Raccogli i log di Cisco Prime

Parser Version: 1.0

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di Cisco Prime in Google Security Operations utilizzando Bindplane. Il parser utilizza i pattern Grok per estrarre i campi da vari formati di messaggi syslog, mappandoli a un modello UDM (Unified Data Model). Gestisce diverse strutture di log, tra cui coppie chiave-valore, e arricchisce i dati con informazioni su utente, entità, target e sicurezza in base a parole chiave e pattern specifici trovati nei messaggi di log.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Istanza Google SecOps
• Windows 2016 o versioni successive oppure un host Linux con systemd
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte
• Accesso privilegiato a Cisco Prime

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino al ritiro dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione del service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Editor Chronicle.
7. Fai clic su Continua, quindi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle norme della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:
   • Individua il file config.yaml. In genere si trova nella directory /opt/observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           protocol: https
           # Region of your instance, for example us, europe, asia-southeast1
           location: <LOCATION>
           # Project number of the Google Cloud project linked to the instance
           project: '<PROJECT_NUMBER>'
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: chronicle.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'CISCO_PRIME'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
   • Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.
   • Sostituisci <PROJECT_NUMBER> con il numero di progetto in IAM e amministrazione > Impostazioni.
   • Sostituisci <customer_id> con l'ID cliente effettivo.
   • Aggiorna /path/to/ingestion-authentication-file.json con il percorso in cui è stato salvato il file della chiave del account di servizio (Opzione 1) nella sezione Ottieni le credenziali di Google SecOps per l'agente Bindplane.

Esportatore dell'API di importazione precedente

• Se utilizzi il file di autenticazione dell'importazione dell'opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'importazione e, se la tua istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con l'endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
      chronicle/chronicle_w_labels:
          compression: gzip
          # Adjust the path to the credentials file you downloaded in Step 1
          creds_file_path: '/path/to/ingestion-authentication-file.json'
          # Replace with your actual customer ID from Step 2
          customer_id: <customer_id>
          endpoint: malachiteingestion-pa.googleapis.com
          # Add optional ingestion labels for better organization
          log_type: 'CISCO_PRIME'
          raw_log_field: body
          ingestion_labels:
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart bindplane-agent
  

• Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configura le notifiche di controllo delle modifiche e i ricevitori syslog

1. Puoi configurare il sistema in modo che invii notifiche syslog per i controlli delle modifiche relativi ai seguenti eventi:

   • Aggiornamenti dell'inventario dei dispositivi
   • Modifiche alla configurazione
   • Modifiche ai modelli di configurazione
   • Operazioni correlate ai modelli
   • Attività utente, ad esempio accessi, uscite e modifiche all'account

2. Accedi all'UI web di Cisco Prime.

3. Vai ad Amministrazione > Impostazioni > Impostazioni di sistema.

4. Seleziona Mail and Notification (Posta e notifiche) > Change Audit Notification (Modifica notifica di controllo).

5. Fai clic sulla casella di controllo Attiva notifica di controllo delle modifiche.

6. Fai clic sul pulsante + per specificare un server syslog.

7. Fornisci i seguenti dettagli di configurazione:

   • Inserisci l'indirizzo IP dell'agente Bindplane.
   • Seleziona il protocollo UDP.
   • Inserisci il numero di porta dell'agente Bindplane.

8. Fai clic su Salva.

Configura l'inoltro degli audit log di sistema come syslog

1. Accedi all'UI web di Cisco Prime.
2. Vai a Amministrazione > Impostazioni > Registrazione > Opzioni di registrazione Syslog.
3. Fai clic sulla casella di controllo Abilita Syslog.
4. Fornisci i seguenti dettagli di configurazione:
   • Inserisci l'indirizzo IP dell'agente Bindplane.
   • Seleziona il protocollo UDP.
   • Inserisci il numero di porta dell'agente Bindplane.
   • Seleziona una delle otto strutture o local0.
5. Fai clic su Salva.

