‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של Cisco IOS

גרסת המנתח: 23.0

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני Cisco IOS ב-Google Security Operations באמצעות סוכן Bindplane.

מכשירי Cisco IOS יוצרים הודעות syslog לאירועי מערכת, שינויים במצב הממשק, התאמות של ACL, אימות ואירועי ניתוב. המנתח מחלץ שדות באמצעות תבניות grok וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

מכונה של Google SecOps
‫Windows Server 2016 ואילך, או מארח Linux עם systemd
קישוריות רשת בין סוכן Bindplane לבין מכשיר Cisco IOS
אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
גישה עם הרשאות למכשיר Cisco IOS באמצעות SSH או מסוף

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
נכנסים לדף IAM & Admin > Service Accounts.
לוחצים על Create service account.
מזינים את פרטי ההגדרה הבאים:
- Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
- Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
לוחצים על Create and continue.
בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
לוחצים על המשך ואז על סיום.
לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
לוחצים על Add key > Create new key.
בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

נכנסים למסוף Google SecOps.
עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
מורידים את קובץ האימות להטמעת נתונים.
שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.
מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sc query observiq-otel-collector
```
השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sudo systemctl status observiq-otel-collector
```
השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

במדריך להתקנת הסוכן של Bindplane מפורטות אפשרויות התקנה נוספות ופתרונות לבעיות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/cisco_ios:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: CISCO_IOS
    raw_log_field: body

service:
  pipelines:
    logs/cisco_ios_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/cisco_ios

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

הגדרת המקלט:
- ‫listen_address: כתובת ה-IP והיציאה להאזנה:
  - ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
  - יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)
הגדרת הייצוא:
- ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
  - Linux: /opt/observiq-otel-collector/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
- ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
- ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
- ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/cisco_ios:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CISCO_IOS
    raw_log_field: body
```

שמירת קובץ התצורה

אחרי שמסיימים לערוך, שומרים את הקובץ:
- Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
- Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:
```
sudo systemctl restart observiq-otel-collector
```
1. מוודאים שהשירות פועל:
```
```bash
  sudo systemctl status observiq-otel-collector
```
```
2. בודקים אם יש שגיאות ביומנים:
```
```bash
  sudo journalctl -u observiq-otel-collector -f
```
```
כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:
- שורת הפקודה או PowerShell כאדמין:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- מסוף השירותים:
  1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
  2. מאתרים את observIQ OpenTelemetry Collector.
  3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
  4. מוודאים שהשירות פועל:
```
sc query observiq-otel-collector
```
  5. בודקים אם יש שגיאות ביומנים:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

הגדרת syslog במכשיר Cisco IOS

נכנסים למכשיר Cisco IOS באמצעות SSH או חיבור למסוף.
נכנסים למצב הרשאות:
```
enable
```
נכנסים למצב הגדרה:
```
conf t
```
הגדרת syslog:
```
logging <BINDPLANE_IP>
logging source-interface <INTERFACE>
```
- מחליפים את <BINDPLANE_IP> בכתובת ה-IP של סוכן Bindplane.
- מחליפים את <INTERFACE> בממשק התקשורת בפועל.

