Abbiamo riorganizzato la struttura di navigazione della documentazione per allinearla direttamente ai tuoi flussi di lavoro operativi. Per ulteriori informazioni, consulta le note di rilascio e il video dimostrativo.

Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Raccogliere i log dei modem Digi

Parser Version: 1.0

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di Digi Modems in Google Security Operations utilizzando l'agente Bindplane.

I modem Digi sono modem cellulari industriali che generano messaggi syslog per eventi di accesso, tentativi di autenticazione e connessioni di rete. Il parser estrae i campi utilizzando i pattern grok e li mappa al modello Unified Data Model (UDM).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

Un'istanza Google SecOps
Windows Server 2016 o versioni successive oppure host Linux con systemd
Connettività di rete tra l'agente Bindplane e il modem Digi
Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
Accesso privilegiato a Digi Remote Manager o alla UI web del modem Digi locale

Recuperare il file di autenticazione dell'importazione di Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Agenti di raccolta.
Scarica il file di autenticazione dell'acquisizione.
Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota :questo file JSON contiene le credenziali per l'autenticazione dell'agente Bindplane in Google SecOps.

Recuperare l'ID cliente Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Profilo.
Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Nota: l'ID cliente è necessario per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

Apri Prompt dei comandi o PowerShell come amministratore.

Esegui questo comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendi il completamento dell'installazione.
Verifica l'installazione eseguendo:
```
sc query observiq-otel-collector
```
Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

Apri un terminale con privilegi root o sudo.

Esegui questo comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Attendi il completamento dell'installazione.
Verifica l'installazione eseguendo:
```
sudo systemctl status observiq-otel-collector
```
Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/digi_modems:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: DIGI_MODEMS
        raw_log_field: body

service:
    pipelines:
        logs/digi_modems_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/digi_modems

Parametri di configurazione

Sostituisci i seguenti segnaposto:

Configurazione del ricevitore:
- listen_address: Indirizzo IP e porta da ascoltare:
  - 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
  - La porta 514 è la porta syslog standard (richiede l'accesso root su Linux; utilizza 1514 per l'accesso non root)
Configurazione dell'esportatore:
- creds_file_path: percorso completo del file di autenticazione dell'acquisizione:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: ID cliente copiato dalla console Google SecOps
- endpoint: URL endpoint regionale:
  - Stati Uniti: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Per un elenco completo, vedi Endpoint regionali.

Salvare il file di configurazione

Dopo la modifica, salva il file:
- Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
- Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux, esegui questo comando:
```
sudo systemctl restart observiq-otel-collector
```
1. Verifica che il servizio sia in esecuzione:
```
sudo systemctl status observiq-otel-collector
```
2. Controlla i log per individuare eventuali errori:
```
sudo journalctl -u observiq-otel-collector -f
```
Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:
- Prompt dei comandi o PowerShell come amministratore:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console dei servizi:
  1. Premi Win+R, digita services.msc e premi Invio.
  2. Individua observIQ OpenTelemetry Collector.
  3. Fai clic con il tasto destro del mouse e seleziona Riavvia.
  4. Verifica che il servizio sia in esecuzione:
```
sc query observiq-otel-collector
```
  5. Controlla i log per individuare eventuali errori:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configurare il server syslog sul modem Digi

Accedi a Digi Remote Manager o alla UI web locale di Digi Modem.
Accedi alla configurazione del dispositivo con Remote Manager:
- Individua il dispositivo per cui vuoi configurare syslog.
- Fai clic su ID dispositivo > Impostazioni > Configurazione.
Accedi alla configurazione del dispositivo con la UI web del modem Digi locale:
- Fai clic su System (Sistema) > Configuration (Configurazione) > Device Configuration (Configurazione dispositivo).
Vai a Sistema > Log.
Fai clic per espandere l'elenco dei server.
Fai clic su Aggiungi server +.
Fornisci i seguenti dettagli di configurazione:
- Server: inserisci l'indirizzo IP dell'agente Bindplane.
- Seleziona le categorie di eventi che verranno inviate al server (tutte le categorie di eventi sono attivate per impostazione predefinita).
- Porta di uscita Syslog: inserisci il numero di porta dell'agente Bindplane (il valore predefinito è 514).
- Protocollo: seleziona UDP.
Fai clic su Applica.

Log di esempio dei modem Digi supportati

SYSLOG

{
  "priority": 14,
  "timestamp": "Dec 28 17:27:45",
  "hostname": "host-device.router",
  "tag": "Eventlog",
  "message": "17:27:33, 28 Dec 2006,Login failure by Host: 10.0.0.25:23: CMD,Telnet"
}

SYSLOG

{
  "priority": 14,
  "timestamp": "May 25 11:03:55",
  "hostname": "internal-srv-01",
  "tag": "Eventlog",
  "message": "11:03:55, 25 May 2023,Login failure by sanitized_user: WEB"
}

SYSLOG

{
  "priority": 14,
  "timestamp": "Jun 11 23:58:26",
  "hostname": "internal-srv-01",
  "tag": "Eventlog",
  "message": "23:58:26, 11 Jun 2023,Login failure by GET /masked_path HTTP/1.0: CMD,Telnet"
}

SYSLOG

{
  "priority": 14,
  "timestamp": "Jun 19 19:52:19",
  "hostname": "gateway-device-02",
  "tag": "Eventlog",
  "message": "19:52:18, 19 Jun 2023,WEB Login OK by internal_admin lvl 0"
}

Tabella di mappatura UDM

Campo log	mapping UDM	Logica
contenuti	security_result.description	Mappato direttamente dal campo `content` dopo l'analisi iniziale.
http_method	network.http.method	Estratto dal campo `content` utilizzando un pattern grok.
http_version	network.application_protocol_version	Estratto dal campo `content` utilizzando un pattern grok.
nome host	principal.hostname	Estratto dal messaggio di log utilizzando un pattern grok.
ip	target.ip	Estratto dal campo `content` utilizzando un pattern grok.
porta	target.port	Estratto dal campo `content` utilizzando un pattern grok e convertito in un numero intero.
proto	network.application_protocol	Estratto dal campo `content` utilizzando un pattern grok.
ts	metadata.event_timestamp	Estratto dal messaggio di log utilizzando un pattern grok e convertito in un timestamp.
tipo	login_type_label.value	Estratto dal campo `content` utilizzando un pattern grok.
	extensions.auth.type	Impostato su `MACHINE` dalla logica del parser.
	login_type_label.key	Impostato su `Login type` dalla logica del parser.
	metadata.event_type	Determinato dalla presenza di campi specifici come `ip` o `user` e impostato di conseguenza su `NETWORK_CONNECTION` o `USER_LOGIN`.
	metadata.log_type	Impostato su `DIGI_MODEMS` dalla logica del parser.
	metadata.product_event_type	Estratto dal campo `product_type` nel messaggio di log.
	metadata.product_name	Impostato su `DIGI_MODEMS` dalla logica del parser.
	metadata.vendor_name	Impostato su `DIGI_MODEMS` dalla logica del parser.
	security_result.action	Determinato dalla presenza di `Login OK` o `Login failure` nel messaggio e impostato rispettivamente su `ALLOW` o `BLOCK`.
utente	target.user.userid	Estratto dal campo `content` utilizzando un pattern grok.

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.