Mengumpulkan log Cyber 2.0 IDS

Versi Parser: 2.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Cyber 2.0 IDS ke Google Security Operations menggunakan agen Bindplane.

IDS Cyber 2.0 menyediakan keamanan jaringan tingkat perusahaan dengan kemampuan deteksi dan pencegahan penyusupan yang terintegrasi. Perangkat MX menggunakan mesin deteksi penyusupan Snort untuk memantau traffic jaringan dari aktivitas berbahaya dan membuat pemberitahuan IDS berdasarkan threat intelligence dari Cisco Talos. Pemberitahuan IDS dibuat dalam dua format: jenis ids-alerts lama dan security_event saat ini, dengan tingkat prioritas mulai dari 1 (tinggi) hingga 4 (sangat rendah) berdasarkan klasifikasi signature Snort.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan Cyber 2.0 IDS
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses administratif ke Cisco Meraki Dashboard
• Lisensi Cyber 2.0 IDS dengan Edisi Keamanan Lanjutan (diperlukan untuk fitur IDS/IPS)
• Konektivitas jaringan dari perangkat Meraki MX ke host agen Bindplane (port UDP 514 atau port kustom)

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Status layanan akan menjadi RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Status layanan harus active (running).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen Bindplane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan Bindplane collector v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirim log ke Google SecOps

Cari file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

1. Ganti seluruh konten config.yaml dengan konfigurasi berikut:

   receivers:
     udplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/meraki_ids:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '<CREDS_FILE_PATH>'
       customer_id: '<CUSTOMER_ID>'
       endpoint: chronicle.googleapis.com
       log_type: CYBER_2_IDS
       raw_log_field: body
       ingestion_labels:
         vendor: cisco_meraki
         product: mx_security_appliance
   
   service:
     pipelines:
       logs/meraki_to_chronicle:
         receivers:
           - udplog
         exporters:
           - chronicle/meraki_ids
   

2. Ganti placeholder berikut:

   • Konfigurasi penerima:

     • Penerima dikonfigurasi untuk memproses semua antarmuka (0.0.0.0) di port UDP 514 (port syslog standar)
     • Jika port 514 sudah digunakan atau Anda perlu menjalankan sebagai non-root di Linux, ubah port ke 1514 atau port lain yang tersedia

   • Konfigurasi pengekspor:

     • <CREDS_FILE_PATH>: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):

       • Linux: /opt/observiq-otel-collector/ingestion-auth.json
       • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

     • <CUSTOMER_ID>: ID Pelanggan yang disalin dari langkah sebelumnya

     • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan menambahkan awalan chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.

     • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.

     • endpoint: Tetap tetapkan ke chronicle.googleapis.com.

     • log_type: Tetapkan ke CYBER_2_IDS untuk pemberitahuan Cisco Meraki IDS.

     • ingestion_labels: Label opsional untuk mengategorikan log di Google SecOps.

Contoh konfigurasi

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/meraki_ids:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
    endpoint: chronicle.googleapis.com
    log_type: CYBER_2_IDS
    raw_log_field: body
    ingestion_labels:
      vendor: cisco_meraki
      product: mx_security_appliance
      environment: production

service:
  pipelines:
    logs/meraki_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/meraki_ids

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/meraki_ids:
      compression: gzip
      creds_file_path: '<CREDS_FILE_PATH>'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CYBER_2_IDS
      raw_log_field: body
      ingestion_labels:
        vendor: cisco_meraki
        product: mx_security_appliance
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Menyimpan file konfigurasi

Setelah mengedit, simpan file:

• Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
• Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux:

  1. Jalankan perintah berikut:

     sudo systemctl restart observiq-otel-collector
     

  2. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  3. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows:

  1. Pilih salah satu opsi berikut:

     • Command Prompt atau PowerShell sebagai administrator:

       net stop observiq-otel-collector && net start observiq-otel-collector
       

     • Konsol Services:

       1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
       2. Cari observIQ OpenTelemetry Collector.
       3. Klik kanan, lalu pilih Restart.

