Recopila registros de F5 AFM

Compatible con:

En este documento, se explica cómo transferir registros de F5 Advanced Firewall Management (AFM) a Google Security Operations con el agente de Bindplane.

F5 BIG-IP AFM es un módulo de firewall de red que genera mensajes de syslog para las acciones de reglas de firewall (aceptar, descartar, rechazar), los eventos de inteligencia de IP y los errores de TCP. El analizador extrae campos de los registros con formato CSV o syslog, y los asigna al modelo de datos unificado (UDM).

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Windows Server 2016 o versiones posteriores, o host de Linux con systemd
  • Conectividad de red entre el agente de Bindplane y el dispositivo BIG-IP de F5
  • Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
  • Acceso con privilegios a BIG-IP de F5 y a la administración avanzada de firewalls de F5

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recopilación.
  3. Descarga el archivo de autenticación de transferencia.

  4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de BindPlane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.

  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el comando siguiente:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sc query observiq-otel-collector

    El servicio debe mostrarse como RUNNING.

Instalación en Linux

  1. Abre una terminal con privilegios de administrador o sudo.

  2. Ejecuta el comando siguiente:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sudo systemctl status observiq-otel-collector

    El servicio debería mostrarse como activo (en ejecución).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solucionar problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

Ubica el archivo de configuración

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

  • Reemplaza todo el contenido de config.yaml por la siguiente configuración:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:5145"

exporters:
    chronicle/f5_afm:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: F5_AFM
        raw_log_field: body

service:
    pipelines:
        logs/f5_afm_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/f5_afm

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

  • Configuración del receptor:

    • listen_address: Dirección IP y puerto para escuchar:
      • 0.0.0.0 para escuchar en todas las interfaces (recomendado)
      • El puerto 5145 se usa para el registro de alta velocidad de F5 AFM (ajusta para que coincida con tu configuración de F5).

  • Configuración del exportador:

    • creds_file_path: Ruta de acceso completa al archivo de autenticación de la transferencia:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID de cliente copiado de la consola de Google SecOps
    • endpoint: URL del extremo regional:
      • EE.UU.: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Consulta Extremos regionales para obtener la lista completa.

Guarda el archivo de configuración

  • Después de editarlo, guarda el archivo:
    • Linux: Presiona Ctrl+O, luego Enter y, por último, Ctrl+X.
    • Windows: Haz clic en Archivo > Guardar

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica que el servicio esté en ejecución:

      sudo systemctl status observiq-otel-collector

    2. Revisa los registros en busca de errores:

      sudo journalctl -u observiq-otel-collector -f

  • Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:

    • Símbolo del sistema o PowerShell como administrador:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Consola de Services:

      1. Presiona Win+R, escribe services.msc y presiona Intro.
      2. Busca observIQ OpenTelemetry Collector.
      3. Haz clic con el botón derecho y selecciona Reiniciar.

      4. Verifica que el servicio esté en ejecución:

        sc query observiq-otel-collector

      5. Revisa los registros en busca de errores:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Habilita el Administrador avanzado de firewall de BIG-IP de F5

  1. Accede a la consola de administración del dispositivo BIG-IP.
  2. Ve a System > License.
  3. Verifica que el Administrador avanzado de firewall tenga licencia y esté habilitado.
  4. Para habilitar el Administrador avanzado de firewall, ve a System > Resource > Provisioning.
  5. Selecciona la casilla de verificación de la columna Provisioning y, luego, Nominal en la lista.
  6. Haz clic en Enviar.

Configura el grupo de registros en F5 AFM

  1. Ve a Tráfico local > Grupos.
  2. Haz clic en Crear.
  3. Proporciona los siguientes detalles de configuración:
    • Nombre: Ingresa un nombre para el grupo de registro (por ejemplo, logging_pool).
    • Health Monitor: En la lista Available, selecciona TCP y haz clic en <<.
  4. En la pestaña Recurso, selecciona el Registro de grupo que creaste anteriormente en la lista Nombre del nodo.
  5. En el campo Dirección, ingresa la dirección IP del agente de Bindplane.
  6. En el campo Puerto de servicio, ingresa 5145 o cualquier otro puerto que hayas definido en el agente de Bindplane.
  7. Haz clic en Agregar.
  8. Haz clic en Finalizar.

Configura el destino del registro con formato en F5 AFM

  1. Ve a System > Logs > Configuration > Log Destinations.
  2. Haz clic en Crear.
  3. Proporciona los siguientes detalles de configuración:
    • Nombre: Ingresa un nombre para el destino del formato de registro (por ejemplo, Logging_Format_Destination).
    • Descripción: ingresa una descripción.
    • Tipo: Selecciona Syslog remoto.
    • Formato de Syslog: Selecciona Syslog.
    • Destino de registro de alta velocidad: Selecciona tu destino de registro de alta velocidad (por ejemplo, Logging_HSL_Destination).
  4. Haz clic en Finalizado.

Configura Log Publisher en F5 AFM

  1. Ve a System > Logs > Configuration > Log Publishers.
  2. Haz clic en Crear.
  3. Proporciona los siguientes detalles de configuración:
    • Nombre: Ingresa un nombre para el publicador (por ejemplo, Log_Publisher).
    • Descripción: ingresa una descripción.
    • Destinations: Selecciona el nombre del destino de registro que creaste en el paso Configurar el grupo de registros en AFM de F5 y haz clic en << para agregar elementos a la lista Selected.

