Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengumpulkan log Cisco PIX

Versi Parser: 2.0

Didukung di:

Google secops SIEM

Dokumen ini menjelaskan cara menyerap log Cisco PIX ke Google Security Operations menggunakan Bindplane. Parser mengekstrak kolom dari pesan syslog firewall menggunakan ekspresi reguler (pola grok) dan logika kondisional. Kemudian, parser memetakan kolom yang diekstrak ini ke Unified Data Model (UDM), mengategorikan peristiwa sebagai koneksi jaringan, pembaruan status, atau peristiwa umum berdasarkan keberadaan alamat IP sumber dan tujuan.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
Windows 2016 atau yang lebih baru, atau host Linux dengan systemd
Jika beroperasi dari balik proxy, pastikan port firewall terbuka
Akses istimewa ke appliance Cisco PIX Firewall

Mendapatkan file autentikasi penyerapan Google SecOps

Login ke konsol Google SecOps.
Buka SIEM Settings > Collection Agents.
Download Ingestion Authentication File.
- Simpan file dengan aman di sistem tempat Bindplane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

Login ke konsol Google SecOps.
Buka SIEM Settings > Profile.
Salin dan simpan Customer ID dari bagian Organization Details.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

Buka Command Prompt atau PowerShell sebagai administrator.

Jalankan perintah berikut:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Penginstalan Linux

Buka terminal dengan hak akses root atau sudo.

Jalankan perintah berikut:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan.

Mengonfigurasi agen Bindplane untuk menyerap Syslog dan mengirim ke Google SecOps

Akses file konfigurasi:
- Temukan file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
- Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

Edit file config.yaml sebagai berikut:

receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'CISCO_PIX_FIREWALL'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
Ganti <customer_id> dengan ID pelanggan yang sebenarnya.
Ganti /path/to/ingestion-authentication-file.json dengan jalur tempat file autentikasi disimpan di bagian Mendapatkan file autentikasi penyerapan Google SecOps.

Memulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:
```
sudo systemctl restart bindplane-agent
```
Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

Mengonfigurasi Syslog di Cisco PIX Firewall

Login ke appliance Cisco PIX Anda menggunakan SSH atau koneksi konsol.
Masukkan informasi berikut untuk mode privileged:
```
enable
```
Masukkan perintah berikut untuk mode konfigurasi:
```
conf t
```
Masukkan perintah berikut untuk mengaktifkan logging dan stempel waktu:
```
logging on
logging timestamp
```
Masukkan perintah berikut untuk mengonfigurasi tingkat log:
```
logging trap information
```
Masukkan perintah berikut untuk mengonfigurasi informasi syslog:
```
logging host <interface> <bindplane_IP_address>
```
- Ubah <interface> ke antarmuka yang memiliki akses ke agen Bindplane Anda.
- Ubah <bindplane_IP_address> ke alamat IP agen Bindplane Anda yang sebenarnya.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
datetime	metadata.event_timestamp.seconds	Mengonversi stempel waktu yang diekstrak ke detik epoch
datetime	metadata.event_timestamp.nanos	Mengonversi stempel waktu yang diekstrak ke nanodetik epoch
descrip	metadata.description	Dipetakan langsung dari kolom `descrip` yang diekstrak
observer_ip	observer.ip	Dipetakan langsung dari kolom `observer_ip` yang diekstrak
proto	network.ip_protocol	Dipetakan langsung dari kolom `proto` yang diekstrak setelah dikonversi menjadi huruf besar. Hanya dipetakan jika nilainya adalah salah satu dari `UDP`, `TCP`, atau `ICMP`.
src_ip	principal.ip	Dipetakan langsung dari kolom `src_ip` yang diekstrak
src_port	principal.port	Dipetakan langsung dari kolom `src_port` yang diekstrak setelah dikonversi menjadi bilangan bulat
facility	principal.resource.type	Dipetakan langsung dari kolom `facility` yang diekstrak
action	security_result.action_details	Dipetakan langsung dari kolom `action` yang diekstrak
severity_level	security_result.severity	Dipetakan berdasarkan nilai `severity_level`: - 7, 6: INFORMATIONAL - 5: LOW - 4: MEDIUM - 3: ERROR - 2: HIGH - Lainnya: CRITICAL
dest_ip	target.ip	Dipetakan langsung dari kolom `dest_ip` yang diekstrak
dest_port	target.port	Dipetakan langsung dari kolom `dest_port` yang diekstrak setelah dikonversi menjadi bilangan bulat
direction	network.direction	Dipetakan ke `INBOUND` jika kolom `direction` adalah `inbound`
	metadata.event_timestamp.seconds	Nilai diambil dari kolom 'create_time.seconds' tingkat atas
	metadata.event_timestamp.nanos	Nilai diambil dari kolom 'create_time.nanos' tingkat atas
	metadata.event_type	Ditentukan berdasarkan keberadaan src_ip dan dest_ip: - Keduanya ada: NETWORK_CONNECTION - Hanya src_ip yang ada: STATUS_UPDATE - Lainnya: GENERIC_EVENT
	metadata.product_event_type	Gabungan kolom `facility`, `-`, `severity_level`, `-`, dan `mnemonic`.
	metadata.product_name	Nilai yang dikodekan secara permanen: `CISCO_FWSM`
	metadata.vendor_name	Nilai yang dikodekan secara permanen: `CISCO`
	security_result.action	Dipetakan ke `BLOCK` jika kolom `action` adalah salah satu dari `Deny`, `Teardown`, `denied`, atau `Denied`.

Log Perubahan

Lihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.