Tabella di mappatura UDM

Campo log	mappatura UDM	Logica
client_ip_address	principal.ip, principal.asset.ip	Il valore viene preso dal campo client_ip_address, che viene estratto dal log non elaborato utilizzando il filtro kv.
data	metadata.event_timestamp	Il valore viene preso dal campo date, che viene estratto dal log non elaborato utilizzando i pattern grok e poi convertito in un timestamp utilizzando il filtro della data.
descrizione	security_result.description	Il valore viene preso dal campo description, che viene estratto dal log non elaborato utilizzando i pattern grok.
dest_mac	target.mac	Il valore viene preso dal campo dest_mac, che viene estratto dal log non elaborato utilizzando i pattern grok e convertito in minuscolo.
device_id	principal.asset_id	Il valore viene preso dal campo device_id, che viene estratto dal log non elaborato utilizzando i pattern grok. Il valore finale è formattato come "ID dispositivo:".
device_ip	principal.ip, principal.asset.ip	Il valore viene preso dal campo device_ip, che viene estratto dal log non elaborato utilizzando il filtro kv. Il valore viene quindi analizzato come array JSON e ogni indirizzo IP nell'array viene aggiunto ai campi UDM.
device_type	target.resource.attribute.labels.value	Il valore viene estratto dal campo device_type, che viene estratto dal log non elaborato utilizzando i pattern grok.
dst_user	target.user.userid	Il valore viene preso dal campo dst_user, che viene estratto dal log non elaborato utilizzando i pattern grok.
email	src.hostname	Il valore viene preso dal campo email, che viene estratto dal log non elaborato utilizzando i pattern grok.
file_path	principal.process.file.full_path	Il valore viene preso dal campo file_path, che viene estratto dal log non elaborato utilizzando i pattern grok.
nome host	target.resource.attribute.labels.value	Il valore viene preso dal campo hostname, che viene estratto dal log non elaborato utilizzando i pattern grok.
id	principal.asset_id	Il valore viene estratto dal campo id, che viene estratto dal log non elaborato utilizzando i pattern grok. Il valore finale è formattato come "ID entità:".
ip_address	principal.ip, principal.asset.ip	Il valore viene preso dal campo ip_address, che viene estratto dal log non elaborato utilizzando i pattern grok.
log_level	security_result.severity	Il valore viene estratto dal campo log_level, che viene estratto dal log non elaborato utilizzando i pattern grok. Viene utilizzato per determinare il livello di gravità se severity non è presente.
mac_address	principal.mac, source_mac	Il valore viene estratto dal campo mac_address, che viene estratto dal log non elaborato utilizzando i pattern grok e convertito in minuscolo. Viene utilizzato anche come valore per source_mac se source_mac è vuoto.
oid	principal.asset.product_object_id	Il valore viene preso dal campo oid, che viene estratto dal log non elaborato utilizzando i pattern grok.
principal_ip	principal.ip, principal.asset.ip	Il valore viene estratto dal campo principal_ip, che viene estratto dal log non elaborato utilizzando i pattern grok.
principal_port	principal.port	Il valore viene preso dal campo principal_port, che viene estratto dal log non elaborato utilizzando i pattern grok e convertito in un numero intero.
process_name	principal.resource.name	Il valore viene preso dal campo process_name, che viene estratto dal log non elaborato utilizzando i pattern grok.
sec_description	security_result.description	Il valore viene estratto dal campo sec_description, che viene estratto dal log non elaborato utilizzando i pattern grok.
session_id	network.session_id	Il valore viene preso dal campo session_id, che viene estratto dal log non elaborato utilizzando i pattern grok.
gravità	security_result.severity	Il valore viene estratto dal campo severity, che viene estratto dal log non elaborato utilizzando i pattern grok. Viene utilizzato per determinare il livello di gravità, se presente.
source_mac	principal.mac	Il valore viene preso dal campo source_mac, che viene estratto dal log non elaborato utilizzando i pattern grok e convertito in minuscolo. Se vuoto, assume il valore di mac_address.
riepilogo	security_result.summary	Il valore viene preso dal campo summary, che viene estratto dal log non elaborato utilizzando i pattern grok.
target_ip	target.ip, target.asset.ip	Il valore viene estratto dal campo target_ip, che viene estratto dal log non elaborato utilizzando i pattern grok.
thread_pool	metadata.product_event_type	Il valore viene estratto dal campo thread_pool, che viene estratto dal log non elaborato utilizzando i pattern grok.
timestamp	metadata.event_timestamp	Il valore viene preso dal campo timestamp, che viene estratto dal log non elaborato utilizzando i pattern grok e poi convertito in un timestamp utilizzando il filtro della data.
Tipo	metadata.product_event_type	Il valore viene preso dal campo Type, che viene estratto dal log non elaborato utilizzando il filtro kv.
