Collecter les journaux Cyber 2.0 IDS

Version de l'analyseur : 2.0

Compatible avec :

Ce document explique comment ingérer des journaux IDS Cyber 2.0 dans Google Security Operations à l'aide de l'agent Bindplane.

Les IDS Cyber 2.0 offrent une sécurité réseau de niveau entreprise avec des fonctionnalités intégrées de détection et de prévention des intrusions. Les appliances MX utilisent le moteur de détection des intrusions Snort pour surveiller le trafic réseau à la recherche d'activités malveillantes et générer des alertes IDS en fonction des renseignements sur les menaces de Cisco Talos. Les alertes IDS sont générées dans deux formats : l'ancien format ids-alerts et le format actuel security_event. Elles sont associées à des niveaux de priorité allant de 1 (élevée) à 4 (très faible) en fonction des classifications des signatures Snort.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent Bindplane et Cyber 2.0 IDS
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès administrateur au tableau de bord Cisco Meraki
  • IDS Cyber 2.0 avec licence Advanced Security Edition (requise pour les fonctionnalités IDS/IPS)
  • Connectivité réseau entre l'appareil Meraki MX et l'hôte de l'agent BindPlane (port UDP 514 ou port personnalisé)

Obtenir les identifiants Google SecOps pour l'agent Bindplane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancienne méthode)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Obtenir le numéro client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM > Profil.

  3. Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent BindPlane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    L'état du service doit être RUNNING.

Installation sous Linux

  1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    L'état du service doit être active (running).

Ressources d'installation supplémentaires

Pour obtenir des options d'installation et de dépannage supplémentaires, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer syslog et envoyer les journaux à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  1. Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/meraki_ids:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: CYBER_2_IDS
    raw_log_field: body
    ingestion_labels:
      vendor: cisco_meraki
      product: mx_security_appliance

service:
  pipelines:
    logs/meraki_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/meraki_ids

  2. Remplacez les espaces réservés suivants :

    • Configuration du récepteur :

      • Le récepteur est configuré pour écouter sur toutes les interfaces (0.0.0.0) sur le port UDP 514 (port syslog standard).
      • Si le port 514 est déjà utilisé ou si vous devez exécuter l'agent en tant qu'utilisateur non racine sous Linux, remplacez le port par 1514 ou un autre port disponible.

    • Configuration de l'exportateur :

      • <CREDS_FILE_PATH> : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :

        • Linux : /opt/observiq-otel-collector/ingestion-auth.json
        • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

      • <CUSTOMER_ID> : Numéro client copié à l'étape précédente

      • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur préfixe chronicle.googleapis.com avec cette valeur. Pour obtenir la liste complète, consultez Points de terminaison régionaux.

      • project : remplacez <PROJECT_NUMBER> par le numéro de projet dans IAM et administration > Paramètres.

      • endpoint : laissez la valeur définie sur chronicle.googleapis.com.

      • log_type : défini sur CYBER_2_IDS pour les alertes Cisco Meraki IDS.

      • ingestion_labels : libellés facultatifs pour catégoriser les journaux dans Google SecOps.

Exemple de configuration

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/meraki_ids:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
    endpoint: chronicle.googleapis.com
    log_type: CYBER_2_IDS
    raw_log_field: body
    ingestion_labels:
      vendor: cisco_meraki
      product: mx_security_appliance
      environment: production

service:
  pipelines:
    logs/meraki_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/meraki_ids

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification de l'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/meraki_ids:
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CYBER_2_IDS
    raw_log_field: body
    ingestion_labels:
      vendor: cisco_meraki
      product: mx_security_appliance

Enregistrez le fichier de configuration.

Après avoir modifié le fichier, enregistrez-le :

  • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
  • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent BindPlane sous Linux :

    1. Exécutez la commande suivante :

      sudo systemctl restart observiq-otel-collector

    2. Vérifiez que le service est en cours d'exécution :

      sudo systemctl status observiq-otel-collector

    3. Recherchez les erreurs dans les journaux :

      sudo journalctl -u observiq-otel-collector -f

  • Pour redémarrer l'agent BindPlane sous Windows :

    1. Choisissez l'une des options suivantes :

      • Invite de commande ou PowerShell en tant qu'administrateur :

        net stop observiq-otel-collector && net start observiq-otel-collector

      • Console Services :

        1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
        2. Localisez observIQ OpenTelemetry Collector.
        3. Effectuez un clic droit et sélectionnez Redémarrer.

