收集 Cisco 防火牆服務模組 (FWSM) 記錄

支援的國家/地區：

Google SecOps SIEM

注意： 這項功能受《Google Security Operations 服務專屬條款》的《正式發布前產品條款》規範。正式發布前的功能或許只提供部分支援，而且這類功能的變更可能與其他正式發布前版本不相容。詳情請參閱《Google SecOps 技術支援服務指南》和《Google SecOps 服務專屬條款》。

本文說明如何使用 Bindplane，將 Cisco Firewall Service Module (FWSM) 記錄檔擷取至 Google Security Operations。剖析器會先使用 Grok 模式，從設備的系統記錄訊息中擷取時間戳記、IP 位址和事件說明等常見欄位。接著，系統會將擷取的資訊對應至標準化的統一資料模型 (UDM) 結構定義，轉換資料類型、重新命名欄位，並根據特定值和關鍵字，在輸出內容中加入與安全性相關的分類。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• Windows 2016 以上版本，或搭載 systemd 的 Linux 主機
• 如果透過 Proxy 執行，請確認防火牆通訊埠已開啟
• Cisco FWSM 設備的特殊存取權

取得 Google SecOps 擷取驗證檔案

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 下載擷取驗證檔案。
   • 將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「設定檔」。
3. 複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以系統管理員身分開啟「命令提示字元」或「PowerShell」。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安裝

1. 開啟具有根層級或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安裝資源

如需其他安裝選項，請參閱安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

1. 存取設定檔：
   • 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄，或 Windows 的安裝目錄。
   • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

2. 按照下列方式編輯 config.yaml 檔案：

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'CISCO_FWSM'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • 視基礎架構需求，替換通訊埠和 IP 位址。
   • 將 <customer_id> 替換為實際的客戶 ID。
   • 將 /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」一節中驗證檔案的儲存路徑。

重新啟動 Bindplane 代理程式，以套用變更

• 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

  sudo systemctl restart bindplane-agent
  

• 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，或輸入下列指令：

  net stop BindPlaneAgent && net start BindPlaneAgent
  

在 Cisco FWSM 上設定系統記錄

1. 使用 SSH 或主控台連線登入 Cisco FWSM。

2. 設定記錄功能：

   logging on
   

3. 設定記錄層級：

   logging trap <level>
   

   • 將記錄陷阱層級變更為 6 (資訊)。

4. 設定系統記錄設定：

   logging host [interface] bindplane_ip_address udp[/bindplane_port]
   

UDM 對應表

記錄欄位	UDM 對應	邏輯
1.1.1.1	observer.ip	使用 grok 模式從記錄訊息擷取。
2.2.2.2	principal.ip target.ip	使用 grok 模式從記錄訊息擷取。系統會根據連線方向，將目的地 IP 對應至 principal.ip 或 target.ip。如果 dst outside，則會對應至 principal.ip，否則會對應至 target.ip。
3.3.3.3	principal.ip target.ip	使用 grok 模式從記錄訊息擷取。系統會根據連線方向，將來源 IP 對應至 principal.ip 或 target.ip。如果 dst outside，則會對應至 principal.ip，否則會對應至 target.ip。
4 月 3 日 10:35:40		UDM 不會擷取這個時間戳記。
4 月 3 日 10:44:38		UDM 不會擷取這個時間戳記。
Apr 3 11:20:34		UDM 不會擷取這個時間戳記。
Apr 3 11:20:38		UDM 不會擷取這個時間戳記。
4 月 29 日 16:09:44		UDM 不會擷取這個時間戳記。
拒絕	security_result.action_details	使用 grok 模式從記錄訊息擷取。
已拒絕	security_result.action_details	使用 grok 模式從記錄訊息擷取。
FWSM-3-106011	metadata.product_event_type	使用 grok 模式從記錄訊息擷取。
FWSM-3-313001	metadata.product_event_type	使用 grok 模式從記錄訊息擷取。
FWSM-4-106023	metadata.product_event_type	使用 grok 模式從記錄訊息擷取。
FWSM-4-302010	metadata.product_event_type	使用 grok 模式從記錄訊息擷取。
FWSM-4-302016	metadata.product_event_type	使用 grok 模式從記錄訊息擷取。
ICMP	network.ip_protocol	使用 Grok 模式從記錄檔訊息中擷取，並轉換為大寫。
TCP	network.ip_protocol	使用 Grok 模式從記錄檔訊息中擷取，並轉換為大寫。
拆解	security_result.action_details	使用 grok 模式從記錄訊息擷取。
UDP	network.ip_protocol	使用 Grok 模式從記錄檔訊息中擷取，並轉換為大寫。
111	target.port	使用 Grok 模式從記錄檔訊息中擷取，並轉換為整數。如果 dst outside，則會對應至 principal.port，否則會對應至 target.port。
17608	principal.port	使用 Grok 模式從記錄檔訊息中擷取，並轉換為整數。如果 dst outside，則會對應至 principal.port，否則會對應至 target.port。
3000	principal.port	使用 Grok 模式從記錄檔訊息中擷取，並轉換為整數。如果 dst outside，則會對應至 principal.port，否則會對應至 target.port。
33103	target.port	使用 Grok 模式從記錄檔訊息中擷取，並轉換為整數。如果 dst outside，則會對應至 principal.port，否則會對應至 target.port。
514	principal.port target.port	使用 Grok 模式從記錄檔訊息中擷取，並轉換為整數。如果 dst outside，則會對應至 principal.port，否則會對應至 target.port。
	metadata.description	原始記錄中的整個 descrip 欄位會對應至這個欄位。
	metadata.event_timestamp	系統會使用批次物件中的時間戳記做為事件時間戳記。
	metadata.event_type	根據來源和目的地 IP 的存在與否判斷： - NETWORK_CONNECTION：來源和目的地 IP 皆存在。 - STATUS_UPDATE：只有來源 IP。 - GENERIC_EVENT：來源和目的地 IP 都不存在。
	metadata.product_name	硬式編碼為 CISCO_FWSM。
	metadata.vendor_name	硬式編碼為 CISCO。
	principal.resource.type	從記錄檔訊息擷取的 facility 欄位對應而來。
	security_result.action	如果 action 欄位是 Deny、Teardown、denied 或 Denied，請設為 BLOCK。
	security_result.severity	根據 severity_level 欄位判斷： - 7、6：資訊 - 5：低 - 4：中 - 3：錯誤 - 2：高 - 其他：重大
	network.direction	從記錄檔訊息中擷取的 direction 欄位對應而來。如果 direction 欄位為 inbound，這個欄位會設為 INBOUND。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。