איסוף יומנים של Palo Alto Prisma SD-WAN

גרסת כלי הניתוח: 3.0

נתמך ב:

במסמך הזה מוסבר איך להטמיע יומני Palo Alto Prisma SD-WAN (לשעבר CloudGenix) ב-Google Security Operations באמצעות סוכן Bindplane.

‫Palo Alto Prisma SD-WAN הוא פתרון של רשת רחבת-היקף מוגדרת-תוכנה (SD-WAN) שמבוסס על ענן. הוא מספק ניתוב מודע לאפליקציות, ניהול מרכז המדיניות וקישוריות אוטומטית של סניפים. היא מפשטת את הפעולות ב-WAN על ידי החלפת רשתות מסורתיות שמבוססות על נתבים ברשת מאובטחת שמוגדרת על ידי אפליקציות, מבצעת אופטימיזציה של הביצועים ומפחיתה את העלויות.

מידע נוסף זמין במאמרי העזרה בנושא Palo Alto Prisma SD-WAN.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • מארח עם Windows 2016 ואילך או Linux עם systemd
  • אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • גישת אדמין למסוף הניהול של Palo Alto Prisma SD-WAN (Strata Cloud Manager או CloudGenix Controller מדור קודם)
  • קישוריות לרשת בין המארח של סוכן Bindplane לבין מכשירי Prisma SD-WAN ION

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות SIEM > סוכני איסוף.

  3. מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile.
  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

איתור קובץ ההגדרות

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ ההגדרות

  • מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/cloudgenix_sdwan:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<CUSTOMER_ID>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CLOUDGENIX_SDWAN
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/cloudgenix_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/cloudgenix_sdwan

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה. משתמשים ב-0.0.0.0 כדי להאזין בכל הממשקים. יציאה 514 היא יציאה רגילה ל-syslog (נדרשות הרשאות root ב-Linux; משתמשים ב-1514 אם אין הרשאות root).

  • הגדרת כלי הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים ב-Google SecOps.
      • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫<CUSTOMER_ID>: מספר הלקוח ב-Google SecOps.
    • endpoint: כתובת ה-URL של נקודת הקצה האזורית:
      • ארה"ב: malachiteingestion-pa.googleapis.com
      • אירופה: europe-malachiteingestion-pa.googleapis.com
      • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
      • לרשימה המלאה, ראו נקודות קצה אזוריות.

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:

    • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
    • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים אחת מהאפשרויות הבאות:

    1. שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    2. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.

    3. מאתרים את observIQ OpenTelemetry Collector.

    4. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    5. מוודאים שהשירות פועל:

      sc query observiq-otel-collector

    6. בודקים אם יש שגיאות ביומנים:

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog ב-Palo Alto Prisma SD-WAN

אפשר להגדיר העברת syslog במכשירי ION נפרדים או ליצור פרופיל syslog לשימוש חוזר שאפשר להחיל על כמה מכשירים.

אפשרות 1: הגדרת ייצוא של syslog במכשיר ION ספציפי

  1. נכנסים ל-Strata Cloud Manager עם הרשאות אדמין.
  2. עוברים אל הגדרה > Prisma SD-WAN > מכשירי ION > נדרש אימות.
  3. בוחרים את מכשיר ה-ION שרוצים להגדיר להעברת נתוני syslog.
  4. לוחצים על הגדרת המכשיר.
  5. בוחרים באפשרות ייצוא Syslog.
  6. לוחצים על Create Syslog Server (יצירת שרת Syslog).
  7. בוחרים באפשרות הפעלת שרת Syslog הזה.
  8. מספקים את פרטי ההגדרה הבאים:
    • שם: מזינים שם תיאורי (לדוגמה, SecOps-Bindplane).
    • כתובת ה-IP של השרת או שם הדומיין המלא (FQDN) של השרת: בוחרים באפשרות כתובת ה-IP של השרת ומזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
    • יציאת השרת: מזינים 514 (או את היציאה שהוגדרה בסוכן Bindplane). יציאות ברירת המחדל הן 514 ל-TCP או ל-UDP ו-6514 ל-TLS.
    • פרוטוקול: בוחרים באפשרות UDP (ברירת מחדל), TCP או TLS.
    • רמת חומרה: בוחרים באפשרות קריטית, גבוהה או נמוכה. יוצאו יומנים ואירועים ברמת החומרה שנבחרה וברמות חומרה גבוהות יותר.
  9. כדי לייצא יומני זרימה, מפעילים את האפשרות Flow Logging (רישום ביומן של זרימה).
  10. לוחצים על Save.

