Cisco ルーターのログを収集する

パーサーのバージョン: 24.0

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して Cisco ルーターのログを Google Security Operations に取り込む方法について説明します。

Cisco ルーターは、ネットワーク イベント、ACL の一致、認証、システム オペレーションの syslog メッセージを生成します。パーサーは grok パターンを使用してフィールドを抽出し、Unified Data Model（UDM）にマッピングします。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • Bindplane エージェントと Cisco ルーター間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します
  • Cisco ルーターの CLI への特権アクセス

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイルをダウンロードする

  4. Bindplane エージェントがインストールされるシステムに、ファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

  1. 管理者としてコマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

    サービスは RUNNING と表示されます。

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

    サービスが [アクティブ（実行中）] と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/cisco_router:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CISCO_ROUTER
        raw_log_field: body

service:
    pipelines:
        logs/cisco_router_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/cisco_router

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • listen_address: リッスンする IP アドレスとポート:
      • すべてのインターフェースでリッスンする 0.0.0.0（推奨）
      • ポート 514 は標準の syslog ポートです（Linux で root が必要。root 以外の場合は 1514 を使用）

  • エクスポータの構成:

    • creds_file_path: 取り込み認証ファイルのフルパス:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Google SecOps コンソールからコピーしたお客様 ID
    • endpoint: リージョナル エンドポイント URL:
      • 米国: malachiteingestion-pa.googleapis.com
      • ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
      • アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
      • 完全なリストについては、リージョン エンドポイントをご覧ください。

構成ファイルを保存する

  • 編集後、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
    • Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

    1. サービスが実行されていることを確認します。

      ```bash
sudo systemctl status observiq-otel-collector
```

    2. ログでエラーを確認します。

      ```bash
sudo journalctl -u observiq-otel-collector -f
```

Cisco ルーターで syslog を構成する

  1. Cisco ルーターにログインします。

  2. 権限の昇格:

    enable

  3. 構成モードに切り替えます。

    conf t

  4. syslog を構成します。

    logging host <BINDPLANE_IP> transport <tcp/udp> port <PORT>
logging source-interface <INTERFACE>
    • <BINDPLANE_IP> は、Bindplane エージェントの IP アドレスに置き換えます。
    • <tcp/udp> は、構成されたリスニング プロトコル（udp など）に置き換えます。
    • <INTERFACE> は、Cisco インターフェース ID（Ethernet1/1 など）に置き換えます。

  5. 優先度を設定します。

    logging trap Informational
logging console Informational
logging severity Informational

  6. syslog ファシリティを設定します。

    logging facility local6

  7. タイムスタンプを有効にする:

    service timestamps log datetime

  8. 保存して終了します。

  9. 再起動後も構成を維持するには、構成を保存します。

    copy running-config startup-config

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
client_ip target.ip、target.asset.ip 値は、grok パーサーによって抽出された client_ip フィールドから取得されます。
client_mac target.mac 値は、grok パーサーによって抽出された client_mac フィールドから取得されます。
dst_ip target.ip、target.asset.ip 値は、grok パーサーによって抽出された dst_ip フィールドから取得されます。
dst_port target.port 値は、grok パーサーによって抽出された dst_port フィールドから取得され、整数に変換されます。
duration - このフィールドは UDM にマッピングされません。
host_ip target.ip、target.asset.ip 値は、grok パーサーによって抽出された host_ip フィールドから取得されます。
local_proxy intermediary.ip 値は、grok パーサーによって抽出された local_proxy フィールドから取得されます。
message_data metadata.description 値は、grok パーサーによって抽出された message_data フィールドから取得されます。
protocol network.ip_protocol 値は、grok パーサーによって抽出された protocol フィールドから取得され、大文字に変換されます。
received_bytes network.received_bytes 値は、grok パーサーによって抽出された received_bytes フィールドから取得され、符号なし整数に変換されます。
referral_url network.http.referral_url 値は、grok パーサーによって抽出された referral_url フィールドから取得されます。
remote_proxy intermediary.ip 値は、grok パーサーによって抽出された remote_proxy フィールドから取得されます。
send_bytes network.sent_bytes 値は、grok パーサーによって抽出された send_bytes フィールドから取得され、符号なし整数に変換されます。
sent_bytes network.sent_bytes 値は、grok パーサーによって抽出された sent_bytes フィールドから取得され、符号なし整数に変換されます。
server_host target.hostname、target.asset.hostname 値は、grok パーサーによって抽出された server_host フィールドから取得されます。
server_ip target.ip、target.asset.ip 値は、grok パーサーによって抽出された server_ip フィールドから取得されます。
src_ip principal.ip、principal.asset.ip 値は、grok パーサーによって抽出された src_ip フィールドから取得されます。
src_port principal.port 値は、grok パーサーによって抽出された src_port フィールドから取得され、整数に変換されます。
user_ip target.ip、target.asset.ip 値は、grok パーサーによって抽出された user_ip フィールドから取得されます。
user_mail principal.user.userid、principal.user.email_addresses 値は、grok パーサーによって抽出された user_mail フィールドから取得されます。
username target.user.userid 値は、grok パーサーによって抽出された username フィールドから取得されます。
- metadata.event_timestamp 値は create_time フィールドから取得されます。
- metadata.event_type デフォルトでは GENERIC_EVENT に設定され、解析されたログメッセージに基づいて特定のイベントタイプに変更されます。
- metadata.log_type 値は CISCO_ROUTER に設定されています。
- metadata.product_event_type 値は、facility、priority、mnemonics の各フィールドを組み合わせて生成された message_type フィールドから取得されます。
- metadata.product_name 値は Router に設定されています。
- metadata.vendor_name 値は Cisco に設定されています。
- network.application_protocol protocol フィールドが http または https の場合、値はそれぞれ HTTP または HTTPS に設定されます。
- extensions.auth.type デフォルトでは AUTHTYPE_UNSPECIFIED に設定され、解析されたログメッセージに基づいて特定の認証タイプに変更されます。
- security_result.action ログインが成功した場合は ALLOW に、ログインが失敗した場合は BLOCK に設定されます。
- security_result.category IP オプションを含むイベントの場合は NETWORK_SUSPICIOUS に、ログイン失敗の場合は AUTH_VIOLATION に設定されます。
- security_result.description この値は、イベントごとに異なる特定のメッセージに設定されます。
- security_result.severity ログインが成功した場合は LOW、ログインが失敗した場合は MEDIUM、その他のイベントの場合は INFORMATIONAL に設定されます。
- security_result.severity_details この値は、ログイン失敗の場合は fail_reason フィールドから取得され、IP オプションを含むイベントの場合は Informational message に設定されます。
- security_result.summary この値は、イベントごとに異なる特定のメッセージに設定されます。
SN event.idm.read_only_udm.additional.fields 変更履歴からマッピング
P event.idm.read_only_udm.additional.fields 変更履歴からマッピング
C event.idm.read_only_udm.additional.fields 変更履歴からマッピング
target_ip event.idm.read_only_udm.target.ip 変更履歴からマッピング
target_ip event.idm.read_only_udm.target.asset.ip 変更履歴からマッピング
target_port event.idm.read_only_udm.target.port 変更履歴からマッピング
src_ip event.idm.read_only_udm.principal.ip 変更履歴からマッピング
src_ip event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
dst_user event.idm.read_only_udm.target.user.userid 変更履歴からマッピング
packet_count event.idm.read_only_udm.additional 変更履歴からマッピング
status event.idm.read_only_udm.security_result.action 変更履歴からマッピング
src_port event.idm.read_only_udm.principal.port 変更履歴からマッピング
src_ip event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
user_name_ event.idm.read_only_udm.principal.user.userid 変更履歴からマッピング
sc_description event.idm.read_only_udm.security_result.description 変更履歴からマッピング
packets event.idm.read_only_udm.network.received_bytes 変更履歴からマッピング
tar_port event.idm.read_only_udm.target.port 変更履歴からマッピング
tar_ip event.idm.read_only_udm.target.ip 変更履歴からマッピング
tar_ip event.idm.read_only_udm.target.asset.ip 変更履歴からマッピング
proto event.idm.read_only_udm.network.ip_protocol 変更履歴からマッピング
src_ip_port event.idm.read_only_udm.principal.port 変更履歴からマッピング
src_ip_msg event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
src_ip_msg_data event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
intermediary_host intermediary.hostname 変更履歴からマッピング
srcip principal.ip 変更履歴からマッピング
inter_hostname intermediary.ip 変更履歴からマッピング
MessageSourceAddress principal.ip 変更履歴からマッピング
SourceModuleName" and "SourceModuleType principal.resource.attribute.labels 変更履歴からマッピング
resourcename principal.resource.name 変更履歴からマッピング
app_protocol network.application.protocol 変更履歴からマッピング
app target.application 変更履歴からマッピング
source_port principal.port 変更履歴からマッピング
source_ip principal.ip 変更履歴からマッピング
device_ip target.ip 変更履歴からマッピング
intermediary_ip intermediary.ip 変更履歴からマッピング
sec_action security_result.action 変更履歴からマッピング
sec_summary security_result.summary 変更履歴からマッピング
facility principal.resource.type 変更履歴からマッピング
sc_summary metadata.description 変更履歴からマッピング
sr_action security_result.action 変更履歴からマッピング

変更履歴

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。