‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של Palo Alto Prisma SD-WAN

גרסת המנתח: 3.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני Palo Alto Prisma SD-WAN (לשעבר CloudGenix) ב-Google Security Operations באמצעות סוכן Bindplane.

‫Palo Alto Prisma SD-WAN הוא פתרון לרשת תקשורת מרחבית (WAN) מבוססת-תוכנה בענן, שמספק ניתוב עם מודעות לאפליקציות, ניהול מרכז המדיניות וקישוריות אוטומטית לסניפים. הוא מפשט את פעולות ה-WAN על ידי החלפת רשתות מסורתיות שמתמקדות בנתבים במארג מאובטח שמוגדר על ידי אפליקציות, שמבצע אופטימיזציה של הביצועים ומפחית את העלויות.

מידע נוסף זמין במסמכי התיעוד של Palo Alto Prisma SD-WAN.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

מכונה של Google SecOps
מארח עם Windows 2016 ואילך או Linux עם systemd
אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
גישה עם הרשאות למסוף הניהול של Palo Alto Prisma SD-WAN (‏Strata Cloud Manager או CloudGenix Controller מדור קודם)
קישוריות רשת בין המארח של סוכן Bindplane לבין מכשירי Prisma SD-WAN ION

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
נכנסים לדף IAM & Admin > Service Accounts.
לוחצים על Create service account.
מזינים את פרטי ההגדרה הבאים:
- Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
- Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
לוחצים על Create and continue.
בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
לוחצים על המשך ואז על סיום.
לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
לוחצים על Add key > Create new key.
בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

נכנסים למסוף Google SecOps.
עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
מורידים את קובץ האימות להטמעת נתונים.
שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.
מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sc query observiq-otel-collector
```
השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sudo systemctl status observiq-otel-collector
```
השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

במדריך להתקנת הסוכן של Bindplane מפורטות אפשרויות התקנה נוספות ופתרונות לבעיות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/cloudgenix_sdwan:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: CLOUDGENIX_SDWAN
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/cloudgenix_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/cloudgenix_sdwan