  2. Pastikan layanan sedang berjalan:

     sc query observiq-otel-collector
     

  3. Periksa log untuk mengetahui error:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

Mengonfigurasi penerusan syslog Cyber 2.0 IDS

1. Login ke Dasbor Cisco Meraki di https://dashboard.meraki.com.
2. Pilih organisasi Anda dari menu dropdown organisasi di kiri atas.
3. Pilih jaringan yang berisi MX Security Appliance Anda dari menu dropdown jaringan.
4. Buka Network-wide > Configure > General.
5. Scroll ke bawah ke bagian Pelaporan.
6. Di bagian Syslog servers, klik Add a syslog server.
7. Konfigurasikan server syslog dengan setelan berikut:
   • Server IP: Masukkan alamat IP host agen Bindplane (misalnya, 192.168.1.100).
   • Port: Masukkan 514 (atau port kustom yang dikonfigurasi di agen Bindplane jika berbeda).
   • Roles: Pilih peran berikut untuk meneruskan pemberitahuan IDS:
     • Periksa peringatan IDS (untuk peristiwa format ids-alerts lama)
     • Periksa Peristiwa keamanan (untuk peristiwa format security_event saat ini, termasuk pemberitahuan IDS dan deteksi malware AMP)
8. Klik Simpan perubahan di bagian bawah halaman.
9. Pastikan IDS/IPS diaktifkan di MX Security Appliance Anda:
   1. Buka Security & SD-WAN > Configure > Threat protection.
   2. Pastikan Mode disetel ke Deteksi (IDS) atau Pencegahan (IPS).
   3. Pilih kumpulan aturan: Konektivitas, Seimbang, atau Keamanan, berdasarkan persyaratan keamanan Anda.
   4. Klik Simpan perubahan.

10. Buat traffic pengujian untuk memverifikasi penerusan log:

    1. Buka Security & SD-WAN > Monitor > Security center.
    2. Pastikan pemberitahuan IDS sedang dibuat.
    3. Periksa log agen Bindplane untuk mengonfirmasi bahwa peristiwa diterima dan diteruskan ke Google SecOps.
    Catatan: Pemberitahuan IDS hanya tersedia dengan pemberian lisensi Advanced Security Edition di IDS Cyber 2.0. Pengiriman pemberitahuan biasanya terjadi dalam waktu 90 detik setelah deteksi peristiwa.
    Catatan: Peran pemberitahuan IDS meneruskan peristiwa format lama dengan jenis peristiwa ids-alerts, sedangkan peran peristiwa Keamanan meneruskan peristiwa format saat ini dengan jenis peristiwa security_event. Kedua format berisi informasi pemberitahuan IDS dan didukung oleh parser CYBER_2_IDS. Sebaiknya aktifkan kedua peran untuk mencatat semua peristiwa terkait IDS.
    Catatan: Syslog Cisco Meraki menggunakan protokol UDP secara default. Protokol TCP dan TLS tidak didukung untuk penerusan syslog dari perangkat Meraki.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
time1, monthnum+day+time2, time	metadata.event_timestamp	Stempel waktu saat peristiwa terjadi
app_version	about.resource.attribute.labels	Daftar pasangan nilai kunci untuk atribut resource
prod_event_type	metadata.product_event_type	Jenis peristiwa khusus produk
Grup	principal.group.group_display_name	Nama tampilan grup
app_name, app_version, hostname, principal_ip, md5_value	tentang	Informasi tentang acara
inter_host	intermediary.hostname	Nama host perantara
deskripsi	metadata.description	Deskripsi peristiwa
Protokol	network.ip_protocol	Protokol IP yang digunakan dalam koneksi jaringan
Arah	network.direction	Arah traffic jaringan
Sumber	principal.port	Nomor port akun utama
Tujuan	target.port	Nomor port target
SourceIP, principal_ip	principal.ip	Alamat IP kepala sekolah
SourceIP, principal_ip	principal.asset.ip	Alamat IP aset prinsipal
DestinationIP	target.ip	Alamat IP target
DestinationIP	target.asset.ip	Alamat IP aset target
HostName, hostname	principal.hostname	Nama host utama
HostName, hostname	principal.asset.hostname	Nama host aset prinsipal
ApplicationName	target.application	Nama aplikasi target
NamaPengguna	principal.user.userid	ID pengguna prinsipal
FullPath	target.file.full_path	Jalur lengkap file
Status	security_result.action	Tindakan yang dilakukan oleh sistem keamanan
pid	principal.process.pid	ID proses
src_application	principal.application	Nama aplikasi akun utama
SubSeqNumber, FlowHandle, ClientZValue, MACAddress, State, IsXCast, FlowState, DLLMode	security_result.detection_fields	Kolom deteksi dari hasil keamanan
tingkat keseriusan,	security_result.severity	Tingkat keparahan hasil keamanan
DB, NewApps, UniqueApps, Computers, Duration	additional.fields	Kolom tambahan
	metadata.event_type	Jenis acara
	metadata.product_name	Nama produk
	metadata.vendor_name	Nama vendor

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.