Mengumpulkan log IDS Cyber 2.0

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.

Dokumen ini menjelaskan cara menyerap log IDS Cyber 2.0 ke Google Security Operations menggunakan agen Bindplane.

IDS Cyber 2.0 menyediakan keamanan jaringan tingkat perusahaan dengan kemampuan deteksi dan pencegahan intrusi terintegrasi. Perangkat MX menggunakan mesin deteksi intrusi Snort untuk memantau traffic jaringan dari aktivitas berbahaya dan membuat pemberitahuan IDS berdasarkan threat intelligence dari Cisco Talos. Peringatan IDS dibuat dalam dua format: jenis ids-alerts lama dan security_event saat ini, dengan tingkat prioritas mulai dari 1 (tinggi) hingga 4 (sangat rendah) berdasarkan klasifikasi tanda tangan Snort.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan Cyber 2.0 IDS
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses administratif ke Dasbor Cisco Meraki
• Cyber 2.0 IDS dengan lisensi Advanced Security Edition (diperlukan untuk fitur IDS/IPS)
• Konektivitas jaringan dari perangkat Meraki MX ke host agen Bindplane (port UDP 514 atau port kustom)

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.

3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

   Catatan: File JSON ini berisi kredensial untuk mengautentikasi agen Bindplane ke Google SecOps.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Status layanan harus RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Status layanan harus aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen BindPlane untuk menyerap syslog dan mengirim log ke Google SecOps

Cari file konfigurasi

• Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Edit file konfigurasi

1. Ganti seluruh konten config.yaml dengan konfigurasi berikut:

   receivers:
       udplog:
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/meraki_ids:
           compression: gzip
           creds_file_path: '<CREDS_FILE_PATH>'
           customer_id: '<CUSTOMER_ID>'
           endpoint: malachiteingestion-pa.googleapis.com
           log_type: CYBER_2_IDS
           raw_log_field: body
           ingestion_labels:
               vendor: cisco_meraki
               product: mx_security_appliance
   
   service:
       pipelines:
           logs/meraki_to_chronicle:
               receivers:
                   - udplog
               exporters:
                   - chronicle/meraki_ids
   

2. Ganti placeholder berikut:

   • Konfigurasi penerima:

     • Penerima dikonfigurasi untuk memproses semua antarmuka (0.0.0.0) di port UDP 514 (port syslog standar)
     • Jika port 514 sudah digunakan atau Anda perlu menjalankan sebagai non-root di Linux, ubah port ke 1514 atau port lain yang tersedia

   • Konfigurasi pengekspor:

     • <CREDS_FILE_PATH>: Jalur lengkap ke file autentikasi penyerapan:

       • Linux: /etc/bindplane-agent/ingestion-auth.json
       • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

     • <CUSTOMER_ID>: ID Pelanggan yang disalin dari langkah sebelumnya

     • endpoint: URL endpoint regional (default yang ditampilkan adalah region AS):

       • Amerika Serikat: malachiteingestion-pa.googleapis.com
       • Eropa: europe-malachiteingestion-pa.googleapis.com
       • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
       • Lihat Endpoint Regional untuk mengetahui daftar lengkapnya

     • log_type: Setel ke CYBER_2_IDS untuk pemberitahuan IDS Cisco Meraki.

     • ingestion_labels: Label opsional untuk mengategorikan log di Google SecOps.

Contoh konfigurasi

• receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/meraki_ids:
      compression: gzip
      creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
      customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CYBER_2_IDS
      raw_log_field: body
      ingestion_labels:
        vendor: cisco_meraki
        product: mx_security_appliance
        environment: production
  
  service:
    pipelines:
      logs/meraki_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/meraki_ids
  

Simpan file konfigurasi

Setelah mengedit, simpan file:

• Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
• Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux:

  1. Jalankan perintah berikut:

     sudo systemctl restart observiq-otel-collector
     

  2. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  3. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows:

  1. Pilih salah satu opsi berikut:

     • Command Prompt atau PowerShell sebagai administrator:

       net stop observiq-otel-collector && net start observiq-otel-collector
       

     • Konsol layanan:

       1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
       2. Temukan observIQ OpenTelemetry Collector.
       3. Klik kanan, lalu pilih Mulai Ulang.

