Cisco CTS-Logs erfassen

Parserversion: 6.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Cisco CTS-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Cisco TelePresence System (CTS) bezieht sich auf ältere Hardware-Endpunkte für Videokonferenzen, darunter CTS 500, CTS 1000, CTS 1100, CTS 1300, CTS 3000, CTS 3200 und Systeme der TX-Serie. Diese immersiven Telepräsenz-Raumsysteme bieten hochauflösende Videokonferenzfunktionen und werden über den Cisco Unified Communications Manager (CUCM) verwaltet. Die Systeme generieren Syslog-Meldungen für Systemvorgänge, Anrufaktivitäten und die Fehlerbehebung.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem Bindplane-Agent und dem Cisco TelePresence-System
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Administratorzugriff auf Cisco Unified Communications Manager (CUCM)
  • Administratorzugriff auf die Cisco TelePresence System Administration-Oberfläche
  • Netzwerkverbindung vom CTS-Codec zum Bindplane-Agenten über UDP-Port 514 (oder konfigurierten Port)

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

  • Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
  • Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
  12. Rufen Sie IAM & Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Konfiguration des Exporters.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profil auf.

  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

  • Windows-Installation

    1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

    2. Führen Sie dazu diesen Befehl aus:

      msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

    3. Warte, bis die Installation abgeschlossen ist.

    4. Überprüfen Sie die Installation mit folgendem Befehl:

      sc query observiq-otel-collector

      Der Dienst sollte als RUNNING angezeigt werden.

  • Linux-Installation

    1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

    2. Führen Sie dazu diesen Befehl aus:

      sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

    3. Warte, bis die Installation abgeschlossen ist.

    4. Überprüfen Sie die Installation mit folgendem Befehl:

      sudo systemctl status observiq-otel-collector

      Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Problembehebung finden Sie im Installationsanleitung für den Bindplane-Agent.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  1. Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/cisco_cts:
        protocol: https
        # Region of your instance, for example us, europe, asia-southeast1
        location: <LOCATION>
        # Project number of the Google Cloud project linked to the instance
        project: '<PROJECT_NUMBER>'
        compression: gzip
        creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: chronicle.googleapis.com
        log_type: CISCO_CTS
        raw_log_field: body

service:
    pipelines:
        logs/cts_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/cisco_cts

  2. Ersetzen Sie die folgenden Platzhalter:

    • Empfängerkonfiguration:

      • Der Empfänger verwendet udplog für UDP-Syslog (Standard für CTS-Geräte).
      • listen_address ist auf 0.0.0.0:514 festgelegt, um alle Schnittstellen auf UDP-Port 514 zu überwachen.
      • Ändern Sie bei Linux-Systemen, die nicht als Root ausgeführt werden, den Port zu 1514 oder höher.

    • Exporter-Konfiguration:

      • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
        • Linux: /opt/observiq-otel-collector/ingestion-auth.json
        • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
      • customer_id: Ersetzen Sie YOUR_CUSTOMER_ID durch Ihre customer ID. Weitere Informationen finden Sie unter Google SecOps-Kundennummer abrufen.
      • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
      • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
      • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
      • log_type: Auf CISCO_CTS festlegen (genaue Übereinstimmung erforderlich)

Legacy-Ingestion-API-Exporter

  • Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
    chronicle/cisco_cts:
        compression: gzip
        creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CISCO_CTS
        raw_log_field: body

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:

  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

  • So starten Sie den Bindplane-Agenten unter Linux neu:

    1. Führen Sie dazu diesen Befehl aus:

      sudo systemctl restart observiq-otel-collector

    2. Prüfen Sie, ob der Dienst ausgeführt wird:

      sudo systemctl status observiq-otel-collector

    3. Logs auf Fehler prüfen:

      sudo journalctl -u observiq-otel-collector -f

  • So starten Sie den Bindplane-Agent unter Windows neu:

    1. Wählen Sie eine der folgenden Optionen aus:

      • Eingabeaufforderung oder PowerShell als Administrator:

        net stop observiq-otel-collector && net start observiq-otel-collector

      • Dienstkonsole:

      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Rechtsklicken Sie und wählen Sie Neu starten aus.

