איסוף יומנים של Extreme Wireless

גרסת המנתח: 2.0

נתמך ב:

במסמך הזה מוסבר איך להטמיע יומנים של Extreme Wireless ב-Google Security Operations באמצעות סוכן Bindplane.

בקרים אלחוטיים של Extreme Networks יוצרים הודעות syslog לאירועים של שיוך לקוחות וביטול שיוך, אימות, אינטראקציות של RADIUS ושינויים בסטטוס של נקודת הגישה. המנתח מחלץ שדות באמצעות תבניות grok וממפה אותם ל-Unified Data Model ‏ (UDM).

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות רשת בין סוכן Bindplane לבין בקר Extreme Networks CloudIQ
  • אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • גישה עם הרשאות מיוחדות ל-Extreme Networks CloudIQ

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.
  1. נכנסים אל Google Cloud המסוף ובוחרים את Google Cloud הפרויקט שמקושר למופע של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על יצירת חשבון שירות.
  4. מספקים את פרטי ההגדרה הבאים:
    • שם חשבון השירות: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile.

  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. מאמתים את ההתקנה על ידי הרצת:

    sudo systemctl status observiq-otel-collector

    השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

  • מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/extreme_wireless:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: EXTREME_WIRELESS
    raw_log_field: body

service:
  pipelines:
    logs/extreme_wireless_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/extreme_wireless

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת המקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
      • 0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)

  • הגדרת הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ מפתח JSON של חשבון השירות (אפשרות 1):
      • ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
    • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
    • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/extreme_wireless:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: EXTREME_WIRELESS
    raw_log_field: body

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
    • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
      2. מחפשים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת syslog ב-Extreme Networks CloudIQ

