Raccogliere i log di Cisco APIC

Supportato in:

Questo documento spiega come importare i log Cisco APIC in Google Security Operations utilizzando Bindplane. Il parser estrae i campi dai log formattati syslog. Utilizza grok e/o kv per analizzare il messaggio di log e poi mappa questi valori al modello Unified Data Model (UDM). Imposta anche i valori predefiniti dei metadati per l'origine e il tipo di evento.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Windows 2016 o versioni successive oppure un host Linux con systemd
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
  • Accesso con privilegi alla console di gestione Cisco APIC

Recuperare il file di autenticazione importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

  1. Accedi al file di configurazione:

    1. Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
    2. Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Specify the log type that matches your Chronicle feed configuration
    # Commonly used: CISCO_ACI or CISCO_APIC depending on your setup
    log_type: 'CISCO_APIC'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
    • Sostituisci <customer_id> con l'ID cliente effettivo.
    • Aggiorna /path/to/ingestion-authentication-file.json al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.
    • Assicurati che il valore di log_type corrisponda al tipo di log selezionato nella configurazione del feed Google SecOps.

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart bindplane-agent

  • Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura l'inoltro Syslog su Cisco APIC

Configurare i contratti di gestione

  1. Accedi alla console Cisco APIC.
  2. Vai a Tenant > mgmt > Norme di sicurezza.
  3. Verifica che i contratti di gestione consentano UDP sulla porta 514:
    • Per la gestione fuori banda: assicurati che il contratto OOB consenta la porta UDP 514.
    • Per la gestione in banda: assicurati che il contratto INB consenta la porta UDP 514.
  4. Se necessario, crea o modifica i filtri per consentire la porta UDP 514 per la EPG di gestione selezionata.

Crea gruppo di destinazione per il monitoraggio di Syslog

  1. Vai ad Amministrazione > Collector di dati esterni > Destinazioni di monitoraggio > Syslog.
  2. Fai clic sul segno + per creare un gruppo di destinazioni di monitoraggio Syslog.
  3. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci un nome descrittivo (ad esempio, Google SecOps Syslog).
    • Descrizione: inserisci una descrizione (ad esempio, Syslog destination for Google SecOps).
    • Stato amministratore: seleziona Attivato.
    • Formato: seleziona aci (opzione consigliata) o nxos.
  4. Fai clic su Avanti.
  5. Nella sezione Crea destinazione remota Syslog, fornisci i seguenti dettagli di configurazione:
    • Nome host/IP: inserisci l'indirizzo IP dell'agente BindPlane.
    • Nome: inserisci un nome descrittivo per la destinazione.
    • Stato amministratore: seleziona Attivato.
    • Gravità: seleziona Informazioni (o il livello di gravità che preferisci).
    • Porta: inserisci 514 (o la porta configurata nell'agente BindPlane).
    • EPG di gestione: seleziona l'EPG di gestione appropriata:
      • default (Out-of-Band) per la gestione OOB
      • inb-default per la gestione in-band
    • Struttura di inoltro: seleziona local7 (o la struttura che preferisci).
  6. Fai clic su OK.
  7. Rivedi la configurazione e fai clic su Fine.

Configura l'origine syslog della policy di Fabric

  1. Vai a Fabric > Fabric Policies > Monitoring Policies.
  2. Espandi default e seleziona Callhome/SNMP/Syslog.
  3. Fai clic sul segno + per creare un'origine syslog.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome origine: inserisci un nome (ad esempio, fabric-syslog-source).
    • Gravità minima: seleziona Informazioni.
    • Includi: seleziona Seleziona tutto per includere audit log, eventi, errori e log di sessione.
    • Gruppo di destinazione: seleziona il gruppo di destinazione di monitoraggio syslog creato in precedenza.
  5. Fai clic su Invia.

Configurare l'origine syslog della policy comune

  1. Vai a Fabric > Fabric Policies > Monitoring Policies.
  2. Espandi common e seleziona Callhome/SNMP/Syslog.
  3. Fai clic su + per creare un'origine syslog.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome origine: inserisci un nome (ad esempio, common-syslog-source).
    • Gravità minima: seleziona Informazioni.
    • Includi: seleziona Seleziona tutto per includere audit log, eventi, errori e log di sessione.
    • Gruppo di destinazione: seleziona il gruppo di destinazione di monitoraggio syslog creato in precedenza.
  5. Fai clic su Invia.

Configura l'origine syslog del criterio di accesso

  1. Vai a Fabric > Criteri di accesso > Criteri di monitoraggio.
  2. Espandi default e seleziona Callhome/SNMP/Syslog.
  3. Fai clic sul segno + per creare un'origine syslog.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome origine: inserisci un nome (ad esempio, access-syslog-source).
    • Gravità minima: seleziona Informazioni.
    • Includi: seleziona Seleziona tutto per includere audit log, eventi, errori e log di sessione.
    • Gruppo di destinazione: seleziona il gruppo di destinazione di monitoraggio syslog creato in precedenza.
  5. Fai clic su Invia.

Configurare i criteri per i messaggi di sistema (facoltativo)

  1. Vai a Fabric > Fabric Policies > Monitoring Policies.
  2. Espandi common > System Message Policies.
  3. Seleziona Policy for System Syslog Messages (Norme per i messaggi Syslog di sistema).
  4. Seleziona la struttura predefinita.
  5. Modifica Gravità in Informazioni.
  6. Fai clic su Aggiorna.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.