Cyber 2.0-IDS-Logs erfassen

Parserversion: 2.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Cyber 2.0-IDS-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Cyber 2.0 IDSs bieten Netzwerksicherheit auf Unternehmensniveau mit integrierten Funktionen zur Intrusion Detection und Abwehr von Eindringlingen. Die MX-Appliances verwenden die Snort-Engine zur Einbruchserkennung, um den Netzwerkverkehr auf schädliche Aktivitäten zu überwachen und IDS-Warnungen basierend auf Threat Intelligence von Cisco Talos zu generieren. IDS-Warnungen werden in zwei Formaten generiert: Legacy-ids-alerts- und aktuelle security_event-Typen, mit Prioritätsstufen von 1 (hoch) bis 4 (sehr niedrig) basierend auf Snort-Signaturklassifizierungen.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Netzwerkverbindung zwischen dem Bindplane-Agent und Cyber 2.0 IDS
• Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Administratorzugriff auf das Cisco Meraki-Dashboard
• Cyber 2.0-IDS mit Advanced Security Edition-Lizenzierung (erforderlich für IDS/IPS-Funktionen)
• Netzwerkverbindung von der Meraki MX-Appliance zum Bindplane-Agent-Host (UDP-Port 514 oder benutzerdefinierter Port)

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Hinweis: Mit dieser Datei wird der Agent bei der Legacy Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profil auf.

3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

   Hinweis :Die Kunden-ID ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

   Der Dienststatus sollte RUNNING lauten.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

   Der Dienststatus sollte active (running) lauten.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsanleitung für den Bindplane-Agenten.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, führen Sie ein Upgrade des Collectors durch, bevor Sie die Konfiguration ändern.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden von Logs an Google SecOps konfigurieren

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

1. Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

   receivers:
     udplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/meraki_ids:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '<CREDS_FILE_PATH>'
       customer_id: '<CUSTOMER_ID>'
       endpoint: chronicle.googleapis.com
       log_type: CYBER_2_IDS
       raw_log_field: body
       ingestion_labels:
         vendor: cisco_meraki
         product: mx_security_appliance
   
   service:
     pipelines:
       logs/meraki_to_chronicle:
         receivers:
           - udplog
         exporters:
           - chronicle/meraki_ids
   

2. Ersetzen Sie die folgenden Platzhalter:

   • Empfängerkonfiguration:

     • Der Empfänger ist so konfiguriert, dass er alle Schnittstellen (0.0.0.0) am UDP-Port 514 (Standard-Syslog-Port) überwacht.
     • Wenn Port 514 bereits verwendet wird oder Sie unter Linux als Nicht-Root-Nutzer arbeiten müssen, ändern Sie den Port in 1514 oder einen anderen verfügbaren Port.

   • Exporter-Konfiguration:

     • <CREDS_FILE_PATH>: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):

       • Linux: /opt/observiq-otel-collector/ingestion-auth.json
       • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

     • <CUSTOMER_ID>: Kundennummer, die Sie im vorherigen Schritt kopiert haben

     • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.

     • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM & Verwaltung > Einstellungen.

     • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

     • log_type: Für Cisco Meraki IDS-Benachrichtigungen auf CYBER_2_IDS festgelegt.

     • ingestion_labels: Optionale Labels zum Kategorisieren von Logs in Google SecOps.

Konfigurationsbeispiel

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/meraki_ids:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
    endpoint: chronicle.googleapis.com
    log_type: CYBER_2_IDS
    raw_log_field: body
    ingestion_labels:
      vendor: cisco_meraki
      product: mx_security_appliance
      environment: production

service:
  pipelines:
    logs/meraki_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/meraki_ids

Legacy-Ingestion-API-Exporter

• Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie creds_file_path auf den Pfad zur Datei für die Authentifizierung bei der Aufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/meraki_ids:
      compression: gzip
      creds_file_path: '<CREDS_FILE_PATH>'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CYBER_2_IDS
      raw_log_field: body
      ingestion_labels:
        vendor: cisco_meraki
        product: mx_security_appliance
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:

• Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
• Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

• So starten Sie den Bindplane-Agenten unter Linux neu:

  1. Führen Sie dazu diesen Befehl aus:

     sudo systemctl restart observiq-otel-collector
     

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

     sudo systemctl status observiq-otel-collector
     

  3. Prüfen Sie die Logs auf Fehler:

     sudo journalctl -u observiq-otel-collector -f
     

• So starten Sie den Bindplane-Agenten unter Windows neu:

  1. Wählen Sie eine der folgenden Optionen aus:

     • Eingabeaufforderung oder PowerShell als Administrator:

       net stop observiq-otel-collector && net start observiq-otel-collector
       

     • Dienstkonsole:

       1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
       2. Suchen Sie nach observIQ OpenTelemetry Collector.
       3. Rechtsklicken Sie und wählen Sie Neu starten aus.