user_name	principal.user.userid	Il valore viene estratto dal campo user_name, che viene estratto dal log non elaborato utilizzando i pattern grok o il filtro kv.
metadata.event_type	metadata.event_type	Il valore viene determinato in base alla presenza di campi e pattern specifici nel log non elaborato. La logica include: - Valore predefinito: GENERIC_EVENT - Se thread_pool è "EmailAlertHelper": EMAIL_TRANSACTION - Se application_name è "aesSystem" e desc contiene "HealthMonitorHelper": STATUS_HEARTBEAT - Se user_present e target_resource_present sono entrambi true: USER_RESOURCE_ACCESS - Se user_present è true: USER_UNCATEGORIZED - Se principal_present e target_present sono entrambi true: NETWORK_CONNECTION - Se principal_present è true: STATUS_UPDATE - Se dst_user è presente e description contiene "logout": USER_LOGOUT - Se dst_user è presente e description non contiene "logout": USER_LOGIN
metadata.vendor_name	metadata.vendor_name	Il valore è impostato su "CISCO".
metadata.product_name	metadata.product_name	Il valore è impostato su "CISCO_PRIME".
metadata.log_type	metadata.log_type	Il valore è impostato su "CISCO_PRIME".
network.session_id	network.session_id	Il valore viene preso dal campo session_id, che viene estratto dal log non elaborato utilizzando i pattern grok.
principal.application	principal.application	Il valore viene estratto dal campo application_name, che viene estratto dal log non elaborato utilizzando i pattern grok.
principal.asset.ip	principal.asset.ip	Il valore può provenire dai seguenti campi: client_ip_address, device_ip, ip_address, principal_ip, target_ip.
principal.asset.product_object_id	principal.asset.product_object_id	Il valore viene estratto dal campo oid, che viene estratto dal log non elaborato utilizzando i pattern grok.
principal.asset_id	principal.asset_id	Il valore può provenire dai seguenti campi: device_id, id.
principal.ip	principal.ip	Il valore può provenire dai seguenti campi: client_ip_address, device_ip, ip_address, principal_ip.
principal.mac	principal.mac	Il valore può provenire dai seguenti campi: mac_address, source_mac.
principal.port	principal.port	Il valore viene preso dal campo principal_port, che viene estratto dal log non elaborato utilizzando i pattern grok e convertito in un numero intero.
principal.process.file.full_path	principal.process.file.full_path	Il valore viene estratto dal campo file_path, che viene estratto dal log non elaborato utilizzando i pattern grok.
principal.resource.name	principal.resource.name	Il valore viene preso dal campo process_name, che viene estratto dal log non elaborato utilizzando i pattern grok.
principal.user.userid	principal.user.userid	Il valore viene preso dal campo user_name, che viene estratto dal log non elaborato utilizzando i pattern grok o il filtro kv.
security_result.action	security_result.action	Il valore è impostato su "BLOCK" se description contiene "fail".
security_result.description	security_result.description	Il valore può provenire dai seguenti campi: desc, description, sec_description.
security_result.severity	security_result.severity	Il valore può provenire dai seguenti campi: log_level, severity.
security_result.summary	security_result.summary	Il valore viene estratto dal campo summary, che viene estratto dal log non elaborato utilizzando i pattern grok.
src.hostname	src.hostname	Il valore viene preso dal campo email, che viene estratto dal log non elaborato utilizzando i pattern grok.
target.asset.ip	target.asset.ip	Il valore viene estratto dal campo target_ip, che viene estratto dal log non elaborato utilizzando i pattern grok.
target.ip	target.ip	Il valore viene preso dal campo target_ip, che viene estratto dal log non elaborato utilizzando i pattern grok.
target.mac	target.mac	Il valore viene estratto dal campo dest_mac, che viene estratto dal log non elaborato utilizzando i pattern grok e convertito in minuscolo.
target.resource.attribute.labels.key	target.resource.attribute.labels.key	Il valore è impostato su "Tipo di dispositivo" o "Nome host del dispositivo" a seconda del contesto.
target.resource.attribute.labels.value	target.resource.attribute.labels.value	Il valore può provenire dai seguenti campi: device_type, hostname.
target.user.userid	target.user.userid	Il valore viene preso dal campo dst_user, che viene estratto dal log non elaborato utilizzando i pattern grok.
extensions.auth.mechanism	extensions.auth.mechanism	Il valore è impostato su "USERNAME_PASSWORD" se è presente dst_user e description contiene "password".
extensions.auth.type	extensions.auth.type	Il valore è impostato su "MACHINE" se è presente dst_user.
ts	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
principal_hostname	event.idm.read_only_udm.principal.hostname	Mappato dal log delle modifiche
target_hostname	event.idm.read_only_udm.target.hostname	Mappato dal log delle modifiche
target_port	event.idm.read_only_udm.target.port	Mappato dal log delle modifiche
device_hostname	target.resource.attribute.labels	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.