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

הגדרת המקלט:
- ‫listen_address: כתובת ה-IP והיציאה להאזנה. כדי להאזין בכל הממשקים, צריך להשתמש ב-0.0.0.0. יציאה 514 היא היציאה הרגילה ל-syslog (נדרשות הרשאות בסיס ב-Linux, צריך להשתמש ב-1514 ללא הרשאות בסיס).
הגדרת הייצוא:
- ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1).
  - Linux: /opt/observiq-otel-collector/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- ‫<CUSTOMER_ID>: מספר הלקוח ב-Google SecOps.
- ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
- ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
- ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/cloudgenix_sdwan:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CLOUDGENIX_SDWAN
    raw_log_field: body
    ingestion_labels:
      env: production
```

שמירת קובץ התצורה

אחרי העריכה, שומרים את הקובץ:
- Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
- Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:
```
sudo systemctl restart observiq-otel-collector
```
1. מוודאים שהשירות פועל:
```
sudo systemctl status observiq-otel-collector
```
2. בודקים אם יש שגיאות ביומנים:
```
sudo journalctl -u observiq-otel-collector -f
```
כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים אחת מהאפשרויות הבאות:
1. שורת הפקודה או PowerShell כאדמין:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
2. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
3. מאתרים את observIQ OpenTelemetry Collector.
4. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
5. מוודאים שהשירות פועל:
```
sc query observiq-otel-collector
```
6. בודקים אם יש שגיאות ביומנים:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

הגדרת העברת syslog ב-Palo Alto Prisma SD-WAN

אפשר להגדיר העברת syslog במכשירי ION ספציפיים או ליצור פרופיל syslog לשימוש חוזר שאפשר להחיל על כמה מכשירים.

אפשרות 1: הגדרת ייצוא של syslog במכשיר ION ספציפי

נכנסים ל-Strata Cloud Manager עם הרשאות אדמין.
עוברים אל Configuration > Prisma SD-WAN > ION Devices > Claimed.
בוחרים את מכשיר ה-ION שרוצים להגדיר להעברת syslog.
לוחצים על הגדרת המכשיר.
בוחרים באפשרות ייצוא של Syslog.
לוחצים על Create Syslog Server.
בוחרים באפשרות הפעלת שרת Syslog הזה.
מזינים את פרטי ההגדרה הבאים:
- שם: מזינים שם תיאורי (לדוגמה, SecOps-Bindplane).
- ‫Server IP או Server FQDN: בוחרים באפשרות Server IP ומזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
- יציאת השרת: מזינים 514 (או את היציאה שהוגדרה בסוכן Bindplane). יציאות ברירת המחדל הן 514 ל-TCP או ל-UDP ו-6514 ל-TLS.
- פרוטוקול: בוחרים באפשרות UDP (ברירת המחדל), TCP או TLS.
- רמת חומרה: בוחרים באפשרות קריטית, גבוהה או נמוכה. המערכת מייצאת את היומנים והאירועים ברמת החומרה שנבחרה וברמות גבוהות יותר.
כדי לייצא יומני תנועה, מפעילים את האפשרות Flow Logging.
לוחצים על Save.
כדי לוודא שהודעות syslog מתקבלות, בודקים את יומני הסוכן של Bindplane.

הערה: מספר שרתי ה-syslog המקסימלי שנתמך לכל מכשיר ION הוא 16. מכשירי ION משתמשים בפורמט syslog RFC 5424 לכל הפרוטוקולים.

אפשרות 2: יצירת פרופיל syslog לשימוש חוזר

נכנסים ל-Strata Cloud Manager עם הרשאות אדמין.
עוברים אל Configuration > Prisma SD-WAN > Profiles and Templates > Syslog.
לוחצים על Create Syslog Profile.
מזינים את פרטי ההגדרה הבאים:
- שם: מזינים שם לפרופיל ה-syslog (לדוגמה, SecOps-Bindplane).
- תיאור: אפשר להוסיף תיאור.
- ‫Server IP או Server FQDN: בוחרים באפשרות Server IP ומזינים את כתובת ה-IP של המארח של סוכן Bindplane.
- יציאת השרת: מזינים 514 (או את היציאה שהוגדרה בסוכן Bindplane).
- פרוטוקול: בוחרים באפשרות UDP.
בקטע Security Logs, בוחרים את סוגי היומנים שרוצים להעביר:
- איום: יומני זיהוי איומים.
- ‫DNS: יומני אבטחה של DNS.
- כתובת URL: יומני סינון של כתובות URL.
לוחצים על Save.
מקצים את פרופיל ה-syslog למכשירי ה-ION הרצויים דרך הגדרות המכשיר.
כדי לוודא שהודעות syslog מתקבלות, בודקים את יומני הסוכן של Bindplane.

הערה: פרופילי Syslog מאפשרים להחיל את אותה הגדרת Syslog על כמה מכשירי ION. מידע נוסף זמין במאמרי העזרה של Prisma SD-WAN בנושא syslog.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
`_about`	`about`	ממוזג
`_intermediary`	`intermediary`	ממוזג
`MSG`	`metadata.description`	מיפוי ישיר
`CODE`	`metadata.product_event_type`	מיפוי ישיר
`FACILITY`	`metadata.product_event_type`	מיפוי ישיר
`log_type`	`metadata.product_event_type`	מיפוי ישיר
`APP_NAME`	`network.http.user_agent`	מיפוי ישיר
`PROTOCOL_NAME`	`network.ip_protocol`	מיפוי ישיר
`BYTES_RECVD`	`network.received_bytes`	מיפוי ישיר
`BYTES_SENT`	`network.sent_bytes`	מיפוי ישיר
`CLOUDGENIX_HOST`	`principal.hostname`	מיפוי ישיר
`ION_HOST`	`principal.hostname`	מיפוי ישיר
`NAME`	`principal.hostname`	מיפוי ישיר
`SRC_INTERFACE`	`principal.hostname`	מיפוי ישיר
`SRC_IP`	`principal.ip`	ממוזג
`src_ip`	`principal.ip`	ממוזג
`SRC_PORT`	`principal.port`	מיפוי ישיר
`PROCESS_NAME`	`principal.process.file.full_path`	מיפוי ישיר
`pid`	`principal.process.pid`	מיפוי ישיר
`sec_result`	`security_result`	ממוזג
`DST_INTERFACE`	`target.hostname`	מיפוי ישיר
`REMOTE_HOSTNAME`	`target.hostname`	מיפוי ישיר
`DST_IP`	`target.ip`	ממוזג
`REMOTE_IP`	`target.ip`	ממוזג
`dest_ip`	`target.ip`	ממוזג
`DST_PORT`	`target.port`	מיפוי ישיר
`VPN_LINK_ID`	`target.resource.id`	מיפוי ישיר
לא רלוונטי	`about`	קבוע: `_about`
לא רלוונטי	`intermediary`	קבוע: `_intermediary`
לא רלוונטי	`metadata.event_type`	קבוע: `GENERIC_EVENT`
לא רלוונטי	`metadata.product_name`	קבוע: `CloudGenix SD-WAN`
לא רלוונטי	`metadata.vendor_name`	קבוע: `Palo Alto Networks`
לא רלוונטי	`network.received_bytes`	קבוע: `uinteger`
לא רלוונטי	`network.sent_bytes`	קבוע: `uinteger`
לא רלוונטי	`principal.ip`	קבוע: `src_ip`
לא רלוונטי	`security_result`	קבוע: `sec_result`
לא רלוונטי	`target.ip`	קבוע: `REMOTE_IP`

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.