איסוף יומנים של Cisco PIX

גרסת כלי הניתוח: 2.0

נתמך ב:

במסמך הזה מוסבר איך להטמיע יומנים של Cisco PIX ב-Google Security Operations באמצעות Bindplane. הכלי לניתוח מחלץ שדות מהודעות syslog של חומת האש באמצעות ביטויים רגולריים (דפוסי grok) ולוגיקה מותנית. לאחר מכן, המערכת ממפה את השדות שחולצו למודל הנתונים המאוחד (UDM), ומסווגת את האירועים כחיבורים לרשת, עדכוני סטטוס או אירועים כלליים על סמך כתובות ה-IP של המקור והיעד.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows 2016 ואילך, או מארח Linux עם systemd
  • אם מריצים את הכלי מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות
  • גישת הרשאת-על למכשיר Cisco PIX Firewall

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents.
  3. מורידים את קובץ האימות להטמעת נתונים.
    • שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

כדי להתקין את סוכן Bindplane במערכת ההפעלה Windows או Linux, פועלים לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הגדרה של סוכן Bindplane להטמעה של Syslog ושליחה אל Google SecOps

  1. ניגשים לקובץ ההגדרה:
    • מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /etc/bindplane-agent/ ב-Linux או בספריית ההתקנה ב-Windows.
    • פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או Notepad).

  2. עורכים את הקובץ config.yaml באופן הבא:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'CISCO_PIX_FIREWALL'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית.
    • מחליפים את <customer_id> במזהה הלקוח בפועל.
    • מעדכנים את /path/to/ingestion-authentication-file.json לנתיב שבו נשמר קובץ האימות בקטע קבלת קובץ אימות להעברה ל-Google SecOps.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart bindplane-agent

  • כדי להפעיל מחדש את סוכן Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:

    net stop BindPlaneAgent && net start BindPlaneAgent

הגדרת Syslog בחומת אש של Cisco PIX

  1. נכנסים ל-Cisco PIX appliance באמצעות SSH או חיבור למסוף.

  2. מזינים את הפרטים הבאים למצב מוגבר:

    enable

  3. מזינים את הפקודה הבאה למצב הגדרה:

    conf t

  4. מזינים את הפקודות הבאות כדי להפעיל את הרישום ביומן ואת חותמת הזמן:

    logging on
logging timestamp

  5. מזינים את הפקודה הבאה כדי להגדיר את רמת היומן:

    logging trap information

  6. מזינים את הפקודה הבאה כדי להגדיר את פרטי syslog:

    logging host <interface> <bindplane_IP_address>
    • משנים את <interface> לממשק שיש לו גישה לסוכן Bindplane.
    • מחליפים את <bindplane_IP_address> בכתובת ה-IP של סוכן Bindplane בפועל.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
datetime metadata.event_timestamp.seconds המרת חותמת הזמן שחולצה לשניות מאז תקופת ה-Epoch
datetime metadata.event_timestamp.nanos המרת חותמת הזמן שחולצה למיליארדית השנייה של תקופת ה-Epoch
descrip metadata.description ממופה ישירות מהשדה descrip שחולץ
observer_ip observer.ip ממופה ישירות מהשדה observer_ip שחולץ
proto network.ip_protocol ממופה ישירות מהשדה proto שחולץ אחרי המרה לאותיות רישיות. המיפוי מתבצע רק אם הערך הוא UDP,‏ TCP או ICMP.
src_ip principal.ip ממופה ישירות מהשדה src_ip שחולץ
src_port principal.port ממופה ישירות מהשדה src_port שחולץ אחרי המרה למספר שלם
facility principal.resource.type ממופה ישירות מהשדה facility שחולץ
פעולה security_result.action_details ממופה ישירות מהשדה action שחולץ
severity_level security_result.severity מיפוי לפי הערך של severity_level:
– 7, 6: מידע
– 5: נמוך
– 4: בינוני
– 3: שגיאה
– 2: גבוה
– אחרת: קריטי
dest_ip target.ip ממופה ישירות מהשדה dest_ip שחולץ
dest_port target.port ממופה ישירות מהשדה dest_port שחולץ אחרי המרה למספר שלם
כיוון network.direction ממופה ל-INBOUND אם השדה direction הוא inbound
metadata.event_timestamp.seconds הערך נלקח מהשדה 'create_time.seconds' ברמה העליונה
metadata.event_timestamp.nanos הערך נלקח מהשדה 'create_time.nanos' ברמה העליונה
metadata.event_type הערך נקבע על סמך הנוכחות של src_ip ו-dest_ip:
– אם שניהם קיימים: NETWORK_CONNECTION
– אם קיים רק src_ip: STATUS_UPDATE
– אחרת: GENERIC_EVENT
metadata.product_event_type שרשור של השדות facility, -, severity_level, - ו-mnemonic.
metadata.product_name ערך שמוגדר בהארדקוד: CISCO_FWSM
metadata.vendor_name ערך שמוגדר בהארדקוד: CISCO
security_result.action ממופה ל-BLOCK אם השדה action הוא אחד מהערכים Deny,‏ Teardown,‏ denied או Denied.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.