    2. Prüfen Sie, ob der Dienst ausgeführt wird:

      sc query observiq-otel-collector

    3. Prüfen Sie die Logs auf Fehler:

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Cisco CTS-Syslog-Weiterleitung konfigurieren

Die Syslog-Weiterleitung für das Cisco TelePresence System (CTS) wird über den Cisco Unified Communications Manager (CUCM) konfiguriert. Die externe Syslog-Adresse muss für jedes CTS-Gerät im produktspezifischen Konfigurationslayout konfiguriert werden.

Externe Syslog-Adresse in CUCM konfigurieren

  1. Melden Sie sich über einen Webbrowser in der Cisco Unified Communications Manager Administration-Oberfläche an.
  2. Gehen Sie zu Gerät > Smartphone.
  3. Verwenden Sie die Suchfunktion, um Ihr Cisco TelePresence-Systemgerät zu finden.
  4. Klicken Sie auf den Gerätenamen, um das Fenster Phone Configuration (Telefonkonfiguration) zu öffnen.
  5. Scrollen Sie nach unten zum Abschnitt Produktspezifisches Konfigurationslayout.
  6. Suchen Sie das Feld Externe SYSLOG-Adresse.

  7. Geben Sie im Feld Externe SYSLOG-Adresse die Adresse des Syslog-Servers in einem der folgenden Formate ein:

    • Nur IP-Adresse: 192.168.1.100 (verwendet den Standardport 514)
    • IP-Adresse mit Port: 192.168.1.100:514
    • Nur Hostname: bindplane-server.example.com (verwendet Standardport 514)
    • Hostname mit Port: bindplane-server.example.com:1514

  8. Klicken Sie unten auf der Seite auf Speichern, um die Konfiguration zu speichern.

  9. Klicken Sie auf Apply Config (Konfiguration anwenden), um die Änderungen auf das Gerät anzuwenden.

  10. Klicken Sie auf Zurücksetzen oder Neu starten, um das CTS-Gerät neu zu starten und die Syslog-Weiterleitung zu aktivieren.

Syslog-Konfiguration auf dem CTS-Gerät prüfen

  1. Öffnen Sie einen Webbrowser und rufen Sie die CTS-Verwaltungsoberfläche unter https://<CTS-IP-ADDRESS> auf.
  2. Melden Sie sich mit dem SSH-Administratornutzernamen und dem Passwort an, die in CUCM konfiguriert sind.
  3. Rufen Sie Konfiguration > Netzwerkeinstellungen auf.

  4. Prüfen Sie, ob im Feld Syslog-Adresse die IP-Adresse oder der Hostname Ihres Bindplane-Agents angezeigt wird.

Syslog für mehrere CTS-Geräte konfigurieren

Wenn Sie mehrere CTS-Geräte haben, wiederholen Sie die Konfigurationsschritte für jedes Gerät:

  1. Gehen Sie in CUCM zu Gerät > Telefon.
  2. Suchen Sie nach jedem CTS-Gerät und wählen Sie es aus.
  3. Konfigurieren Sie das Feld External SYSLOG Address (Externe SYSLOG-Adresse) im Abschnitt Product Specific Configuration Layout (Produktspezifisches Konfigurationslayout).
  4. Speichern Sie die Konfiguration für jedes Gerät und wenden Sie sie an.
  5. Starte jedes Gerät neu, um die Syslog-Weiterleitung zu aktivieren.

Prüfen, ob Syslog-Nachrichten empfangen werden

  1. Prüfen Sie die Bindplane-Agent-Logs, um zu bestätigen, dass Syslog-Nachrichten empfangen werden:

    • Linux:

      sudo journalctl -u observiq-otel-collector -f | grep -i cisco

    • Windows:

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log" | findstr /i cisco

  2. Melden Sie sich in der Google SecOps-Konsole an.

  3. Rufen Sie die Suche auf und führen Sie eine Suchanfrage für aktuelle CTS-Logs aus:

    metadata.log_type = "CISCO_CTS"

  4. Prüfen Sie, ob in den Suchergebnissen Logs mit aktuellen Zeitstempeln angezeigt werden.

Syslog-Nachrichtenformat

Das Cisco TelePresence-System sendet Syslog-Nachrichten im RFC 3164-Format (BSD-Syslog). Die Nachrichten enthalten:

  • Sysop-Log-Nachrichten für Anrufaktivitäten, Video-/Audioereignisse und Systemvorgänge
  • Einrichtungscode: Variiert je nach Nachrichtentyp
  • Standardport: UDP 514
  • Speicherung von Nachrichten: Bis zu 20 rotierende Protokolldateien auf dem CTS-Gerät

Fehlerbehebung bei der Syslog-Weiterleitung

Wenn keine Syslog-Nachrichten empfangen werden:

  1. Prüfen Sie die Netzwerkverbindung vom CTS-Codec zum Bindplane-Agenten:

    ping <BINDPLANE_AGENT_IP>

  2. Prüfen Sie, ob die Firewallregeln UDP-Traffic über Port 514 (oder den konfigurierten Port) von CTS-IP-Adressen zum Bindplane-Agent zulassen.

  3. Prüfen Sie, ob die externe SYSLOG-Adresse im produktspezifischen Konfigurationslayout von CUCM richtig konfiguriert ist.

  4. Prüfen Sie, ob das CTS-Gerät nach dem Anwenden der Syslog-Konfiguration neu gestartet wurde.

  5. Prüfen Sie die Logs der CTS-Verwaltungsoberfläche unter Fehlerbehebung > Logdateien auf Syslog-bezogene Fehler.

  6. Prüfen Sie, ob der Bindplane-Agent auf dem richtigen Port empfangsbereit ist:

    • Linux:

      sudo netstat -ulnp | grep 514

    • Windows:

      netstat -an | findstr :514

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
AuditDetails, data2 security_result.description Wert aus AuditDetails, wenn nicht leer, andernfalls data2
ClientAddress, LoginFrom principal.ip Wert aus ClientAddress, wenn nicht leer und keine IP-Adresse, andernfalls LoginFrom
EventType metadata.product_event_type Wert direkt kopiert
logType metadata.description Wert direkt kopiert
die Ausprägung security_result.severity Auf INFORMATIONAL setzen, wenn der Schweregrad in [6,7] liegt; LOW, wenn 5; MEDIUM, wenn 4; ERROR, wenn 3; HIGH, wenn 2; andernfalls CRITICAL
logType, EventStatus security_result.action Auf ALLOW setzen, wenn logType == AuthenticationSucceeded oder EventStatus == Success
EventType, logType metadata.event_type Auf USER_RESOURCE_ACCESS setzen, wenn EventType == UserAccess; USER_LOGIN, wenn EventType == UserLogging oder logType mit LOGIN übereinstimmt; USER_RESOURCE_UPDATE_CONTENT, wenn EventType in [UserRoleMembershipUpdate, GeneralConfigurationUpdate]; andernfalls GENERIC_EVENT
AppID principal.application Wert direkt kopiert
NodeID target.hostname Wert direkt kopiert
process_id principal.process.pid Wert direkt kopiert
ResourceAccessed target.resource.name Wert direkt kopiert
UserID principal.user.userid Wert direkt kopiert
metadata.product_name Auf „CISCO_CTS“ festgelegt
metadata.vendor_name Legen Sie diesen Wert auf „CISCO“ fest.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten