Raccogli i log di Cisco Vision Dynamic Signage Director (in precedenza StadiumVision Director)

Parser Version: 1.0

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di Cisco Vision Dynamic Signage Director (precedentemente noto come StadiumVision Director) in Google Security Operations utilizzando Bindplane.

Cisco Vision Dynamic Signage Director è una piattaforma di segnaletica digitale e gestione dei contenuti progettata per stadi, arene e grandi strutture. Consente il controllo e la distribuzione centralizzati di contenuti multimediali a display digitali, tra cui video wall, tabelloni e menu digitali nelle reti di sedi.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Windows Server 2016 o versioni successive oppure host Linux con systemd
• Connettività di rete tra l'agente Bindplane e il server Cisco Vision Dynamic Signage Director
• Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
• Accesso privilegiato all'interfaccia web di Cisco Vision Dynamic Signage Director con il ruolo di amministratore
• Cisco Vision Dynamic Signage Director versione 6.4 o successive (il supporto di syslog è stato aggiunto nella versione 6.4)

Recupera le credenziali Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (Opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione del service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Editor Chronicle.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul tuo computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica di passare all'opzione 1 prima di questa data.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Nota: l'ID cliente è obbligatorio per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri Prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

Il servizio dovrebbe essere visualizzato come RUNNING.

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sudo systemctl status observiq-otel-collector
   

Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare il syslog e inviarlo a Google SecOps

Individua il file di configurazione

• Individua il file di configurazione sul tuo sistema operativo nel seguente modo:

  • Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

  • Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

• Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/cisco_vision:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '<PLACEHOLDER_CREDS_FILE_PATH>'
      customer_id: '<PLACEHOLDER_CUSTOMER_ID>'
      endpoint: chronicle.googleapis.com
      log_type: CISCO_STADIUMVISION
      raw_log_field: body
      ingestion_labels:
        source: cisco_vision_director
  
  service:
    pipelines:
      logs/cisco_vision_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/cisco_vision
  

Parametri di configurazione

Sostituisci i seguenti segnaposto:

• Configurazione del destinatario:

  • Il ricevitore è configurato per l'ascolto sulla porta UDP 514 su tutte le interfacce di rete (0.0.0.0:514)
  • Cisco Vision Director invia messaggi syslog utilizzando il formato RFC 5424 su UDP (trasporto RFC 5426)

• Configurazione dell'esportatore:

  • <PLACEHOLDER_CREDS_FILE_PATH>: percorso completo del file della chiave JSON del account di servizio (opzione 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <PLACEHOLDER_CUSTOMER_ID>: il tuo ID cliente Google SecOps
  • location: sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore aggiunge chronicle.googleapis.com come prefisso a questo valore. Per l'elenco completo, consulta Endpoint regionali.
  • project: sostituisci <PROJECT_NUMBER> con il numero di progetto da IAM e amministrazione > Impostazioni.
  • endpoint: mantieni l'impostazione chronicle.googleapis.com.

• Configurazione di esempio

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/cisco_vision:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
      endpoint: chronicle.googleapis.com
      log_type: CISCO_STADIUMVISION
      raw_log_field: body
      ingestion_labels:
        source: cisco_vision_director
        env: production
  
  service:
    pipelines:
      logs/cisco_vision_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/cisco_vision
  

Esportatore API di importazione legacy

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/cisco_vision:
      compression: gzip
      creds_file_path: '<PLACEHOLDER_CREDS_FILE_PATH>'
      customer_id: '<PLACEHOLDER_CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CISCO_STADIUMVISION
      raw_log_field: body
      ingestion_labels:
        source: cisco_vision_director
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Salva il file di configurazione

• Dopo la modifica, salva il file:
  • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X
  • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux:

1. Esegui questo comando:

   sudo systemctl restart observiq-otel-collector
   

2. Verifica che il servizio sia in esecuzione:

   sudo systemctl status observiq-otel-collector
   

3. Controlla i log per verificare la presenza di errori:

   sudo journalctl -u observiq-otel-collector -f
   

Per riavviare l'agente Bindplane in Windows:

1. Scegli una delle seguenti opzioni:

   • Prompt dei comandi o PowerShell come amministratore:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Console dei servizi:
     1. Premi Win+R, digita services.msc e premi Invio.
     2. Individua observIQ OpenTelemetry Collector.
     3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

2. Verifica che il servizio sia in esecuzione:

   sc query observiq-otel-collector
   

3. Controlla i log per verificare la presenza di errori:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Configura l'inoltro di syslog di Cisco Vision Dynamic Signage Director

Abilita syslog su Cisco Vision Director

1. Accedi all'interfaccia web di Cisco Vision Dynamic Signage Director con le credenziali di amministratore.
2. Vai a Configuration > System Configuration > Dynamic Signage Director Setting > Syslog Configuration.
3. Seleziona Abilita Syslog dal riquadro Proprietà di configurazione.
4. Fai clic su Modifica. Viene visualizzata la finestra di dialogo Modifica impostazione di configurazione.
5. Seleziona true dal menu a discesa.
6. Fai clic su Salva.