מגדירים את רמת העדיפות:

logging trap information
logging console information

מגדירים את מתקן ה-syslog:
```
logging facility syslog
```
שומרים את ההגדרה:
```
copy running-config startup-config
```

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM
`13_Protocol_Runtime_Context`	`additional.fields`
`16_AdminWebappN`	`additional.fields`
`16_AdminWebappT`	`additional.fields`
`16_AdminWebappU`	`additional.fields`
`16_BYODN`	`additional.fields`
`16_BYODT`	`additional.fields`
`16_BYODU`	`additional.fields`
`16_DBListenerN`	`additional.fields`
`16_DBListenerT`	`additional.fields`
`16_DBListenerU`	`additional.fields`
`16_DBServerN`	`additional.fields`
`16_DBServerT`	`additional.fields`
`16_DBServerU`	`additional.fields`
`16_GuestN`	`additional.fields`
`16_GuestT`	`additional.fields`
`16_GuestU`	`additional.fields`
`16_iowait`	`additional.fields`
`16_ISEIndexingEngineN`	`additional.fields`
`16_ISEIndexingEngineT`	`additional.fields`
`16_ISEIndexingEngineU`	`additional.fields`
`16_JVMN`	`additional.fields`
`16_JVMT`	`additional.fields`
`16_JVMU`	`additional.fields`
`16_MessageQueueN`	`additional.fields`
`16_MessageQueueT`	`additional.fields`
`16_MessageQueueU`	`additional.fields`
`16_MisservicesN`	`additional.fields`
`16_MisservicesT`	`additional.fields`
`16_MisservicesU`	`additional.fields`
`16_NSFN`	`additional.fields`
`16_NSFT`	`additional.fields`
`16_NSFU`	`additional.fields`
`16_ProfilerDatabaseN`	`additional.fields`
`16_ProfilerDatabaseT`	`additional.fields`
`16_ProfilerDatabaseU`	`additional.fields`
`16_RMIT`	`additional.fields`
`16_RMIU`	`additional.fields`
`16_SyslogN`	`additional.fields`
`16_SyslogT`	`additional.fields`
`16_SyslogU`	`additional.fields`
`4_ArpCache_InsertUpdate_Received`	`additional.fields`
`4_HostName_Event_Fetch_FromAD`	`additional.fields`
`4_Probe_Requests_Dropped`	`additional.fields`
`4_Probe_Requests_Received`	`additional.fields`
`AAA_ID`	`security_result.detection_fields`
`about`	`event.idm.read_only_udm.about`
`Acct-Session-Id`	`principal.resource.attribute.labels`
`AcctRequest-Flags`	`security_result.summary`
`AcctRequest-Flags`	`security_result.action` תנאי: `[AcctRequest-Flags]` =~ "(?i)Start" או "(?i)Stop"
`AcsSessionID`	`network.session_id`
`Action_number`	`security_result.detection_fields`
`address_family`	`security_result.detection_fields`
`admin_state`	`security_result.detection_fields`
`aid`	`security_result.detection_fields`
`applet_statement`	`security_result.detection_fields`
`application`	`principal.application`
`application_name`	`principal.application`
`arp_resp`	`additional.fields`
`arp_src`	`principal.ip` `principal.asset.ip`
`attr`	`additional.fields`
`auditid`	`network.session_id`
`auth_neg_dur`	`additional.fields`
`Authen-Method`	`security_result.detection_fields`
`Authen-Type`	`additional.fields`
`authentication_protocol`	`security_result.detection_fields`
`AuthenticationIdentityStore`	`additional.fields`
`AuthenticationMethod`	`additional.fields`
`AuthenticationStatus`	`security_result.summary`
`AuthorizationPolicyMatchedRule`	`security_result.rule_name`
`avg_time`	`additional.fields`
`AVPair_priv-lvl`	`security_result.detection_fields`
`AVPair_start_time`	`additional.fields`
`AVPair_task_id`	`additional.fields`
`AVPair_timezone`	`additional.fields`
`band`	`additional.fields`
`calledId`	`security_result.detection_fields`
`calledId2`	`security_result.detection_fields`
`callID`	`additional.fields`
`Calling-Station-ID`	`additional.fields`
`category`	`security_result.category`
`category_number`	`security_result.detection_fields`
`channel`	`additional.fields`
`Chassis_data`	`additional.fields`