Configura el perfil de registro en F5 AFM

  1. Ve a Security > Event Logs > Logging Profile.
  2. Haz clic en Crear.
  3. Proporciona los siguientes detalles de configuración:
    • Nombre: Ingresa un nombre para el perfil de registro (por ejemplo, Logging_Profile).
    • Firewall de red: Selecciona la casilla de verificación Habilitado.
    • Publicador: Selecciona el publicador de registros que configuraste antes (por ejemplo, Log_Publisher).
    • Log Rule Matches: Selecciona las casillas de verificación Accept, Drop, and Reject.
    • Log IP Errors: Selecciona la casilla de verificación Habilitado.
    • Log TCP Errors: Selecciona la casilla de verificación Habilitado.
    • Log TCP Events: Selecciona la casilla de verificación Enabled.
    • Formato de almacenamiento: Selecciona Lista de campos.
    • Delimitador: Ingresa , (coma) como delimitador para los eventos.
    • Opciones de almacenamiento: Selecciona todas las opciones en la lista Elementos disponibles y haz clic en <<.
    • En la pestaña IP Intelligence, selecciona el editor de registros que configuraste (por ejemplo, Log_Publisher).
  4. Haz clic en Finalizado.

Configura la asociación de perfiles de servidores virtuales en F5 AFM

  1. Ve a Tráfico local > Servidores virtuales.
  2. Selecciona el servidor virtual que deseas modificar.
  3. Ve a la pestaña Seguridad > Políticas.
  4. En la lista Log Profile, selecciona Enabled.
  5. En el campo Perfil, selecciona Logging_Profile y haz clic en <<.
  6. Haz clic en Actualizar.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
acl_policy_name security_result.detection_fields.acl_policy_name Valor de la columna22 si el formato de registro es SYSLOG; de lo contrario, valor de la columna13
acl_policy_type security_result.detection_fields.acl_policy_type Valor de la columna21 si el formato de registro es SYSLOG; de lo contrario, valor de la columna18
acl_rule_name security_result.rule_name Valor de la columna23 si el formato de registro es SYSLOG; de lo contrario, valor de la columna11
acl_rule_uuid security_result.rule_id Valor del campo acl_rule_uuid del patrón de Grok
acción security_result.action Si el valor de la columna25 es Drop, Reject o Block, entonces BLOCK; de lo contrario, si el valor de la columna25 es Accept, Accept decisively, Established o Allow, entonces ALLOW
attackID security_result.detection_fields.attackID Valor de la columna12 si el formato de registro es CSV sin src_ip
bigip_hostname intermediary.hostname Valor de la columna 2 si el formato de registro es SYSLOG; de lo contrario, valor de la columna 3
bigip_ip intermediary.ip Valor de la columna2 si el formato de registro es SYSLOG; de lo contrario, valor de la columna1
context_name additional.fields.context_name.string_value Valor de column4 si el formato de registro es SYSLOG; de lo contrario, valor de column10 si hay src_ip o valor de column5
context_type additional.fields.context_type.string_value Valor de column3 si el formato de registro es SYSLOG; de lo contrario, valor de column4 si hay src_ip, o bien valor de column4
dest_fqdn additional.fields.dest_fqdn.string_value Valor de la columna7 si el formato de registro es SYSLOG; de lo contrario, valor de la columna13
dest_geo additional.fields.dest_geo.string_value Valor de column14
dest_ip target.asset.ip, target.ip Valor de la columna8 si el formato de registro es SYSLOG; de lo contrario, valor de la columna6 si hay src_ip, o bien valor de la columna6
dest_port target.port Valor de column10 si el formato de registro es SYSLOG; de lo contrario, valor de column8 si hay src_ip o valor de column8
drop_reason security_result.summary Valor de la columna26 si el formato de registro es SYSLOG; de lo contrario, valor de la columna19
eventId additional.fields.eventId.string_value Valor capturado en el patrón de grok
flow_id additional.fields.flow_id.string_value Valor de la columna29 si el formato de registro es SYSLOG; de lo contrario, valor de la columna17
loglevel security_result.severity Si el valor del campo loglevel del patrón de Grok es warning, debug o notice, entonces es MEDIUM. Si el valor es info o informational, entonces es INFORMATIONAL. Si el valor es err o error, entonces es HIGH. Si el valor es alert, crit o emer, entonces es CRITICAL.
packetsReceived network.received_packets Valor de la columna 15 si el formato de registro es CSV sin src_ip
inversa target.application Valor del campo de proceso del patrón de grok
protocol_number_src network.ip_protocol Valor de column12 si el formato de registro es SYSLOG; de lo contrario, es el valor extraído de la variable ip_protocol_out
route_domain additional.fields.route_domain.string_value Valor de la columna13 si el formato de registro es SYSLOG; de lo contrario, valor de la columna9
source_fqdn additional.fields.source_fqdn.string_value Valor de la columna5 si el formato de registro es SYSLOG; de lo contrario, valor de la columna7
src_geo additional.fields.src_geo.string_value Valor de la columna8
src_ip principal.asset.ip, principal.ip Valor de column6 si el formato de registro es SYSLOG; de lo contrario, valor de column9 si el formato de registro es CSV sin src_ip; de lo contrario, valor de column5
src_port principal.port Valor de column9 si el formato de registro es SYSLOG; de lo contrario, valor de column7 si el formato de registro es CSV sin src_ip; de lo contrario, valor de column7
ts metadata.event_timestamp Valor del campo ts del patrón de grok
vlan additional.fields.vlan.string_value Valor de la columna11 si el formato de registro es SYSLOG; de lo contrario, valor de la columna21
metadata.event_type Si existen src_ip y dest_ip, entonces NETWORK_CONNECTION; de lo contrario, si solo existe src_ip, entonces STATUS_UPDATE; de lo contrario, GENERIC_EVENT
metadata.log_type F5_AFM
metadata.product_name Administración avanzada del firewall
metadata.vendor_name F5

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.