  1. נכנסים לממשק המשתמש של CloudIQ באינטרנט.
  2. עוברים אל Configure > Common Objects > Management > Syslog Servers.
  3. לוחצים על +.
  4. מזינים את פרטי ההגדרה הבאים:
    • שם: מזינים שם ייחודי לשרת.
    • ‫Severity: בוחרים באפשרות Info.
    • בוחרים כתובת IP קיימת של Syslog מהתפריט Select, או לוחצים על +.
    • מזינים את כתובת ה-IP של סוכן Bindplane.
    • מזינים את מספר היציאה של סוכן Bindplane.
    • לוחצים על ADD.
  5. לוחצים על שמירת שרת Syslog.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
action security_result.detection_fields.key הערך של השדה action מהיומן הגולמי ממופה אל security_result.detection_fields.key.
action security_result.detection_fields.value הערך של השדה action מהיומן הגולמי ממופה אל security_result.detection_fields.value.
BSSID principal.resource.attribute.labels.key המחרוזת "BSSID" מוקצית ל-principal.resource.attribute.labels.key.
BSSID principal.resource.attribute.labels.value הערך של השדה BSSID מהיומן הגולמי ממופה אל principal.resource.attribute.labels.value.
collection_time.nanos metadata.event_timestamp.nanos הערך collection_time.nanos מיומן הגולמי ממופה לערך metadata.event_timestamp.nanos.
collection_time.seconds metadata.event_timestamp.seconds הערך של collection_time.seconds מהיומן הגולמי ממופה ל-metadata.event_timestamp.seconds.
collection_time.seconds timestamp.seconds הערך collection_time.seconds מיומן הגולמי ממופה לערך timestamp.seconds.
collection_time.nanos timestamp.nanos הערך של collection_time.nanos מהיומן הגולמי ממופה ל-timestamp.nanos.
data security_result.description הערך של השדה data מיומן היומן הגולמי, אחרי שעבר כמה טרנספורמציות gsub להסרת תווים לא רצויים וערכים של 'לא רלוונטי', ממופה לשדה security_result.description.
description security_result.description הערך של השדה description, שחולץ על ידי מנתח ה-grok, ממופה לשדה security_result.description.
first security_result.detection_fields.key המחרוזת "first" מוקצית ל-security_result.detection_fields.key.
first security_result.detection_fields.value הערך של השדה first מהיומן הגולמי ממופה אל security_result.detection_fields.value.
hostname principal.asset.hostname הערך של השדה hostname מהיומן הגולמי ממופה לשדות principal.asset.hostname ו-principal.hostname.
hostname principal.hostname הערך של השדה hostname מהיומן הגולמי ממופה לשדות principal.asset.hostname ו-principal.hostname.
IP principal.asset.ip הערך של השדה IP מהיומן הגולמי ממופה לשדות principal.asset.ip ו-principal.ip.
IP principal.ip הערך של השדה IP מהיומן הגולמי ממופה לשדות principal.asset.ip ו-principal.ip.
MAC principal.resource.attribute.labels.key המחרוזת 'MAC' מוקצית ל-principal.resource.attribute.labels.key.
MAC principal.resource.attribute.labels.value הערך של השדה MAC מיומן הגולמי ממופה לשדה principal.resource.attribute.labels.value.
medium security_result.detection_fields.key המחרוזת "medium" מוקצית ל-security_result.detection_fields.key.
medium security_result.detection_fields.value הערך של השדה medium מהיומן הגולמי ממופה אל security_result.detection_fields.value. הערך של metadata.event_type נקבע על ידי לוגיקה בתוך מנתח התגים. אם מזהי המכונות principal ו-target קיימים, המדיניות מוגדרת ל-NETWORK_CONNECTION. אם יש מזהי משתמשים של principal או של target, הערך מוגדר כ-USER_UNCATEGORIZED. אם קיים רק מזהה המכונה principal, הוא מוגדר כ-STATUS_UPDATE. אחרת, ברירת המחדל היא GENERIC_EVENT. המחרוזת "EXTREME WIRELESS" מוקצית ל-metadata.product_name.
prod_event_type metadata.product_event_type הערך של השדה prod_event_type מיומן הגולמי ממופה לשדה metadata.product_event_type.
port principal.port הערך של השדה port מהיומן הגולמי, שהומר למספר שלם, ממופה לשדה principal.port.
problem_summary security_result.summary הערך של השדה problem_summary מהיומן הגולמי ממופה לשדה security_result.summary.
SSID principal.resource.attribute.labels.key המחרוזת "SSID" מוקצית ל-principal.resource.attribute.labels.key.
SSID principal.resource.attribute.labels.value הערך של השדה SSID מהיומן הגולמי ממופה אל principal.resource.attribute.labels.value.
station principal.asset.hostname הערך של השדה station מהיומן הגולמי ממופה לשדות principal.asset.hostname ו-principal.hostname.
station principal.hostname הערך של השדה station מיומן הגולמי ממופה לשדות principal.asset.hostname ו-principal.hostname.
target_host target.asset.hostname הערך של השדה target_host מהיומן הגולמי ממופה לשדות target.asset.hostname ו-target.hostname.
target_host target.hostname הערך של השדה target_host מהיומן הגולמי ממופה לשדות target.asset.hostname ו-target.hostname.
target_ip target.asset.ip הערך של השדה target_ip מהיומן הגולמי ממופה לשדות target.asset.ip ו-target.ip.
target_ip target.ip הערך של השדה target_ip מהיומן הגולמי ממופה לשדות target.asset.ip ו-target.ip.
target_port target.port הערך של השדה target_port מיומן הגולמי, אחרי המרה למספר שלם, ממופה לשדה target.port.
target_user target.user.userid הערך של השדה target_user מיומן הגולמי ממופה לשדה target.user.userid.
user-profile security_result.detection_fields.key המחרוזת user profile (פרופיל משתמש) מוקצית ל-security_result.detection_fields.key.
user-profile security_result.detection_fields.value הערך של השדה user-profile מהיומן הגולמי ממופה אל security_result.detection_fields.value.
username principal.user.userid הערך של השדה username מהיומן הגולמי ממופה לשדה principal.user.userid. המחרוזת "EXTREME_WIRELESS" מוקצית ל-metadata.vendor_name.

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.