Collecter les journaux Cisco eStreamer

Version de l'analyseur : 5.0

Compatible avec :

Ce document explique comment ingérer des journaux Cisco eStreamer dans Google Security Operations à l'aide de BindPlane.
L'analyseur extrait les champs des journaux au format syslog Cisco eStreamer avec des paires clé-valeur. Il utilise grok et/ou kv pour analyser le message de journal, puis mappe ces valeurs au modèle de données unifié (UDM). Il définit également les valeurs de métadonnées par défaut pour la source et le type d'événement.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps.
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd.
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
  • Accès privilégié au Cisco Firepower Management Center (FMC).
  • Un système Linux pour exécuter le client CLI eNcore.

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour configurer l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres > Gestion des données > Agents de collecte. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir le numéro client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres > Administration > Profil. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Profil.
  3. Copiez et enregistrez le numéro client de la section Détails de l'organisation.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installation sous Linux

  1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Ressources d'installation supplémentaires

Pour découvrir d'autres options d'installation, consultez ce guide d'installation.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

  1. Accédez au fichier de configuration :

    • Trouvez le fichier config.yaml. En règle générale, il se trouve dans le répertoire /observiq-otel-collector/ sous Linux ou dans le répertoire "C:\Program Files\observIQ OpenTelemetry Collector" sous Windows.
    • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou Notepad).

  2. Modifiez le fichier config.yaml comme suit :

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:5514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'CISCO_ESTREAMER'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
  • Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
  • Remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com.
  • Remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
  • Remplacez YOUR_CUSTOMER_ID par le numéro client réel.
  • Remplacez /path/to/ingestion-authentication-file.json par le chemin d'accès au fichier de clé du compte de service (option 1) enregistré à l'étape 1.

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'CISCO_ESTREAMER'
    raw_log_field: body
    ingestion_labels:

Redémarrez l'agent BindPlane pour appliquer les modifications.

Pour redémarrer l'agent BindPlane sous Linux :

  1. Exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

  2. Vérifiez que le service est en cours d'exécution :

    sudo systemctl status observiq-otel-collector

  3. Vérifiez les journaux pour détecter d'éventuelles erreurs :

    sudo journalctl -u observiq-otel-collector -f

Pour redémarrer l'agent BindPlane sous Windows :

  1. Choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console Services :
      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

  2. Vérifiez que le service est en cours d'exécution :

    sc query observiq-otel-collector

  3. Vérifiez les journaux pour détecter d'éventuelles erreurs :

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert Syslog sur Cisco eStreamer

Configurer eStreamer sur Firepower Management Center

  1. Connectez-vous au Firepower Management Center.
  2. Accédez à System > Integration > eStreamer (Système > Intégration > eStreamer).
  3. Cliquez sur eStreamer pour accéder à la configuration des événements eStreamer.
  4. Cochez les cases correspondant aux types d'événements que vous souhaitez capturer :
    • Événements d'intrusion : pour les événements de détection des intrusions
    • Données de paquets d'événements d'intrusion : pour les captures de paquets associées à des événements d'intrusion
    • Événements de connexion : pour les données de connexion réseau
    • Événements de renseignement sur la sécurité : pour les données de renseignement sur les menaces
    • Événements de fichier : pour les événements d'analyse de fichiers
    • Événements liés à des logiciels malveillants : pour les événements de détection de logiciels malveillants
  5. Cliquez sur Enregistrer.

Créer un client eStreamer

  1. Sur la page eStreamer, cliquez sur Create Client (Créer un client).
  2. Fournissez les informations de configuration suivantes :
    • Nom d'hôte : saisissez l'adresse IP du système Linux sur lequel le client eNcore sera exécuté.
    • Mot de passe : saisissez un mot de passe pour chiffrer le fichier de certificat.
  3. Cliquez sur Enregistrer.
  4. Téléchargez le fichier de certificat PKCS12 généré et transférez-le vers votre système client eNcore.