`cisco_facility_2`	`security_result.detection_fields`
`cisco_message`	`network.application_protocol` תנאי: אם `[cisco_message]` =~ "ssh" אחרת אם `[cisco_message]` =~ "HTTP"
`cisco_mnemonic`	`security_result.rule_name`
`cisco_severity`	`security_result.severity` תנאי: `[cisco_severity]` == "0" פרטים נוספים: "`security_result.severity`" => "CRITICAL" "`security_result.severity_details`" => "System unusable"
`cisco_severity`	`security_result.severity` תנאי: `[cisco_severity]` == "1" פרטים נוספים: "`security_result.severity`" => "CRITICAL" "`security_result.severity_details`" => "נדרשת פעולה מיידית"
`cisco_severity`	`security_result.severity` תנאי: `[cisco_severity]` == "2" פרטים נוספים: "`security_result.severity`" => "HIGH" "`security_result.severity_details`" => "Critical condition"
`cisco_severity`	`security_result.severity` תנאי: `[cisco_severity]` == "3" פרטים נוספים: "`security_result.severity`" => "ERROR" "`security_result.severity_details`" => "Error condition"
`cisco_severity`	`security_result.severity` תנאי: `[cisco_severity]` == "4" פרטים נוספים: "`security_result.severity`" => "MEDIUM" "`security_result.severity_details`" => "Warning condition"
`cisco_severity`	`security_result.severity` מצב: `[cisco_severity]` == "5" פרטים נוספים: "`security_result.severity`" => "LOW" "`security_result.severity_details`" => "Normal but significant condition"
`cisco_severity`	`security_result.severity` תנאי: `[cisco_severity]` == "6" פרטים נוספים: "`security_result.severity`" => "INFORMATIONAL" "`security_result.severity_details`" => "Informational message only"
`cisco_severity`	`security_result.severity` תנאי: `[cisco_severity]` == "7" פרטים נוספים: "`security_result.severity`" => "INFORMATIONAL" "`security_result.severity_details`" => "מופיע רק במהלך ניפוי באגים"
`cisco_severity`	`security_result.severity` > "CRITICAL"
`class_type`	`security_result.detection_fields`
`client_mac`	`principal.mac` `principal.asset.mac`
`ClientLatency`	`additional.fields`
`CmdSet`	`principal.process.command_line`
`CName`	`additional.fields`
`code`	`additional.fields`
`code_reference`	`additional.fields`
`collected_timestamp`	`metadata.collected_timestamp`
`collector_id`	`additional.fields`
`command`	`principal.process.command_line`
`command_code`	`additional.fields`
`community_count`	`additional.fields`
`ConfigVersionId`	`additional.fields`
`context`	`additional.fields`
`context2`	`additional.fields`
`CPMSessionID`	`additional.fields`
`current_state`	`security_result.detection_fields`
`da_vendor`	`additional.fields`
`data_value`	`additional.fields`
`debug_file`	`principal.process.file.full_path`
`debug_line`	`additional.fields`
`debug_timestamp`	`security_result.detection_fields`
`desc`	`metadata.description`
`description`	`metadata.description`
`DestinationIPAddress`	`target.ip` `target.asset.ip`
`DestinationPort`	`target.port`
`DetailedInfo`	`security_result.summary`
`dev_type`	`principal.platform_version`
`device_component`	`additional.fields`
`Device_IP_Address`	`principal.ip` `principal.asset.ip`
`device_os`	`additional.fields`
`Device_Type`	`additional.fields`
`DeviceType`	`principal.resource.resource_subtype`
`DeviceType`	`principal.resource.resource_type` תנאי: `[DeviceType]` =~ "Phone"
`DIP`	`target.ip` `target.asset.ip`
`DMac`	`target.resource.attribute.labels`
`domain`	`principal.administrative_domain`
`Domain`	`principal.administrative_domain`
`dp_handle`	`additional.fields`
`DPort`	`target.port`
`dst_ip`	`target.ip` `target.asset.ip`
`dst_mac`	`target.mac` `target.asset.mac`
`dst_port`	`target.port`
`dst_user`	`target.user.userid`
`duration`	`additional.fields`