  2. Pastikan layanan sedang berjalan:

     sc query observiq-otel-collector
     

  3. Periksa log untuk mengetahui error:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

Mengonfigurasi penerusan syslog Cyber 2.0 IDS

1. Login ke Dasbor Cisco Meraki di https://dashboard.meraki.com.
2. Pilih organisasi Anda dari menu dropdown organisasi di kiri atas.
3. Pilih jaringan yang berisi MX Security Appliance Anda dari menu dropdown jaringan.
4. Buka Di seluruh jaringan > Konfigurasi > Umum.
5. Scroll ke bawah ke bagian Pelaporan.
6. Di bagian Server syslog, klik Tambahkan server syslog.
7. Konfigurasi server syslog dengan setelan berikut:
   • IP Server: Masukkan alamat IP host agen Bindplane (misalnya, 192.168.1.100).
   • Port: Masukkan 514 (atau port kustom yang dikonfigurasi di agen Bindplane jika berbeda).
   • Peran: Pilih peran berikut untuk meneruskan pemberitahuan IDS:
     • Periksa notifikasi IDS (untuk peristiwa format ids-alerts lama)
     • Periksa Peristiwa keamanan (untuk peristiwa format security_event saat ini, termasuk pemberitahuan IDS dan deteksi malware AMP)
8. Klik Simpan perubahan di bagian bawah halaman.
9. Pastikan IDS/IPS diaktifkan di MX Security Appliance Anda:
   1. Buka Security & SD-WAN > Configure > Threat protection.
   2. Pastikan Mode disetel ke Deteksi (IDS) atau Pencegahan (IPS).
   3. Pilih kumpulan aturan: Konektivitas, Seimbang, atau Keamanan, berdasarkan persyaratan keamanan Anda.
   4. Klik Simpan perubahan.

10. Buat traffic pengujian untuk memverifikasi penerusan log:

    1. Buka Security & SD-WAN > Monitor > Security center.
    2. Pastikan pemberitahuan IDS sedang dibuat.
    3. Periksa log agen Bindplane untuk mengonfirmasi bahwa peristiwa diterima dan diteruskan ke Google SecOps.
    Catatan: Pemberitahuan IDS hanya tersedia dengan lisensi Edisi Keamanan Lanjutan di IDS Cyber 2.0. Pengiriman pemberitahuan biasanya terjadi dalam waktu 90 detik setelah deteksi peristiwa.
    Catatan: Peran Pemberitahuan IDS meneruskan peristiwa format lama dengan jenis peristiwa ids-alerts, sedangkan peran Peristiwa keamanan meneruskan peristiwa format saat ini dengan jenis peristiwa security_event. Kedua format berisi informasi peringatan IDS dan didukung oleh parser CYBER_2_IDS. Sebaiknya aktifkan kedua peran untuk mencatat semua peristiwa terkait IDS.
    Catatan: Syslog Cisco Meraki menggunakan protokol UDP secara default. Protokol TCP dan TLS tidak didukung untuk penerusan syslog dari perangkat Meraki.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
time1, monthnum+day+time2, time	metadata.event_timestamp	Stempel waktu saat peristiwa terjadi
app_version	about.resource.attribute.labels	Daftar pasangan nilai kunci untuk atribut resource
prod_event_type	metadata.product_event_type	Jenis acara khusus produk
Grup	principal.group.group_display_name	Nama tampilan grup
app_name, app_version, hostname, principal_ip, md5_value	tentang	Informasi tentang acara
inter_host	intermediary.hostname	Nama host perantara
deskripsi	metadata.description	Deskripsi peristiwa
Protokol	network.ip_protocol	Protokol IP yang digunakan dalam koneksi jaringan
Arah	network.direction	Arah traffic jaringan
Sumber	principal.port	Nomor port kepala sekolah
Tujuan	target.port	Nomor port target
SourceIP, principal_ip	principal.ip	Alamat IP kepala sekolah
SourceIP, principal_ip	principal.asset.ip	Alamat IP aset prinsipal
DestinationIP	target.ip	Alamat IP target
DestinationIP	target.asset.ip	Alamat IP aset target
HostName, hostname	principal.hostname	Nama host prinsipal
HostName, hostname	principal.asset.hostname	Nama host aset prinsipal
ApplicationName	target.application	Nama aplikasi target
NamaPengguna	principal.user.userid	ID pengguna prinsipal
FullPath	target.file.full_path	Jalur lengkap file
Status	security_result.action	Tindakan yang dilakukan oleh sistem keamanan
pid	principal.process.pid	ID proses
src_application	principal.application	Nama aplikasi principal
SubSeqNumber, FlowHandle, ClientZValue, MACAddress, State, IsXCast, FlowState, DLLMode	security_result.detection_fields	Kolom deteksi dari hasil keamanan
tingkat keseriusan,	security_result.severity	Tingkat keparahan hasil keamanan
DB, NewApps, UniqueApps, Komputer, Durasi	additional.fields	Kolom tambahan
	metadata.event_type	Jenis acara
	metadata.product_name	Nama produk
	metadata.vendor_name	Nama vendor

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.