Nota: il valore predefinito per Enable Syslog è false. Se imposti questo valore su true, Cisco Vision Director può inviare i file di log di sistema a un server syslog esterno.

Configura l'indirizzo IP e la porta del server syslog

1. Nella stessa sezione Syslog Configuration (Configurazione Syslog), seleziona Syslog Server IP & Port (IP e porta del server Syslog).
2. Fai clic su Modifica. Viene visualizzata la finestra di dialogo Modifica configurazione.
3. Nel campo Valore, inserisci l'indirizzo IP e la porta dell'host dell'agente Bindplane nel formato IP_ADDRESS:PORT.
   • Ad esempio: 192.168.1.100:514
   • Sostituisci 192.168.1.100 con l'indirizzo IP effettivo dell'host dell'agente Bindplane.
   • Utilizza la porta 514 per far corrispondere la configurazione dell'agente Bindplane
4. Fai clic su Salva.
5. Verifica che l'indirizzo IP e la porta vengano visualizzati nel campo IP e porta del server Syslog.

Nota: Cisco Vision Director inoltra i file di log di sistema utilizzando il formato RFC 5424 (il formato più recente dei messaggi syslog) tramite il trasporto UDP (RFC 5426).

(Facoltativo) Abilita l'inoltro del syslog DMP tramite Director

Se vuoi inoltrare i log di sistema di Digital Media Player (DMP) tramite Cisco Vision Director al server syslog esterno:

1. Nella sezione Configurazione Syslog, seleziona Attiva Syslog DMP tramite Director.
2. Fai clic su Modifica. Viene visualizzata la finestra di dialogo Modifica impostazione di configurazione.
3. Modifica il Valore in true.
4. Fai clic su Salva.

Nota: questa impostazione consente di inoltrare i file di log di sistema DMP al server syslog esterno tramite Cisco Vision Director, ad eccezione dei log DWS. Il valore predefinito è false.

Verifica la configurazione di syslog

1. Dopo aver salvato la configurazione, verifica che i log vengano inviati all'agente Bindplane.

2. Controlla i log dell'agente Bindplane per i messaggi syslog in entrata:

   • Linux:

   sudo journalctl -u observiq-otel-collector -f
   

   • Windows:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

3. Dovresti visualizzare voci di log che indicano la ricezione e l'inoltro corretti dei messaggi syslog di Cisco Vision Director.

Risorse di configurazione aggiuntive

Per ulteriori informazioni sulla configurazione del syslog di Cisco Vision Dynamic Signage Director, consulta la seguente documentazione di Cisco:

• Note di rilascio di Cisco Vision Dynamic Signage Director per la release 6.4
• Cisco Vision Dynamic Signage Director Administration Guide Release 6.4

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
intem_host	intermediary.hostname	Nome host del dispositivo intermediario
desc, data	metadata.description	Descrizione aggiuntiva dell'evento
	metadata.event_type	Tipo di evento rappresentato dalla voce di log
event_category	metadata.product_event_type	Tipo di evento specifico del prodotto
	network.application_protocol	Protocollo applicativo utilizzato nella connessione
metodo	network.http.method	Metodo HTTP utilizzato nella richiesta
risposta	network.http.response_code	Codice di risposta HTTP
user_agent	network.http.user_agent	Stringa dello user agent dalla richiesta HTTP
ses	network.session_id	Identificatore della sessione di rete
applicazione	principal.application	Applicazione associata all'entità
prin_ip	principal.ip	Indirizzo IP associato al principal
pid	principal.process.pid	ID di processo dell'entità
acct	principal.user.userid	ID utente del principal
action_result	security_result.action	Azione intrapresa dal sistema di sicurezza
res, task	security_result.action_details	Dettagli dell'azione di sicurezza
msg_data, desc	security_result.description	Descrizione del risultato di sicurezza
grantors, method_name, type, name, count, m1_rate, m5_rate, m15_rate, mean_rate, rate_unit, duration_unit	security_result.detection_fields	Campi aggiuntivi relativi al rilevamento
gravità	security_result.severity	Livello di gravità del risultato di sicurezza
op, act_detail	security_result.summary	Riepilogo del risultato di sicurezza
exe, ENV	target.file.full_path	Percorso completo del file di destinazione
COMANDO	target.process.command_line	Riga di comando del processo di destinazione
path, url	target.url	URL associato al target
UTENTE	target.user.userid	ID utente del target

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.