`dynamic_mac`	`target.resource.attribute.labels`
`EnableFlag`	`security_result.detection_fields`
`ephone-1`	`principal.resource.attribute.labels`
`essid`	`security_result.detection_fields`
`event_id`	`additional.fields`
`failure_reason`	`security_result.description`
`file_path`	`principal.file.full_path`
`first_bgp_community`	`additional.fields`
`flapping_port_1`	`additional.fields`
`flapping_port_2`	`additional.fields`
`flowtype`	`security_result.detection_fields`
`for ALG`	`additional.fields`
`fqdn`	`security_result.detection_fields`
`framed`	`security_result.detection_fields`
`full_conn`	`additional.fields`
`group`	`principal.group.group_display_name`
`Hit cnt`	`additional.fields`
`hmac_algorithm`	`additional.fields`
`hostname`	`principal.hostname` `principal.asset.hostname`
`hostname` (value = %PARSER-5-CFGLOG_LOGGEDCMD)	`metadata.product_event_type`
`icmp_code`	`additional.fields`
`icmp_type`	`additional.fields`
`IdentityGroup`	`principal.user.group_identifiers`
`IdentitySelectionMatchedRule`	`security_result.detection_fields`
`IEC`	`additional.fields`
`input intf`	`additional.fields`
`input_interface`	`additional.fields`
`inter_host`	`intermediary.ip` `intermediary.hostname`
`interface`	`intermediary.resource.name`
`interface_2`	`intermediary.resource.attribute.labels`
`intermediary_host`	`intermediary.ip` `intermediary.hostname`
`intermediary_ip`	`intermediary.ip`
`internal_error`	`security_result.summary`
`invalid_arp_count`	`additional.fields`
`ip_ident`	`additional.fields`
`ip_resp`	`additional.fields`
`ip_sla_id`	`additional.fields`
`ip_src`	`principal.ip` `principal.asset.ip`
`IPSEC`	`additional.fields`
`is_wpa`	`additional.fields`
`IsMachineAuthentication`	`additional.fields`
`IsMachineIdentity`	`security_result.detection_fields`
`last_auth_ago`	`additional.fields`
`list`	`security_result.detection_fields`
`list_id`	`additional.fields`
`loc_id`	`security_result.detection_fields`
`Location`	`additional.fields`
`logging_attribute`	`principal.resource.attribute.labels`
`mapping-id`	`additional.fields`
`MatchedCommandSet`	`additional.fields`
`max_threshold`	`security_result.detection_fields`
`message_type`	`additional.fields`
`missed_packets`	`security_result.detection_fields`
`Model_Name`	`additional.fields`
`module`	`security_result.detection_fields`
`module_id`	`security_result.detection_fields`
`Name`	`additional.fields`
`nas_identity`	`target.hostname` `target.asset.hostname`
`nas_ip`	`target.nat_ip`
`NAS_IP_Address`	`intermediary.ip`
`nas_port`	`target.nat_port`
`NAS-Identifier`	`target.resource.attribute.labels`
`nastype`	`target.resource.attribute.labels`
`nat_ip`	`principal.nat_ip`
`Network_Device_Profile`	`additional.fields`
`network_processor`	`additional.fields`
`NetworkDeviceProfileId`	`principal.resource.product_object_id`
`NetworkDeviceProfileName`	`principal.resource.name`
`new_value`	`security_result.detection_fields`
`new-state`	`security_result.detection_fields`
`non-PATable`	`additional.fields`
`Notification`	`additional.fields`
`object_tracking_number`	`additional.fields`
`offset`	`additional.fields`
`oid`	`additional.fields`
`oper_state`	`security_result.detection_fields`
`peer-system-ip`	`target.ip` `target.asset.ip`
`peer-type`	`additional.fields`
`peer-vmanage-system-ip`	`target.ip` `target.asset.ip`
`personality`	`principal.resource.attribute.labels`
`pid`	`principal.process.pid`
`PktLen`	`additional.fields`
`Port`	`principal.resource.attribute.labels`
`port range`	`additional.fields`
`port_channel`	`security_result.detection_fields`
`previous_state`	`security_result.detection_fields`
`previous_value`	`security_result.detection_fields`
