收集 Cyber 2.0 IDS 記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane 代理程式，將 Cyber 2.0 IDS 記錄檔擷取至 Google Security Operations。

Cyber 2.0 ID 系統提供企業級網路安全防護，並整合入侵偵測與防範功能。MX 裝置會使用 Snort 入侵偵測引擎監控網路流量中的惡意活動，並根據 Cisco Talos 的威脅情報產生 IDS 警報。IDS 警報會以兩種格式產生：舊版 ids-alerts 和現行 security_event 類型，優先級則根據 Snort 簽章分類，從 1 (高) 到 4 (非常低)。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
Bindplane 代理程式與 Cyber 2.0 IDS 之間的網路連線
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
Cisco Meraki 資訊主頁的管理員存取權
Cyber 2.0 IDS，並取得 Advanced Security Edition 授權 (IDS/IPS 功能的必要條件)
從 Meraki MX 設備到 Bindplane 代理主機的網路連線 (UDP 連接埠 514 或自訂連接埠)

取得 Google SecOps 擷取作業的驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

注意： 這個 JSON 檔案包含驗證 Bindplane 代理程式與 Google SecOps 的憑證。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」專區中的客戶 ID。

注意： 設定 Bindplane 代理程式匯出工具時，必須提供客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安裝完成。
執行下列指令來驗證安裝：
```
sc query observiq-otel-collector
```
服務狀態應為「RUNNING」。

Linux 安裝

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安裝完成。
執行下列指令來驗證安裝：
```
sudo systemctl status observiq-otel-collector
```
服務狀態應為「active (running)」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄並將記錄傳送至 Google SecOps

找出設定檔

Linux：

sudo nano /etc/bindplane-agent/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的所有內容替換為下列設定：

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/meraki_ids:
        compression: gzip
        creds_file_path: '<CREDS_FILE_PATH>'
        customer_id: '<CUSTOMER_ID>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CYBER_2_IDS
        raw_log_field: body
        ingestion_labels:
            vendor: cisco_meraki
            product: mx_security_appliance

service:
    pipelines:
        logs/meraki_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/meraki_ids

替換下列預留位置：
- 接收器設定：
  - 接收器已設為監聽 UDP 通訊埠 514 (標準系統記錄檔通訊埠) 上的所有介面 (0.0.0.0)
  - 如果通訊埠 514 已在使用中，或您需要在 Linux 上以非根身分執行，請將通訊埠變更為 1514 或其他可用通訊埠
- 匯出工具設定：
  - <CREDS_FILE_PATH>：擷取驗證檔案的完整路徑：
    - Linux：/etc/bindplane-agent/ingestion-auth.json
    - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  - <CUSTOMER_ID>：從上一個步驟複製的客戶 ID
  - endpoint：區域端點網址 (預設顯示美國區域)：
    - 美國：malachiteingestion-pa.googleapis.com
    - 歐洲：europe-malachiteingestion-pa.googleapis.com
    - 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
    - 如需完整清單，請參閱「區域端點」
  - log_type：設定為 CYBER_2_IDS，接收 Cisco Meraki IDS 快訊。
  - ingestion_labels：在 Google SecOps 中分類記錄的選用標籤。

範例設定

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/meraki_ids:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CYBER_2_IDS
    raw_log_field: body
    ingestion_labels:
      vendor: cisco_meraki
      product: mx_security_appliance
      environment: production

service:
  pipelines:
    logs/meraki_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/meraki_ids

儲存設定檔

編輯完成後，請儲存檔案：

Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列步驟：
1. 執行下列指令：
```
sudo systemctl restart observiq-otel-collector
```
2. 確認服務正在執行：
```
sudo systemctl status observiq-otel-collector
```
3. 檢查記錄中是否有錯誤：
```
sudo journalctl -u observiq-otel-collector -f
```
如要在 Windows 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：
1. 您可以選擇下列其中一個選項：
  - 以管理員身分開啟命令提示字元或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
  - 服務控制台：
    1. 按下 Win+R 鍵，輸入 services.msc，然後按下 Enter 鍵。
    2. 找出 observIQ OpenTelemetry Collector。
    3. 按一下滑鼠右鍵，然後選取「重新啟動」。
2. 確認服務正在執行：
```
sc query observiq-otel-collector
```
3. 檢查記錄中是否有錯誤：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

設定 Cyber 2.0 IDS 系統記錄檔轉送

前往 https://dashboard.meraki.com 登入 Cisco Meraki 資訊主頁。
在左上方的機構下拉式選單中選取機構。
從網路下拉式選單中，選取含有 MX 安全設備的網路。
依序前往「全電視網」>「設定」>「一般」。
向下捲動至「報表」部分。
在「系統記錄檔伺服器」下方，按一下「新增系統記錄檔伺服器」。
使用下列設定配置系統記錄伺服器：
- 伺服器 IP：輸入 Bindplane 代理程式主機的 IP 位址 (例如 192.168.1.100)。
- 通訊埠：輸入 514 (或 Bindplane 代理程式中設定的自訂通訊埠，如有不同)。
- 角色：選取下列角色，轉送 IDS 快訊：
  - 檢查 IDS 快訊 (適用於舊版 ids-alerts 格式事件)
  - 查看安全性事件 (適用於目前的 security_event 格式事件，包括 IDS 警示和 AMP 惡意軟體偵測)
按一下網頁底端的 [儲存變更]。
確認 MX Security Appliance 已啟用 IDS/IPS：
1. 依序前往「Security & SD-WAN」>「Configure」>「Threat protection」。
2. 確認「模式」已設為「偵測」 (IDS) 或「預防」 (IPS)。
3. 根據安全性需求選取規則集：「連線」、「平衡」或「安全性」。
4. 按一下 [儲存變更]。
產生測試流量，驗證記錄轉送功能：
1. 依序前往「Security & SD-WAN」(安全性和 SD-WAN) >「Monitor」(監控) >「Security center」(安全中心)。
2. 確認系統是否正在產生 IDS 快訊。
3. 查看 Bindplane 代理程式記錄，確認事件是否已收到並轉送至 Google SecOps。
注意： 只有在 Cyber 2.0 IDS 上取得 Advanced Security Edition 授權，才能使用 IDS 快訊。系統通常會在偵測到事件後 90 秒內傳送快訊。
注意： 「IDS 警報」角色會轉送 ids-alerts 事件類型的舊版格式事件，而「安全事件」角色會轉送 security_event 事件類型的現行格式事件。這兩種格式都包含 IDS 警報資訊，且 CYBER_2_IDS 剖析器支援這兩種格式。建議同時啟用這兩個角色，以便擷取所有與 IDS 相關的事件。
注意： Cisco Meraki 系統記錄預設使用 UDP 通訊協定。Meraki 裝置轉送系統記錄時，不支援 TCP 和 TLS 通訊協定。

UDM 對應表

記錄欄位	UDM 對應	邏輯
time1、monthnum+day+time2、time	metadata.event_timestamp	事件發生時間的時間戳記
app_version	about.resource.attribute.labels	資源屬性的鍵/值組合清單
prod_event_type	metadata.product_event_type	產品專屬事件類型
群組	principal.group.group_display_name	群組的顯示名稱
app_name、app_version、hostname、principal_ip、md5_value	關於	活動資訊
inter_host	intermediary.hostname	中介裝置的主機名稱
說明	metadata.description	事件說明
通訊協定	network.ip_protocol	網路連線中使用的 IP 通訊協定
方向	network.direction	網路流量方向
來源	principal.port	主體的通訊埠號碼
目的地	target.port	目標的通訊埠號碼
SourceIP、principal_ip	principal.ip	主體的 IP 位址
SourceIP、principal_ip	principal.asset.ip	主體資產的 IP 位址
DestinationIP	target.ip	目標的 IP 位址
DestinationIP	target.asset.ip	目標資產的 IP 位址
HostName、hostname	principal.hostname	主體的主機名稱
HostName、hostname	principal.asset.hostname	主體資產的主機名稱
ApplicationName	target.application	目標的應用程式名稱
使用者名稱	principal.user.userid	主體的使用者 ID
FullPath	target.file.full_path	檔案的完整路徑
狀態	security_result.action	保全系統採取的動作
pid	principal.process.pid	程序 ID
src_application	principal.application	主體的應用程式名稱
SubSeqNumber、FlowHandle、ClientZValue、MACAddress、State、IsXCast、FlowState、DLLMode	security_result.detection_fields	安全結果中的偵測欄位
嚴重性	security_result.severity	安全性結果的嚴重程度
DB、NewApps、UniqueApps、Computers、Duration	additional.fields	額外欄位
	metadata.event_type	活動類型
	metadata.product_name	產品名稱
	metadata.vendor_name	供應商名稱

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。