Installer et configurer le client CLI eNcore

  1. Sur votre système Linux, téléchargez le client CLI eStreamer eNcore depuis Cisco.

  2. Extrayez le package eNcore :

    tar -xzf eStreamer-eNcore-*.tar.gz
cd eStreamer-eNcore-*

  3. Exécutez le script de configuration :

    ./encore.sh setup

  4. Lorsque vous y êtes invité, choisissez le format de sortie des paires clé/valeur (compatible avec les systèmes SIEM).

  5. Saisissez l'adresse IP du FMC et le mot de passe du certificat PKCS12.

  6. Configurez le fichier estreamer.conf pour qu'il envoie les messages syslog à votre agent BindPlane :

    • Ouvrez le fichier estreamer.conf dans un éditeur de texte.
    • Recherchez la section "outputters" et configurez-la pour envoyer syslog à votre agent Bindplane :
    {
  "handler": {
    "outputters": [
      {
        "name": "syslog",
        "adapter": "kvpair",
        "enabled": true,
        "stream": {
          "uri": "udp://BINDPLANE_AGENT_IP:5514"
        }
      }
    ]
  }
}

  7. Remplacez BINDPLANE_AGENT_IP par l'adresse IP de votre agent BindPlane.

Démarrer le client eNcore

  1. Testez la connexion en mode premier plan :

    ./encore.sh foreground

  2. Une fois la vérification effectuée, démarrez eNcore en tant que service d'arrière-plan :

    ./encore.sh start

Table de mappage UDM

Champ du journal Mappage UDM Logique
additional_deviceInboundInterface additional.fields Fusionné
additional_deviceOutboundInterface additional.fields Fusionné
additional_start additional.fields Fusionné
has_target extensions.auth.type Mappé : true → AUTHTYPE_UNSPECIFIED
dvchost intermediary.asset.hostname Mappage direct
hostname intermediary.asset.hostname Mappage direct
dvchost intermediary.hostname Mappage direct
hostname intermediary.hostname Mappage direct
dvcpid intermediary.process.pid Mappage direct
ts metadata.event_timestamp Analysé en tant que MMM d HH:mm:ss
has_principal metadata.event_type Valeurs mappées (5 au total, par exemple true → NETWORK_HTTP, true → NETWORK_DNS, true → `NETW...
has_target metadata.event_type Mappé : true → USER_UNCATEGORIZED
product_event_type metadata.product_event_type Mappage direct
product_name metadata.product_name Mappage direct
version metadata.product_version Mappage direct
vendor_name metadata.vendor_name Mappage direct
app network.application_protocol Mappage direct
src network.dhcp.ciaddr Mappage direct
deviceDirection network.direction Mappé : 0 → INBOUND, 1 → OUTBOUND
dns_question network.dns.questions Fusionné
requestClientApplication network.http.user_agent Mappage direct
ip_protocol_out network.ip_protocol Mappage direct
bytesIn network.received_bytes Mappage direct
bytesOut network.sent_bytes Mappage direct
deviceExternalId principal.asset.asset_id Mappage direct
src principal.asset.ip Fusionné
src principal.ip Fusionné
spt principal.port Mappage direct
security_result_action security_result.action Fusionné
act security_result.action_details Mappage direct
category security_result.category Fusionné
cat security_result.category_details Fusionné
cs5 security_result.description Mappage direct
blockLength_label security_result.detection_fields Fusionné
blockType_label security_result.detection_fields Fusionné
cs1_var security_result.detection_fields Fusionné
cs2_var security_result.detection_fields Fusionné
cs3_var security_result.detection_fields Fusionné
cs4_var security_result.detection_fields Fusionné
cs5_var security_result.detection_fields Fusionné
cs6_var security_result.detection_fields Fusionné
suser_var security_result.detection_fields Fusionné
cs6 security_result.rule_id Mappage direct
severity security_result.severity_details Mappage direct
outcome security_result.summary Mappage direct
destinationDnsDomain target.asset.hostname Mappage direct
dst target.asset.ip Fusionné
fname target.file.full_path Mappage direct
fileType target.file.mime_type Mappage direct
fileHash target.file.sha256 Mappage direct
fsize target.file.size Mappage direct
destinationDnsDomain target.hostname Mappage direct
host target.hostname Mappage direct
dst target.ip Fusionné
dpt target.port Mappage direct
request target.url Mappage direct
N/A extensions.auth.type Constante : AUTHTYPE_UNSPECIFIED
N/A metadata.event_type Constante : NETWORK_HTTP
N/A network.direction Constante : INBOUND
BLOCK security_result.action Mappé à partir du journal des modifications
SOFTWARE_PUA security_result.category Mappé à partir du journal des modifications
NETWORK_COMMAND_AND_CONTROL security_result.category Mappé à partir du journal des modifications
TOR_EXIT_NODE security_result.category Mappé à partir du journal des modifications
PHISHING security_result.category Mappé à partir du journal des modifications
NETWORK_MALICIOUS security_result.category Mappé à partir du journal des modifications
request network.http.referral_url Mappé à partir du journal des modifications
destinationDnsDomain network.dns.questions.name Mappé à partir du journal des modifications
security_result.action BLOCK Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.