`principal_resource`	`principal.resource.name`
`principal_user_address`	`principal.user.attribute.labels`
`privilege_level`	`security_result.detection_fields`
`Privilege-Level`	`security_result.detection_fields`
`process`	`principal.resource.attribute.labels`
`process_name`	`target.application`
`processing_time`	`additional.fields`
`product_log_id`	`metadata.product_log_id`
`prot`	`additional.fields`
`Proto`	`additional.fields`
`protocol`	`network.application_protocol` `network.ip_protocol`
`Protocol`	`additional.fields`
`protocol_number`	`security_result.detection_fields`
`public-ip`	`principal.nat_ip`
`public-port`	`principal.nat_port`
`qfp_data`	`additional.fields`
`radio`	`additional.fields`
`reason`	`security_result.summary`
`received_packets`	`network.received_bytes`
`region`	`principal.location.country_or_region`
`Remote-Address`	`target.ip` `target.asset.ip`
`request_id`	`additional.fields`
`RequestLatency`	`security_result.detection_fields`
`Response`	`additional.fields`
`result_action`	`security_result.action`
`RSA_keypair`	`security_result.detection_fields`
`rssi`	`additional.fields`
`rtt`	`additional.fields`
`sec_action`	`security_result.action`
`security_process`	`security_result.detection_fields`
`SelectedAccessService`	`security_result.action_details`
`SelectedAuthenticationIdentityStores`	`security_result.detection_fields`
`SelectedAuthorizationProfiles`	`security_result.detection_fields`
`SelectedCommandSet`	`additional.fields`
`SelectedShellProfile`	`additional.fields`
`Service`	`additional.fields`
`service`	`security_result.detection_fields`
`Service-Argument`	`additional.fields`
`session_id`	`network.session_id`
`session_id2`	`security_result.detection_fields`
`session_packet`	`network.sent_bytes`
`severity-level`	`security_result.detection_fields`
`SIP`	`principal.ip` `principal.asset.ip`
`SMac`	`principal.resource.attribute.labels`
`Socket`	`principal.resource.attribute.labels`
`Software_Version`	`additional.fields`
`source_facility`	`principal.hostname` `principal.asset.hostname`
`sourced_by`	`additional.fields`
`spi`	`security_result.detection_fields`
`SPort`	`principal.port`
`Src Intf`	`principal.resource.attribute.labels`
`src_ip`	`principal.ip` `principal.asset.ip` `principal.hostname` `principal.asset.hostname`
`src_ip_2`	`principal.ip` `principal.asset.ip`
`src_mac`	`principal.mac` `principal.asset.mac`
`src_port`	`principal.port`
`src_user_id`	`principal.user.userid`
`src_user_name`	`principal.user.user_display_name`
`src_username`	`principal.user.user_display_name`
`src-color`	`principal.resource.attribute.labels`
`ssid`	`security_result.detection_fields`
`state`	`security_result.detection_fields`
`status_code`	`network.http.response_code`
`status_msg`	`security_result.rule_name`
`StepData_13`	`security_result.summary`
`StepData_14`	`security_result.detection_fields`
`StepData_15`	`security_result.detection_fields`
`StepData_20`	`security_result.detection_fields`
`StepData_21`	`security_result.detection_fields`
`StepData_3`	`additional.fields`
`StepData_4`	`security_result.detection_fields`
`StepData_6`	`security_result.detection_fields`
`StepData_7`	`security_result.detection_fields`
`StepData_8`	`security_result.detection_fields`
`StepLatency`	`additional.fields`
`syslog_msg_category`	`additional.fields`
`syslog_msg_id`	`additional.fields`
`syslog_msg_level`	`additional.fields`
`syslog_msg_source`	`additional.fields`
`syslog_priority`	`additional.fields`
`system-ip`	`principal.ip` `principal.asset.ip`
`target_ip`	`target.ip` `target.asset.ip`
`target_mac`	`target.mac` `target.asset.mac`
`target_process_id`	`target.process.pid`
`target_process_name`	`target.resource.attribute.labels`
`target_user_address`	`target.user.attribute.labels`
`thirdparty`	`additional.fields`
`thread_id`	`principal.resource.attribute.labels`
`timestamp`	`metadata.event_timestamp`
`timestamp1`	`additional.fields`
`tls_cipher`	`network.tls.cipher`
`tls_client`	`network.tls.client.supported_ciphers`
`TotalAuthenLatency`	`additional.fields`
`tracked_object_id`	`additional.fields`
`transport_protocol`	`additional.fields`
`trustpoint`	`about.resource.name`
`TS`	`additional.fields`
`tty_number`	`additional.fields`
`tunnel_client_endpoint`	`principal.ip` `principal.asset.ip`
`Type`	`security_result.category_details`
`uptime`	`additional.fields`
`url`	`target.url`
`User`	`principal.user.userid`
`userName`	`target.user.userid` תנאי: if (`[cisco_tag]` =~ "SEC_LOGIN-4-LOGIN_FAILED" or `[cisco_mnemonic]` =~ "LOGIN_FAILED") `[cisco_tag]` =~ "SEC_LOGIN-5-LOGIN_SUCCESS" or `[cisco_facility]` =~ "SEC_LOGIN" or `[cisco_facility]` =~ "SEC LOGIN" or `[cisco_mnemonic]`=~ "LOGIN_SUCCESS" or `[cisco_mnemonic]` =~ "SSH2_USERAUTH" or `[cisco_mnemonic]` =~ "LOGIN"
`Username`	`principal.user.userid`
`username_length`	`additional.fields`
`UserType`	`additional.fields`
`vap`	`additional.fields`
`vlan_id`	`intermediary.resource.attribute.labels`
`vlan_id_2`	`intermediary.resource.attribute.labels`
`Vlan-Id`	`additional.fields`
`VlanType`	`additional.fields`
`vrid`	`security_result.detection_fields`
`zone`	`additional.fields`
`zone_pair`	`security_result.detection_fields`

ההבדלים בין הגרסאות

‫Google SecOps השיקה גרסה חדשה של מנתח הנתונים של Cisco IOS, שכוללת שינויים במיפוי של שדות היומן Parser_Name לשדות UDM ושינויים במיפוי של סוגי האירועים.

ההבדל במיפוי של שדות היומן

בטבלה הבאה מפורט ההפרש במיפוי של שדות היומן של Cisco IOS ל-UDM:

שדה ביומן	מיפוי ישן	המיפוי הנוכחי
`aid`	`additional.fields`	`security_result.detection_fields`
`auditid`	`metadata.product_log_id`	`network.session_id`
`cisco_severity`	`"security_result.severity" => "LOW"`	`"security_result.severity" => "CRITICAL"`
`CmdSet`	`additional.fields`	`principal.process.command_line`
`dst_user` ( value=host)	`target.user.userid`	`removed`
`fqdn`	`principal.hostname`	`security_result.detection_fields`
`hostname` (value = %PARSER-5-CFGLOG_LOGGEDCMD)	`principal.hostname`	`metadata.product_event_type`
`IdentityGroup`	`additional.fields`	`principal.user.group_identifiers`
`interface`	`intermediary.labels`	`intermediary.resource.name`
`sequence_id`	`additional.fields`	`metadata.product_log_id`
`User`	`target.user.userid`	`principal.user.userid`

ההפרש במיפוי של סוגי האירועים

סוגי אירועים קיימים עם שינויים בתנאים שבהם נעשה שימוש:

סוג אירוע	תנאים	סיבה
`STATUS_UPDATE`	`else if`(`[principal_mid_present]` == "true" or `[has_principal]` == "true")`and [target_mid_present] == "false" {`	`To avoid setting up STATUS_UPDATE if principal.ip and target.ip both are present.`
`USER_UNCATEGORIZED`	`else if [principal_userid_present] == "true" or [principal_display_name_present] == "true" or [target_userid_present] == "true" {`

סוגי אירועים חדשים:

סוג אירוע חדש	תנאים
`DEVICE_CONFIG_UPDATE`	`else if [principal_mid_present] == "true" and [cisco_tag] in ["PARSER-5-CFGLOG_LOGGEDCMD","SYS-5-CONFIG_I"] {`
`USER_LOGIN`	`else if`(`[principal_userid_present]` == "true" or `[principal_display_name_present]` == "true" or `[target_userid_present]` == "true")`and [process_name] != "" and`(`[user_event]` =~ "(?i)new tcp session" or `[user_event]` =~ "(?i)created new session")`{`
`USER_LOGIN`	`else if [target_mid_present] == "true" and [user_event] =~ "`(?i)`logging" {`