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

     sc query observiq-otel-collector
     

  3. Prüfen Sie die Logs auf Fehler:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

Syslog-Weiterleitung für Cyber 2.0 IDS konfigurieren

1. Melden Sie sich unter https://dashboard.meraki.com im Cisco Meraki-Dashboard an.
2. Wählen Sie links oben im Drop-down-Menü „Organisation“ Ihre Organisation aus.
3. Wählen Sie im Drop-down-Menü „Netzwerk“ das Netzwerk aus, das Ihre MX Security Appliance enthält.
4. Gehen Sie zu Network-wide> Configure> General.
5. Scrollen Sie nach unten zum Abschnitt Berichte.
6. Klicken Sie unter Syslog-Server auf Syslog-Server hinzufügen.
7. Konfigurieren Sie den Syslog-Server mit den folgenden Einstellungen:
   • Server-IP: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein (z. B. 192.168.1.100).
   • Port: Geben Sie 514 ein (oder den benutzerdefinierten Port, der im Bindplane-Agent konfiguriert ist, falls abweichend).
   • Rollen: Wählen Sie die folgenden Rollen aus, um IDS-Benachrichtigungen weiterzuleiten:
     • IDS-Benachrichtigungen prüfen (für Ereignisse im alten ids-alerts-Format)
     • Prüfen Sie Sicherheitsereignisse (für aktuelle Ereignisse im security_event-Format, einschließlich IDS-Benachrichtigungen und AMP-Malware-Erkennungen).
8. Klicken Sie unten auf der Seite auf Änderungen speichern.
9. Prüfen Sie, ob IDS/IPS auf Ihrer MX Security Appliance aktiviert ist:
   1. Gehen Sie zu Security & SD-WAN> Configure > Threat protection.
   2. Achten Sie darauf, dass der Modus auf Erkennung (IDS) oder Prävention (IPS) festgelegt ist.
   3. Wählen Sie je nach Ihren Sicherheitsanforderungen einen Regelsatz aus: Konnektivität, Ausgewogen oder Sicherheit.
   4. Klicken Sie auf Änderungen speichern.

10. Generieren Sie Test-Traffic, um die Logweiterleitung zu prüfen:

    1. Gehen Sie zu Security & SD-WAN> „Monitor“ > „Security Center“.
    2. Prüfen Sie, ob IDS-Benachrichtigungen generiert werden.
    3. Prüfen Sie die Bindplane-Agent-Logs, um sicherzustellen, dass Ereignisse empfangen und an Google SecOps weitergeleitet werden.
    Hinweis: IDS-Benachrichtigungen sind nur mit einer Advanced Security Edition-Lizenz für Cyber 2.0-IDSs verfügbar. Die Benachrichtigung erfolgt in der Regel innerhalb von 90 Sekunden nach der Erkennung des Ereignisses.
    Hinweis: Die Rolle IDS-Benachrichtigungen leitet Ereignisse im Legacy-Format mit dem Ereignistyp ids-alerts weiter, während die Rolle Sicherheitsereignisse Ereignisse im aktuellen Format mit dem Ereignistyp security_event weiterleitet. Beide Formate enthalten IDS-Benachrichtigungsinformationen und werden vom CYBER_2_IDS-Parser unterstützt. Es wird empfohlen, beide Rollen zu aktivieren, um alle IDS-bezogenen Ereignisse zu erfassen.
    Hinweis: Cisco Meraki-Syslog verwendet standardmäßig das UDP-Protokoll. Die Protokolle TCP und TLS werden für die Syslog-Weiterleitung von Meraki-Geräten nicht unterstützt.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
time1, monthnum+day+time2, time	metadata.event_timestamp	Zeitstempel des Ereignisses
app_version	about.resource.attribute.labels	Liste der Schlüssel/Wert-Paare für Ressourcenattribute
prod_event_type	metadata.product_event_type	Produktspezifischer Ereignistyp
Gruppen	principal.group.group_display_name	Anzeigename der Gruppe
app_name, app_version, hostname, principal_ip, md5_value	über	Informationen zum Ereignis
inter_host	intermediary.hostname	Hostname des Vermittlers
Beschreibung	metadata.description	Eine Beschreibung des Ereignisses
Protokoll	network.ip_protocol	In der Netzwerkverbindung verwendetes IP-Protokoll
Richtung	network.direction	Richtung des Netzwerkverkehrs
Quelle	principal.port	Portnummer des Prinzipal
Ziel	target.port	Portnummer des Ziels
SourceIP, principal_ip	principal.ip	IP-Adresse des Hauptkontos
SourceIP, principal_ip	principal.asset.ip	IP-Adresse des Assets des Rechtssubjekts
DestinationIP	target.ip	IP-Adresse des Ziels
DestinationIP	target.asset.ip	IP-Adresse des Assets des Ziels
HostName, hostname	principal.hostname	Hostname des Hauptkontos
HostName, hostname	principal.asset.hostname	Hostname des Assets des Auftraggebers
ApplicationName	target.application	Anwendungsname des Ziels
Nutzername	principal.user.userid	Nutzer-ID des Hauptkontos
FullPath	target.file.full_path	Vollständiger Pfad der Datei
Status	security_result.action	Vom Sicherheitssystem ergriffene Maßnahme
pid	principal.process.pid	Prozess-ID
src_application	principal.application	Anwendungsname des Hauptkontos
SubSeqNumber, FlowHandle, ClientZValue, MACAddress, State, IsXCast, FlowState, DLLMode	security_result.detection_fields	Erkennungsfelder aus dem Sicherheitsergebnis
die Ausprägung	security_result.severity	Schweregrad des Sicherheitsergebnisses
DB, NewApps, UniqueApps, Computers, Duration	additional.fields	Zusätzliche Felder
	metadata.event_type	Ereignistyp
	metadata.product_name	Produktname
	metadata.vendor_name	Anbietername

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten