Mengumpulkan log Cisco Firewall Service Module (FWSM)

Didukung di:

Google secops SIEM

Dokumen ini menjelaskan cara menyerap log Cisco Firewall Service Module (FWSM) ke Google Security Operations menggunakan Bindplane. Parser pertama-tama mengekstrak kolom umum seperti stempel waktu, alamat IP, dan deskripsi peristiwa dari pesan syslog perangkat menggunakan pola Grok. Kemudian, parser memetakan informasi yang diekstrak ke skema Unified Data Model (UDM) standar, mengonversi jenis data, mengganti nama kolom, dan memperkaya output dengan klasifikasi terkait keamanan berdasarkan nilai dan kata kunci tertentu.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows 2016 atau yang lebih baru, atau host Linux dengan systemd
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka
• Akses hak istimewa ke perangkat Cisco FWSM

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
   • Simpan file dengan aman di sistem tempat Bindplane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.
3. Salin dan simpan Customer ID dari bagian Organization Details.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan.

Mengonfigurasi agen Bindplane untuk menyerap Syslog dan mengirim ke Google SecOps

1. Akses file konfigurasi:
   • Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
   • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

2. Edit file config.yaml sebagai berikut:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'CISCO_FWSM'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
   • Ganti <customer_id> dengan ID pelanggan yang sebenarnya.
   • Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Mendapatkan file autentikasi penyerapan Google SecOps.

Memulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart bindplane-agent
  

• Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Mengonfigurasi Syslog di Cisco FWSM

1. Login ke Cisco FWSM menggunakan SSH atau koneksi konsol.

2. Konfigurasi logging:

   logging on
   

3. Konfigurasi tingkat logging:

   logging trap <level>
   

   • Ubah tingkat perangkap logging menjadi 6 (informasi).

4. Konfigurasi setelan syslog:

   logging host [interface] bindplane_ip_address udp[/bindplane_port]
   

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
1.1.1.1	observer.ip	Diekstrak dari pesan log menggunakan pola grok.
2.2.2.2	principal.ip target.ip	Diekstrak dari pesan log menggunakan pola grok. IP tujuan dipetakan ke principal.ip atau target.ip berdasarkan arah koneksi. Jika dst outside, IP tujuan akan dipetakan ke principal.ip, jika tidak, IP tujuan akan dipetakan ke target.ip.
3.3.3.3	principal.ip target.ip	Diekstrak dari pesan log menggunakan pola grok. IP sumber dipetakan ke principal.ip atau target.ip berdasarkan arah koneksi. Jika dst outside, IP sumber akan dipetakan ke principal.ip, jika tidak, IP sumber akan dipetakan ke target.ip.
3 Apr 10.35.40		Stempel waktu ini tidak diambil di UDM.
3 Apr 10.44.38		Stempel waktu ini tidak diambil di UDM.
3 Apr 11.20.34		Stempel waktu ini tidak diambil di UDM.
3 Apr 11.20.38		Stempel waktu ini tidak diambil di UDM.
29 Apr 16.09.44		Stempel waktu ini tidak diambil di UDM.
Tolak	security_result.action_details	Diekstrak dari pesan log menggunakan pola grok.
Ditolak	security_result.action_details	Diekstrak dari pesan log menggunakan pola grok.
FWSM-3-106011	metadata.product_event_type	Diekstrak dari pesan log menggunakan pola grok.
FWSM-3-313001	metadata.product_event_type	Diekstrak dari pesan log menggunakan pola grok.
FWSM-4-106023	metadata.product_event_type	Diekstrak dari pesan log menggunakan pola grok.
FWSM-4-302010	metadata.product_event_type	Diekstrak dari pesan log menggunakan pola grok.
FWSM-4-302016	metadata.product_event_type	Diekstrak dari pesan log menggunakan pola grok.
ICMP	network.ip_protocol	Diekstrak dari pesan log menggunakan pola grok dan dikonversi menjadi huruf besar.
TCP	network.ip_protocol	Diekstrak dari pesan log menggunakan pola grok dan dikonversi menjadi huruf besar.
Teardown	security_result.action_details	Diekstrak dari pesan log menggunakan pola grok.
UDP	network.ip_protocol	Diekstrak dari pesan log menggunakan pola grok dan dikonversi menjadi huruf besar.
111	target.port	Diekstrak dari pesan log menggunakan pola grok dan dikonversi menjadi bilangan bulat. Jika dst outside, port tujuan akan dipetakan ke principal.port, jika tidak, port tujuan akan dipetakan ke target.port.
17608	principal.port	Diekstrak dari pesan log menggunakan pola grok dan dikonversi menjadi bilangan bulat. Jika dst outside, port tujuan akan dipetakan ke principal.port, jika tidak, port tujuan akan dipetakan ke target.port.
3000	principal.port	Diekstrak dari pesan log menggunakan pola grok dan dikonversi menjadi bilangan bulat. Jika dst outside, port tujuan akan dipetakan ke principal.port, jika tidak, port tujuan akan dipetakan ke target.port.
33103	target.port	Diekstrak dari pesan log menggunakan pola grok dan dikonversi menjadi bilangan bulat. Jika dst outside, port tujuan akan dipetakan ke principal.port, jika tidak, port tujuan akan dipetakan ke target.port.
514	principal.port target.port	Diekstrak dari pesan log menggunakan pola grok dan dikonversi menjadi bilangan bulat. Jika dst outside, port tujuan akan dipetakan ke principal.port, jika tidak, port tujuan akan dipetakan ke target.port.
	metadata.description	Seluruh kolom descrip dari log mentah dipetakan ke kolom ini.
	metadata.event_timestamp	Stempel waktu dari objek batch digunakan sebagai stempel waktu peristiwa.
	metadata.event_type	Ditentukan berdasarkan ada tidaknya IP sumber dan tujuan: - NETWORK_CONNECTION: IP sumber dan tujuan ada. - STATUS_UPDATE: hanya IP sumber yang ada. - GENERIC_EVENT: IP sumber maupun tujuan tidak ada.
	metadata.product_name	Hardcode ke CISCO_FWSM.
	metadata.vendor_name	Hardcode ke CISCO.
	principal.resource.type	Dipetakan dari kolom facility yang diekstrak dari pesan log.
	security_result.action	Ditetapkan ke BLOCK jika kolom action adalah salah satu dari Deny, Teardown, denied, atau Denied.
	security_result.severity	Ditentukan berdasarkan kolom severity_level: - 7, 6: INFORMATIONAL - 5: LOW - 4: MEDIUM - 3: ERROR - 2: HIGH - lainnya: CRITICAL
	network.direction	Dipetakan dari kolom direction yang diekstrak dari pesan log. Jika kolom direction adalah inbound, kolom ini akan ditetapkan ke INBOUND.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.