`USER_UNCATEGORIZED`	`else if [principal_userid_present] == "true" or [target_userid_present] == "true" or [principal_mac_present] == "true" {`
שדה ביומן	מיפוי UDM
AcsSessionID	network.session_id
AcctRequest-Flags	security_result.summary
AcctRequest-Flags	security_result.action
AuthenticationIdentityStore	additional.fields.key = `AuthenticationIdentityStore`, value = AuthenticationIdentityStore
AuthenticationMethod	additional.fields.key = `AuthenticationMethod`, value = AuthenticationMethod
AuthenticationStatus	security_result.summary
Authen-Method	security_result.detection_fields.key = `Authen-Method`, value = Authen-Method
Authen-Method	extensions.auth.type
AVPair_priv-lvl	security_result.detection_fields.key = `AVPair_priv-lvl`, value = AVPair_priv-lvl
AVPair_start_time	additional.fields.key = `AVPair_start_time`, value = AVPair_start_time
AVPair_task_id	additional.fields.key = `AVPair_task_id`, value = AVPair_task_id
AVPair_timezone	additional.fields.key = `AVPair_timezone`, value = AVPair_timezone
auditid	metadata.product_log_id
cisco_facility
cisco_message	metadata.description
cisco_mnemonic	security_result.rule_name
cisco_severity	security_result.severity
cisco_severity	security_result.severity_details
cisco_tag	metadata.product_event_type
cisco_tag	metadata.event_type
ClientLatency	additional.fields.key = `ClientLatency`, value = ClientLatency
CmdSet	additional.fields.key = `CmdSet`, value = CmdSet
פקודה	principal.process.command_line
CPMSessionID	additional.fields.key = `CPMSessionID`, value = CPMSessionID
description	metadata.description
DestinationIPAddress	target.asset.ip
DestinationIPAddress	target.ip
DestinationPort	target.port
Device_IP_Address	principal.asset.ip
Device_IP_Address	principal.ip
Device_Type	additional.fields.key = `Device_Type`, value = Device_Type
dst_ip	target.asset.ip
dst_ip	target.ip
dst_port	target.port
dst_user	target.user.userid
EnableFlag	security_result.detection_fields.key = `EnableFlag`, value = EnableFlag
IdentityGroup	additional.fields.key = `IdentityGroup`, value = IdentityGroup
IdentitySelectionMatchedRule	security_result.detection_fields.key = `IdentitySelectionMatchedRule`, value = IdentitySelectionMatchedRule
intermediary_host	intermediary.hostname
intermediary_ip	intermediary.ip
IPSEC	additional.fields.key = `IPSEC`, value = IPSEC
ISEPolicySetName	extensions.auth.type
IsMachineAuthentication	additional.fields.key = `IsMachineAuthentication`, value = IsMachineAuthentication
IsMachineIdentity	security_result.detection_fields.key = `IsMachineIdentity`, value = IsMachineIdentity
מיקום	additional.fields.key = `Location`, value = Location
MatchedCommandSet	additional.fields.key = `MatchedCommandSet`, value = MatchedCommandSet
הודעה
metadata_event_type	metadata.event_type
Model_Name	additional.fields.key = `Model_Name`, value = Model_Name
שם	additional.fields.key = `Name`, value = Name
Network_Device_Profile	additional.fields.key = `Network_Device_Profile`, value = Network_Device_Profile
NetworkDeviceGroups	additional.fields.key = `NetworkDeviceGroups`, value = NetworkDeviceGroups
NetworkDeviceName	principal.asset.hostname
NetworkDeviceName	principal.hostname
NetworkDeviceProfileId	principal.resource.product_object_id
pid	principal.process.pid
יציאה	principal.resource.attribute.labels.key = `Port`, value = Port
רמת ההרשאה	security_result.detection_fields.key = `Privilege-Level`, value = Privilege-Level
product_event_type	metadata.product_event_type
פרוטוקול	additional.fields.key = `Protocol`, value = Protocol
פרוטוקול	network.application_protocol
פרוטוקול	network.ip_protocol
reason	security_result.summary
אזור	principal.location.country_or_region
