Raccogli i log del sistema di prevenzione delle intrusioni wireless (WIPS) di Cisco

Parser Version: 1.0

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di Cisco Wireless Intrusion Prevention System (WIPS) in Google Security Operations utilizzando l'agente Bindplane.

Il parser estrae le coppie chiave-valore dai messaggi syslog, quindi mappa questi valori ai campi del modello UDM (Unified Data Model). Determina il tipo di evento appropriato in base alla presenza di informazioni su entità, target e utente e classifica gli eventi di sicurezza in base a eventType e ad altri campi.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Windows Server 2016 o versioni successive oppure host Linux con systemd
• Connettività di rete tra l'agente Bindplane e il punto di accesso (AP) o il controller wireless LAN (WLC) Cisco
• Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
• Accesso con privilegi al punto di accesso (AP) Cisco o al controller LAN wireless (WLC)

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino al ritiro dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla Google Cloud console e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio, bindplane-ingest).
   • Descrizione del service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul tuo computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion legacy (malachiteingestion-pa.googleapis.com), il cui fine del ciclo di vita è previsto da Google per il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.

3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

   Nota: l'ID cliente è obbligatorio per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri Prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come RUNNING.

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sudo systemctl status observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare il syslog e inviarlo a Google SecOps

Individua il file di configurazione

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

• Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/cisco_wips:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: CISCO_WIPS
      raw_log_field: body
  
  service:
    pipelines:
      logs/cisco_wips_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/cisco_wips
  

Parametri di configurazione

Sostituisci i seguenti segnaposto:

• Configurazione del ricevitore:

  • listen_address: indirizzo IP e porta su cui ascoltare:
    • 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
    • La porta 514 è la porta syslog standard (richiede l'accesso root su Linux; utilizza 1514 per l'accesso non root)

• Configurazione dell'esportatore:

  • creds_file_path: percorso completo del file della chiave JSON del account di servizio (opzione 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID cliente copiato dalla console Google SecOps
  • location: sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore aggiunge chronicle.googleapis.com come prefisso a questo valore. Per l'elenco completo, consulta Endpoint regionali.
  • project: sostituisci <PROJECT_NUMBER> con il numero di progetto in IAM e amministrazione > Impostazioni.
  • endpoint: mantieni l'impostazione chronicle.googleapis.com.

Esportatore dell'API di importazione precedente

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'importazione e, se la tua istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con l'endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/cisco_wips:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CISCO_WIPS
      raw_log_field: body
  

Nota: questo esportatore smetterà di funzionare quando l'API Ingestion verrà ritirata il 20 luglio 2027.

Salva il file di configurazione

• Dopo la modifica, salva il file:
  • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X
  • Windows: fai clic su File > Salva

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifica che il servizio sia in esecuzione:

     sudo systemctl status observiq-otel-collector
     

  2. Controlla i log per verificare la presenza di errori:

     sudo journalctl -u observiq-otel-collector -f
     

• Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

  • Prompt dei comandi o PowerShell come amministratore:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console Servizi:

    1. Premi Win+R, digita services.msc e premi Invio.
    2. Individua observIQ OpenTelemetry Collector.
    3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

    4. Verifica che il servizio sia in esecuzione:

       sc query observiq-otel-collector
       

    5. Controlla i log per individuare eventuali errori:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configura il sistema di prevenzione delle intrusioni wireless adattivo (aWIPS) su Cisco Catalyst

1. Accedi a Cisco Catalyst utilizzando SSH.

2. Inserisci la configurazione globale per abilitare aWIPS nel profilo AP:

   configure terminal
   ap profile <profile-name>
   awips
   

3. Configura l'intervallo di limitazione di syslog su 60 secondi:

   awips-syslog throttle period 60
   

Configura syslog utilizzando i profili AP Cisco

1. Nel profilo di unione AP (tramite CLI):

   configure terminal
   ap profile <profile-name>
   syslog host <BINDPLANE_IP>
   syslog level informational
   syslog facility local0
   end
   

2. Sostituisci <BINDPLANE_IP> con l'indirizzo IP dell'agente Bindplane.

Configura syslog su Cisco WLC (GUI)

1. Accedi alla UI web del WLC.
2. Vai a Gestione > Log > Configurazione.
3. Inserisci l'indirizzo IP dell'agente Bindplane nel campo Syslog Server IP Address (Indirizzo IP del server Syslog).
4. Fai clic su Aggiungi.
5. Fornisci i seguenti dettagli di configurazione:
   • Gravità Syslog: seleziona Informativo.
   • Syslog Facility (Funzione Syslog): seleziona Local Use 0 (Utilizzo locale 0).
6. Fai clic su Applica.
7. Fai clic su Salva configurazione.

Configura syslog sui punti di accesso utilizzando WLC (CLI)

1. Host syslog AP globale:

   config ap syslog host global <BINDPLANE_IP>
   

2. Configura l'host syslog AP specifico:

   config ap syslog host specific <AP-name> <BINDPLANE_IP>
   

3. Imposta la gravità del syslog dell'AP:

   config ap logging syslog level informational
   

4. Imposta la facility per i messaggi AP:

   config logging syslog facility local0
   

5. Sostituisci <BINDPLANE_IP> con l'indirizzo IP dell'agente Bindplane.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
applicationCategoryData	security_result.summary	Mappato direttamente.
applicationSpecificAlarmID	target.resource.attribute.labels.applicationSpecificAlarmID	Convertito in un'etichetta sulla risorsa di destinazione.
attackerMacAddr	target.mac	Mappato direttamente.
authEntityId	principal.resource.attribute.labels.authEntityId	Convertita in un'etichetta sulla risorsa principale.
category	security_result.category_details	Mappato direttamente.
detectingApCount	target.resource.attribute.labels.detectingApCount	Convertito in un'etichetta sulla risorsa di destinazione.
description	metadata.description	Mappato direttamente.
displayName	principal.user.userid	Estratto utilizzando l'espressione regolare host/(?P<user_id>[\\w-]+) da displayName se il pattern corrisponde.
eventType	metadata.product_event_type	Mappato direttamente.
instanceId	principal.resource.attribute.labels.instanceId	Convertita in un'etichetta sulla risorsa principale.
instanceUuid	metadata.product_log_id	Mappato direttamente.
instanceVersion	principal.resource.attribute.labels.instanceVersion	Convertito in un'etichetta sulla risorsa principale.
macInfo	target.resource.attribute.labels.macInfo	Convertito in un'etichetta sulla risorsa di destinazione.
notificationDeliveryMechanism	target.resource.attribute.labels.notificationDeliveryMechanism, network.ip_protocol	Convertito in un'etichetta sulla risorsa di destinazione. Se il valore contiene "snmp" (senza distinzione tra maiuscole e minuscole), network.ip_protocol viene impostato su "UDP".
previousSeverity	target.resource.attribute.labels.previousSeverity	Convertito in un'etichetta sulla risorsa di destinazione. Imposta "AUTHTYPE_UNSPECIFIED" se eventType è "USER_AUTHENTICATION_FAILURE" e user_id non è vuoto. Copiato dal campo timestamp del log. Determinato dalla logica del parser in base a diverse condizioni: "USER_LOGIN" se eventType è "USER_AUTHENTICATION_FAILURE" e user_id non è vuoto. "NETWORK_CONNECTION" se is_target_present e is_principal_present sono entrambi true. "STATUS_UPDATE" se is_principal_present è true. "USER_UNCATEGORIZED" se user_id non è vuoto. "GENERIC_EVENT" altrimenti. Impostato come hardcoded su "CISCO_WIPS". Codificato in modo permanente su "Sistema di prevenzione delle intrusioni wireless (WIPS)". Impostato come hardcoded su "Cisco". Imposta su "UDP" se notificationDeliveryMechanism contiene "snmp" (senza distinzione tra maiuscole e minuscole). Mappato da reportingEntityAddress o source se non sono IP. Mappati da reportingEntityAddress o source se sono IP. Estratto utilizzando l'espressione regolare da source se si tratta di un indirizzo MAC. Convertita in un'etichetta sulla risorsa principale. Convertita in un'etichetta sulla risorsa principale.
reportingEntityAddress	principal.ip, principal.hostname	Se si tratta di un indirizzo IP, mappato su principal.ip. In caso contrario, viene mappato a principal.hostname.
severity	security_result.severity	Mappato in base a queste condizioni: "CRITICO" se severity è "0", "1", "CRITICO" o "MOLTO ALTO". "HIGH" se severity è "2", "3", "4" o "HIGH". "MEDIUM" se severity è "5" o "MEDIUM". "LOW" se severity è "6", "7" o "LOW".
sigAlertDescription	security_result.description	Mappato direttamente.
signatureName	target.resource.attribute.labels.signatureName	Convertito in un'etichetta sulla risorsa di destinazione.
source	principal.hostname, principal.ip, principal.mac	Se si tratta di un indirizzo IP, viene mappato a principal.ip. Se si tratta di un indirizzo MAC, mappato a principal.mac. In caso contrario, viene mappato su principal.hostname.
srcObjectClassId	principal.resource.attribute.labels.srcObjectClassId	Convertito in un'etichetta sulla risorsa principale.
srcObjectId	principal.resource.attribute.labels.srcObjectId	Convertita in un'etichetta sulla risorsa principale.
subclassName	security_result.rule_name	Mappato direttamente. Impostato su "BLOCK" se applicationSpecificAlarmID contiene "BlockList" (senza distinzione tra maiuscole e minuscole) o se eventType è uno dei valori "SIGNATURE_ATTACK", "MALICIOUS_ROGUE_AP_DETECTED" o "USER_AUTHENTICATION_FAILURE". Determinato dalla logica del parser in base a eventType: "NETWORK_MALICIOUS" se eventType è "MALICIOUS_ROGUE_AP_DETECTED". "NETWORK_SUSPICIOUS" se eventType è "SIGNATURE_ATTACK". "AUTH_VIOLATION" se eventType è "USER_AUTHENTICATION_FAILURE".
timestamp	metadata.event_timestamp	I campi seconds e nanos sono mappati direttamente.

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.