    2. Vérifiez que le service est en cours d'exécution :

      sc query observiq-otel-collector

    3. Recherchez les erreurs dans les journaux :

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert Syslog Cyber 2.0 IDS

  1. Connectez-vous au tableau de bord Cisco Meraki à l'adresse https://dashboard.meraki.com.
  2. Sélectionnez votre organisation dans le menu déroulant des organisations en haut à gauche.
  3. Sélectionnez le réseau contenant votre appareil de sécurité MX dans le menu déroulant des réseaux.
  4. Accédez à Network-wide> Configure> General (À l'échelle du réseau > Configurer > Général).
  5. Faites défiler la page jusqu'à la section Reporting.
  6. Sous Serveurs Syslog, cliquez sur Ajouter un serveur Syslog.
  7. Configurez le serveur syslog avec les paramètres suivants :
    • Adresse IP du serveur : saisissez l'adresse IP de l'hôte de l'agent Bindplane (par exemple, 192.168.1.100).
    • Port : saisissez 514 (ou le port personnalisé configuré dans l'agent Bindplane s'il est différent).
    • Rôles : sélectionnez les rôles suivants pour transférer les alertes IDS :
      • Consulter les alertes IDS (pour les événements au format ids-alerts)
      • Vérifiez les événements liés à la sécurité (pour les événements au format security_event actuel, y compris les alertes IDS et les détections de logiciels malveillants AMP).
  8. Cliquez sur Enregistrer les modifications en bas de la page.
  9. Vérifiez que le système IDS/IPS est activé sur votre appliance de sécurité MX :
    1. Accédez à Security & SD-WAN> Configure > Threat protection (Sécurité et SD-WAN > Configurer > Protection contre les menaces).
    2. Assurez-vous que le Mode est défini sur Détection (IDS) ou Prévention (IPS).
    3. Sélectionnez un ensemble de règles : Connectivité, Équilibré ou Sécurité, en fonction de vos exigences de sécurité.
    4. Cliquez sur Enregistrer les modifications.

  10. Générez du trafic de test pour vérifier le transfert des journaux :

    1. Accédez à Security & SD-WAN>Monitor>Security center (Sécurité et SD-WAN > Surveillance > Centre de sécurité).
    2. Vérifiez que des alertes IDS sont générées.
    3. Consultez les journaux de l'agent Bindplane pour vérifier que les événements sont reçus et transférés vers Google SecOps.

Table de mappage UDM

Champ de journal Mappage UDM Logique
time1, monthnum+day+time2, time metadata.event_timestamp Code temporel de l'événement
app_version about.resource.attribute.labels Liste de paires clé-valeur pour les attributs de ressource
prod_event_type metadata.product_event_type Type d'événement spécifique au produit
Groupes principal.group.group_display_name Nom à afficher du groupe
app_name, app_version, hostname, principal_ip, md5_value à propos de Informations sur l'événement
inter_host intermediary.hostname Nom d'hôte de l'intermédiaire
description metadata.description Description de l'événement
Protocole network.ip_protocol Protocole IP utilisé dans la connexion réseau
Direction network.direction Sens du trafic réseau
Source principal.port Numéro de port du principal
Destination target.port Numéro de port de la cible
SourceIP, principal_ip principal.ip Adresse IP du principal
SourceIP, principal_ip principal.asset.ip Adresse IP de l'élément du mandant
DestinationIP target.ip Adresse IP de la cible
DestinationIP target.asset.ip Adresse IP de l'élément de la cible
HostName, hostname principal.hostname Nom d'hôte du compte principal
HostName, hostname principal.asset.hostname Nom d'hôte de l'élément du principal
ApplicationName target.application Nom de l'application de la cible
Nom d'utilisateur principal.user.userid ID utilisateur du principal
FullPath target.file.full_path Chemin d'accès complet au fichier
État security_result.action Action effectuée par le système de sécurité
pid principal.process.pid Identifiant de processus
src_application principal.application Nom de l'application du principal
SubSeqNumber, FlowHandle, ClientZValue, MACAddress, State, IsXCast, FlowState, DLLMode security_result.detection_fields Champs de détection du résultat de sécurité
de gravité, security_result.severity Gravité du résultat de sécurité
DB, NewApps, UniqueApps, Computers, Duration additional.fields Champs supplémentaires
metadata.event_type Type d'événement
metadata.product_name Nom du produit
metadata.vendor_name Nom du fournisseur

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.