Reorganizamos la estructura de navegación de nuestra documentación para que se alinee directamente con tus flujos de trabajo operativos. Consulta las notas de la versión y el video explicativo para obtener más información.

Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Recopila registros del router Cisco

Versión del analizador: 24.0

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de routers de Cisco a Google Security Operations con el agente de Bindplane.

Los routers de Cisco generan mensajes de syslog para eventos de red, coincidencias de ACL, autenticación y operaciones del sistema. El analizador extrae campos con patrones de Grok y los asigna al modelo de datos unificado (UDM).

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

Una instancia de Google SecOps
Windows Server 2016 o versiones posteriores, o host de Linux con systemd
Conectividad de red entre el agente de Bindplane y el router de Cisco
Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
Acceso con privilegios a la CLI del router de Cisco

Obtén el archivo de autenticación de transferencia de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Agentes de recopilación.
Descarga el archivo de autenticación de transferencia
Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Nota: Este archivo JSON contiene credenciales para autenticar el agente de Bindplane en Google SecOps.

Obtén el ID de cliente de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Perfil.
Copia y guarda el ID de cliente de la sección Detalles de la organización.

Nota: Se requiere el ID de cliente para configurar el exportador del agente de Bindplane.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

Abre el símbolo del sistema o PowerShell como administrador.

Ejecuta el comando siguiente:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Espera a que se complete la instalación.
Ejecuta el siguiente comando para verificar la instalación:
```
sc query observiq-otel-collector
```
El servicio debería mostrarse como RUNNING.

Instalación en Linux

Abre una terminal con privilegios de administrador o sudo.

Ejecuta el comando siguiente:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Espera a que se complete la instalación.
Ejecuta el siguiente comando para verificar la instalación:
```
sudo systemctl status observiq-otel-collector
```
El servicio debería mostrarse como activo (en ejecución).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solucionar problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir registros de Syslog y enviarlos a Google SecOps

Ubica el archivo de configuración

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

Reemplaza todo el contenido de config.yaml con la siguiente configuración:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/cisco_router:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CISCO_ROUTER
        raw_log_field: body

service:
    pipelines:
        logs/cisco_router_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/cisco_router

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

Configuración del receptor:
- listen_address: Dirección IP y puerto que se escucharán:
  - 0.0.0.0 para escuchar en todas las interfaces (recomendado)
  - El puerto 514 es el puerto estándar de syslog (requiere acceso raíz en Linux; usa 1514 para acceso no raíz).
Configuración del exportador:
- creds_file_path: Ruta de acceso completa al archivo de autenticación de la transferencia:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: ID de cliente copiado de la consola de Google SecOps
- endpoint: URL del extremo regional:
  - EE.UU.: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Consulta Extremos regionales para obtener la lista completa.

Guarda el archivo de configuración

Después de editarlo, guarda el archivo:
- Linux: Presiona Ctrl+O, luego Enter y, después, Ctrl+X.
- Windows: Haz clic en Archivo > Guardar

Reinicia el agente de Bindplane para aplicar los cambios

Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

sudo systemctl restart observiq-otel-collector

Verifica que el servicio esté en ejecución:

```bash
sudo systemctl status observiq-otel-collector
```

Revisa los registros en busca de errores:

```bash
sudo journalctl -u observiq-otel-collector -f
```

Cómo configurar Syslog en un router de Cisco

Accede al router de Cisco.
Escalar privilegios:
```
enable
```
Cambia al modo de configuración:
```
conf t
```
Configura syslog:
```
logging host <BINDPLANE_IP> transport <tcp/udp> port <PORT>
logging source-interface <INTERFACE>
```
- Reemplaza <BINDPLANE_IP> por la dirección IP del agente de Bindplane.
- Reemplaza <tcp/udp> por el protocolo de escucha configurado (por ejemplo, udp).
- Reemplaza <INTERFACE> por el ID de la interfaz de Cisco (por ejemplo, Ethernet1/1).

Establece el nivel de prioridad:

logging trap Informational
logging console Informational
logging severity Informational

Establece la instalación de syslog:
```
logging facility local6
```
Habilita las marcas de tiempo:
```
service timestamps log datetime
```
Guarda y cierra.
Guarda la configuración para que se conserve después de reiniciar:
```
copy running-config startup-config
```

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
`client_ip`	target.ip, target.asset.ip	El valor se toma del campo `client_ip` que extrae el analizador de grok.
`client_mac`	target.mac	El valor se toma del campo `client_mac` que extrae el analizador de grok.
`dst_ip`	target.ip, target.asset.ip	El valor se toma del campo `dst_ip` que extrae el analizador de grok.
`dst_port`	target.port	El valor se toma del campo `dst_port` que extrae el analizador de grok y se convierte en un número entero.
`duration`	-	Este campo no se asigna al UDM.
`host_ip`	target.ip, target.asset.ip	El valor se toma del campo `host_ip` que extrae el analizador de grok.
`local_proxy`	intermediary.ip	El valor se toma del campo `local_proxy` que extrae el analizador de grok.
`message_data`	metadata.description	El valor se toma del campo `message_data` que extrae el analizador de grok.
`protocol`	network.ip_protocol	El valor se toma del campo `protocol` que extrae el analizador de grok y se convierte a mayúsculas.
`received_bytes`	network.received_bytes	El valor se toma del campo `received_bytes` que extrae el analizador de grok y se convierte en un número entero sin signo.
`referral_url`	network.http.referral_url	El valor se toma del campo `referral_url` que extrae el analizador de grok.
`remote_proxy`	intermediary.ip	El valor se toma del campo `remote_proxy` que extrae el analizador de grok.
`send_bytes`	network.sent_bytes	El valor se toma del campo `send_bytes` que extrae el analizador de grok y se convierte en un número entero sin signo.
`sent_bytes`	network.sent_bytes	El valor se toma del campo `sent_bytes` que extrae el analizador de grok y se convierte en un número entero sin signo.
`server_host`	target.hostname, target.asset.hostname	El valor se toma del campo `server_host` que extrae el analizador de grok.
`server_ip`	target.ip, target.asset.ip	El valor se toma del campo `server_ip` que extrae el analizador de grok.
`src_ip`	principal.ip, principal.asset.ip	El valor se toma del campo `src_ip` que extrae el analizador de grok.
`src_port`	principal.port	El valor se toma del campo `src_port` que extrae el analizador de grok y se convierte en un número entero.
`user_ip`	target.ip, target.asset.ip	El valor se toma del campo `user_ip` que extrae el analizador de grok.
`user_mail`	principal.user.userid, principal.user.email_addresses	El valor se toma del campo `user_mail` que extrae el analizador de grok.
`username`	target.user.userid	El valor se toma del campo `username` que extrae el analizador de grok.
-	metadata.event_timestamp	El valor se toma del campo `create_time`.
-	metadata.event_type	El valor se establece en `GENERIC_EVENT` de forma predeterminada y se cambia a tipos de eventos específicos según el mensaje de registro analizado.
-	metadata.log_type	El valor se establece en `CISCO_ROUTER`.
-	metadata.product_event_type	El valor se toma del campo `message_type`, que se genera combinando los campos `facility`, `priority` y `mnemonics`.
-	metadata.product_name	El valor se establece en `Router`.
-	metadata.vendor_name	El valor se establece en `Cisco`.
-	network.application_protocol	El valor se establece en `HTTP` o `HTTPS` si el campo `protocol` es `http` o `https`, respectivamente.
-	extensions.auth.type	El valor se establece en `AUTHTYPE_UNSPECIFIED` de forma predeterminada y se cambia a tipos de autenticación específicos según el mensaje de registro analizado.
-	security_result.action	El valor se establece en `ALLOW` para los accesos exitosos y en `BLOCK` para los accesos fallidos.
-	security_result.category	El valor se establece en `NETWORK_SUSPICIOUS` para los eventos con opciones de IP y en `AUTH_VIOLATION` para los intentos de acceso fallidos.
-	security_result.description	El valor se establece en mensajes específicos para diferentes eventos.
-	security_result.severity	El valor se establece en `LOW` para los accesos exitosos, en `MEDIUM` para los accesos fallidos y en `INFORMATIONAL` para otros eventos.
-	security_result.severity_details	El valor se toma del campo `fail_reason` para los intentos de acceso fallidos y se establece en `Informational message` para los eventos con opciones de IP.
-	security_result.summary	El valor se establece en mensajes específicos para diferentes eventos.
`SN`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`P`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`C`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`target_ip`	`event.idm.read_only_udm.target.ip`	Se asignó desde el registro de cambios
`target_ip`	`event.idm.read_only_udm.target.asset.ip`	Se asignó desde el registro de cambios
`target_port`	`event.idm.read_only_udm.target.port`	Se asignó desde el registro de cambios
`src_ip`	`event.idm.read_only_udm.principal.ip`	Se asignó desde el registro de cambios
`src_ip`	`event.idm.read_only_udm.principal.asset.ip`	Se asignó desde el registro de cambios
`dst_user`	`event.idm.read_only_udm.target.user.userid`	Se asignó desde el registro de cambios
`packet_count`	`event.idm.read_only_udm.additional`	Se asignó desde el registro de cambios
`status`	`event.idm.read_only_udm.security_result.action`	Se asignó desde el registro de cambios
`src_port`	`event.idm.read_only_udm.principal.port`	Se asignó desde el registro de cambios
`src_ip`	`event.idm.read_only_udm.principal.ip` y `event.idm.read_only_udm.principal.asset.ip`	Se asignó desde el registro de cambios
`user_name_`	`event.idm.read_only_udm.principal.user.userid`	Se asignó desde el registro de cambios
`sc_description`	`event.idm.read_only_udm.security_result.description`	Se asignó desde el registro de cambios
`packets`	`event.idm.read_only_udm.network.received_bytes`	Se asignó desde el registro de cambios
`tar_port`	`event.idm.read_only_udm.target.port`	Se asignó desde el registro de cambios
`tar_ip`	`event.idm.read_only_udm.target.ip`	Se asignó desde el registro de cambios
`tar_ip`	`event.idm.read_only_udm.target.asset.ip`	Se asignó desde el registro de cambios
`proto`	`event.idm.read_only_udm.network.ip_protocol`	Se asignó desde el registro de cambios
`src_ip_port`	`event.idm.read_only_udm.principal.port`	Se asignó desde el registro de cambios
`src_ip_msg`	`event.idm.read_only_udm.principal.ip` y `event.idm.read_only_udm.principal.asset.ip`	Se asignó desde el registro de cambios
`src_ip_msg_data`	`event.idm.read_only_udm.principal.ip` y `event.idm.read_only_udm.principal.asset.ip`	Se asignó desde el registro de cambios
`intermediary_host`	`intermediary.hostname`	Se asignó desde el registro de cambios
`srcip`	`principal.ip`	Se asignó desde el registro de cambios
`inter_hostname`	`intermediary.ip`	Se asignó desde el registro de cambios
`MessageSourceAddress`	`principal.ip`	Se asignó desde el registro de cambios
`SourceModuleName" and "SourceModuleType`	`principal.resource.attribute.labels`	Se asignó desde el registro de cambios
`resourcename`	`principal.resource.name`	Se asignó desde el registro de cambios
`app_protocol`	`network.application.protocol`	Se asignó desde el registro de cambios
`app`	`target.application`	Se asignó desde el registro de cambios
`source_port`	`principal.port`	Se asignó desde el registro de cambios
`source_ip`	`principal.ip`	Se asignó desde el registro de cambios
`device_ip`	`target.ip`	Se asignó desde el registro de cambios
`intermediary_ip`	`intermediary.ip`	Se asignó desde el registro de cambios
`sec_action`	`security_result.action`	Se asignó desde el registro de cambios
`sec_summary`	`security_result.summary`	Se asignó desde el registro de cambios
`facility`	`principal.resource.type`	Se asignó desde el registro de cambios
`sc_summary`	`metadata.description`	Se asignó desde el registro de cambios
`sr_action`	`security_result.action`	Se asignó desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.