Remote-Address	target.asset.ip
Remote-Address	target.ip
RequestLatency	security_result.detection_fields.key = `RequestLatency`, value = RequestLatency
תשובה	additional.fields.key = `Response`, value = Response
SelectedAccessService	security_result.action_details
SelectedAuthenticationIdentityStores	security_result.detection_fields.key = `SelectedAuthenticationIdentityStores`, value = SelectedAuthenticationIdentityStores
SelectedCommandSet	additional.fields.key = `SelectedCommandSet`, value = SelectedCommandSet
שירות	additional.fields.key = `Service`, value = Service
Service-Argument	additional.fields.key = `Service-Argument`, value = Service-Argument
severity	security_result.severity
Software_Version	additional.fields.key = `Software_Version`, value = Software_Version
source_facility	principal.asset.hostname
source_facility	principal.hostname
src_ip	principal.asset.ip
src_ip	principal.ip
src_mac	principal.mac
src_port	principal.port
src_user_id	principal.user.userid
src_user_name	principal.user.user_display_name
שלב	additional.fields.key = `Step`, value = Step
StepData_10	principal.asset.hostname
StepData_10	principal.hostname
StepData_13	security_result.summary
StepData_14	security_result.detection_fields.key = `StepData_14`, value = StepData_14
StepData_15	security_result.detection_fields.key = `StepData_15`, value = StepData_15
StepData_20	security_result.detection_fields.key = `StepData_20`, value = StepData_20
StepData_21	security_result.detection_fields.key = `StepData_21`, value = StepData_21
StepData_3	additional.fields.key = `StepData_3`, value = StepData_3
StepData_4	security_result.detection_fields.key = `StepData_4`, value = StepData_4
StepData_6	security_result.detection_fields.key = `StepData_6`, value = StepData_6
StepData_7	security_result.detection_fields.key = `StepData_7`, value = StepData_7
StepData_8	security_result.detection_fields.key = `StepData_8`, value = StepData_8
StepData_9	principal.user.userid
target_host	target.asset.hostname
target_host	target.hostname
חותמת זמן	metadata.event_timestamp
TotalAuthenLatency	additional.fields.key = `TotalAuthenLatency`, value = TotalAuthenLatency
ts	metadata.event_timestamp
סוג	security_result.category_details
משתמש	principal.user.userid
UserType	additional.fields.key = `UserType`, value = UserType
	metadata.vendor_name
	metadata.product_name
	metadata.log_type
`hostname`	`event.idm.read_only_udm.principal.hostname` וגם `event.idm.read_only_udm.principal.asset.hostname`
`description`	`event.idm.read_only_udm.metadata.description`
`application`	`event.idm.read_only_udm.principal.application`
`userName`	`event.idm.read_only_udm.target.user.userid`
`intermediary_host`	`event.idm.read_only_udm.intermediary.ip`
`target_mac`	`event.idm.read_only_udm.target.mac`
`target_mac`	`event.idm.read_only_udm.target.asset.mac`
`fqdn`	`event.idm.read_only_udm.principal.hostname` וגם `event.idm.read_only_udm.principal.asset.hostname`
`sec_action`	`event.idm.read_only_udm.security_result.action`
`session_packet`	`event.idm.read_only_udm.network.sent_bytes`
`missed_packets`	`event.idm.read_only_udm.additional.fields`
`inter_host`	`event.idm.read_only_udm.intermediary.ip`
`target_host`	`event.idm.read_only_udm.intermediary.ip`
`inter_host`	`event.idm.read_only_udm.intermediary.hostname`
`tls_cipher`	`network.tls.cipher`
`tls_client`	`network.tls.client.supported_ciphers`
`Chassis_data`	`additional.fields`
`extensions.auth.type`	`AUTHTYPE_UNSPECIFIED`
`client_mac`	`principal.mac`
`sequence_id","vap", "band", "channel", "rssi", "aid" and "radio`	`additional.fields`

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.