registros de Cisco APIC a Google Security Operations con Bindplane. El analizador extrae campos de los registros con formato de syslog. Utiliza grok o kv para analizar el mensaje de registro y, luego, asigna estos valores al Modelo de datos unificados (UDM). También establece valores de metadatos predeterminados para el origen y el tipo del evento.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host de Linux con systemd
  • Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
  • Acceso con privilegios a la consola de administración de Cisco APIC

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recopilación.
  3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:

    1. Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    2. Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Specify the log type that matches your Chronicle feed configuration
    # Commonly used: CISCO_ACI or CISCO_APIC depending on your setup
    log_type: 'CISCO_APIC'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.
    • Reemplaza <customer_id> por el ID de cliente real.
    • Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso en la que se guardó el archivo de autenticación en la sección Cómo obtener el archivo de autenticación de la transferencia de datos de Google SecOps.
    • Asegúrate de que el valor de log_type coincida con el tipo de registro seleccionado en la configuración de tu feed de Google SecOps.

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura el reenvío de Syslog en Cisco APIC

Configura contratos de administración

  1. Accede a la consola de Cisco APIC.
  2. Ve a Tenants > mgmt > Security Policies.
  3. Verifica que los contratos de administración permitan el protocolo UDP en el puerto 514:
    • Para la administración fuera de banda: Asegúrate de que el contrato de OOB permita el puerto UDP 514.
    • Para la administración integrada: Asegúrate de que el contrato INB permita el puerto UDP 514.
  4. Si es necesario, crea o modifica filtros para permitir el puerto UDP 514 para la EPG de administración seleccionada.

Crea un grupo de destinos de supervisión de Syslog

  1. Ve a Administrador > Recopiladores de datos externos > Destinos de supervisión > Syslog.
  2. Haz clic en el signo + para crear un grupo de destinos de supervisión de Syslog.
  3. Proporciona los siguientes detalles de configuración:
    • Nombre: Ingresa un nombre descriptivo (por ejemplo, Google SecOps Syslog).
    • Descripción: Ingresa una descripción (por ejemplo, Syslog destination for Google SecOps).
    • Estado de administrador: Selecciona habilitado.
    • Formato: Selecciona aci (recomendado) o nxos.
  4. Haz clic en Siguiente.
  5. En la sección Create Syslog Remote Destination, proporciona los siguientes detalles de configuración:
    • Nombre de host/IP: Ingresa la dirección IP del agente de BindPlane.
    • Nombre: Ingresa un nombre descriptivo para el destino.
    • Estado de administrador: Selecciona habilitado.
    • Gravedad: Selecciona información (o el nivel de gravedad que prefieras).
    • Puerto: Ingresa 514 (o el puerto configurado en el agente de BindPlane).
    • EPG de administración: Selecciona el EPG de administración adecuado:
      • default (Out-of-Band) para la administración fuera de banda
      • inb-default para la administración dentro de la banda
    • Forwarding Facility: Selecciona local7 (o la instalación que prefieras).
  6. Haz clic en Aceptar.
  7. Revisa la configuración y haz clic en Finish.

Configura la fuente de Syslog de la política de Fabric

  1. Ve a Fabric > Fabric Policies > Monitoring Policies.
  2. Expande default y selecciona Callhome/SNMP/Syslog.
  3. Haz clic en el signo + para crear una fuente de syslog.
  4. Proporciona los siguientes detalles de configuración:
    • Nombre de la fuente: Ingresa un nombre (por ejemplo, fabric-syslog-source).
    • Min Severity: Selecciona information.
    • Incluir: Selecciona Marcar todo para incluir los registros de auditoría, los registros de eventos, los registros de errores y los registros de sesiones.
    • Destination Group: Selecciona el grupo de destino de supervisión de syslog que creaste antes.
  5. Haz clic en Enviar.

Configura la fuente de syslog de la política común

  1. Ve a Fabric > Fabric Policies > Monitoring Policies.
  2. Expande common y selecciona Callhome/SNMP/Syslog.
  3. Haz clic en + para crear una fuente de syslog.
  4. Proporciona los siguientes detalles de configuración:
    • Nombre de la fuente: Ingresa un nombre (por ejemplo, common-syslog-source).
    • Min Severity: Selecciona information.
    • Incluir: Selecciona Marcar todo para incluir los registros de auditoría, los registros de eventos, los registros de errores y los registros de sesiones.
    • Destination Group: Selecciona el grupo de destino de supervisión de syslog que creaste antes.
  5. Haz clic en Enviar.

Configura la fuente de Syslog de la política de acceso

  1. Ve a Fabric > Políticas de acceso > Políticas de supervisión.
  2. Expande default y selecciona Callhome/SNMP/Syslog.
  3. Haz clic en el signo + para crear una fuente de syslog.
  4. Proporciona los siguientes detalles de configuración:
    • Nombre del origen: Ingresa un nombre (por ejemplo, access-syslog-source).
    • Min Severity: Selecciona information.
    • Incluir: Selecciona Marcar todo para incluir los registros de auditoría, los registros de eventos, los registros de errores y los registros de sesiones.
    • Destination Group: Selecciona el grupo de destino de supervisión de syslog que creaste antes.
  5. Haz clic en Enviar.

Configura la política de mensajes del sistema (opcional)

  1. Ve a Fabric > Fabric Policies > Monitoring Policies.
  2. Expande common > System Message Policies.
  3. Selecciona Política para mensajes de registro del sistema.
  4. Selecciona la instalación predeterminada.
  5. Cambia Gravedad a Información.
  6. Haz clic en Actualizar.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.