  11. כדי לוודא שהודעות syslog מתקבלות, בודקים את יומן הפעילות של סוכן Bindplane.

אפשרות 2: יצירת פרופיל syslog לשימוש חוזר

  1. נכנסים ל-Strata Cloud Manager עם הרשאות אדמין.
  2. עוברים אל הגדרה > Prisma SD-WAN > פרופילים ותבניות > Syslog.
  3. לוחצים על Create Syslog Profile (יצירת פרופיל Syslog).
  4. מספקים את פרטי ההגדרה הבאים:
    • שם: מזינים שם לפרופיל ה-syslog (לדוגמה, SecOps-Bindplane).
    • תיאור: אפשר להזין תיאור.
    • כתובת ה-IP של השרת או שם המארח המלא של השרת: בוחרים באפשרות כתובת ה-IP של השרת ומזינים את כתובת ה-IP של המארח של סוכן Bindplane.
    • יציאת השרת: מזינים 514 (או את היציאה שהוגדרה בסוכן Bindplane).
    • פרוטוקול: בוחרים באפשרות UDP.
  5. בקטע Security Logs (יומני אבטחה), בוחרים את סוגי היומנים שרוצים להעביר:
    • איום: יומני זיהוי איומים.
    • ‫DNS: יומני אבטחה של DNS.
    • כתובת URL: יומני סינון כתובות URL.
  6. לוחצים על Save.
  7. מקצים את פרופיל ה-syslog למכשירי ה-ION הרצויים דרך הגדרת המכשיר.

  8. כדי לוודא שהודעות syslog מתקבלות, בודקים את היומנים של סוכן Bindplane.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
_about about ממוזג
_intermediary intermediary ממוזג
MSG metadata.description מיפוי ישיר
CODE metadata.product_event_type מיפוי ישיר
FACILITY metadata.product_event_type מיפוי ישיר
log_type metadata.product_event_type מיפוי ישיר
APP_NAME network.http.user_agent מיפוי ישיר
PROTOCOL_NAME network.ip_protocol מיפוי ישיר
BYTES_RECVD network.received_bytes מיפוי ישיר
BYTES_SENT network.sent_bytes מיפוי ישיר
CLOUDGENIX_HOST principal.hostname מיפוי ישיר
ION_HOST principal.hostname מיפוי ישיר
NAME principal.hostname מיפוי ישיר
SRC_INTERFACE principal.hostname מיפוי ישיר
SRC_IP principal.ip ממוזג
src_ip principal.ip ממוזג
SRC_PORT principal.port מיפוי ישיר
PROCESS_NAME principal.process.file.full_path מיפוי ישיר
pid principal.process.pid מיפוי ישיר
sec_result security_result ממוזג
DST_INTERFACE target.hostname מיפוי ישיר
REMOTE_HOSTNAME target.hostname מיפוי ישיר
DST_IP target.ip ממוזג
REMOTE_IP target.ip ממוזג
dest_ip target.ip ממוזג
DST_PORT target.port מיפוי ישיר
VPN_LINK_ID target.resource.id מיפוי ישיר
לא רלוונטי about קבוע: _about
לא רלוונטי intermediary קבוע: _intermediary
לא רלוונטי metadata.event_type קבוע: GENERIC_EVENT
לא רלוונטי metadata.product_name קבוע: CloudGenix SD-WAN
לא רלוונטי metadata.vendor_name קבוע: Palo Alto Networks
לא רלוונטי network.received_bytes קבוע: uinteger
לא רלוונטי network.sent_bytes קבוע: uinteger
לא רלוונטי principal.ip קבוע: src_ip
לא רלוונטי security_result קבוע: sec_result
לא רלוונטי target.ip קבוע: REMOTE_IP

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.