F5 BIG-IP ASM-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie F5 BIG-IP Application Security Manager (ASM)-Logs mit Bindplane in Google Security Operations aufnehmen. Der Parser verarbeitet verschiedene Logformate (Syslog, CSV, CEF usw.) und normalisiert sie in das UDM. Es verwendet Grok-Muster und Schlüssel/Wert-Extraktionen, um Felder zu parsen, XML-Filterung für Verstoßdetails, bedingte Logik für die Ereigniskategorisierung und die Zuordnung des Schweregrads und führt extrahierte Felder im UDM-Schema zusammen.

Hinweis

  • Sie benötigen eine Google Security Operations-Instanz.
  • Sie müssen Windows 2016 oder höher oder einen Linux-Host mit systemd verwenden.
  • Wenn Sie hinter einem Proxy arbeiten, müssen die Firewallports geöffnet sein.
  • Prüfen Sie, ob Sie privilegierten Zugriff auf F5 BIG-IP ASM haben.

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

  • Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
  • Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
  12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.
  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Bindplane-Agent für die Aufnahme von Syslog und das Senden an Google SecOps konfigurieren

  1. Greifen Sie auf die Konfigurationsdatei zu:

    1. Suchen Sie die Datei config.yaml. In der Regel befindet sie sich unter Linux im Verzeichnis /opt/observiq-otel-collector/ oder unter Windows im Installationsverzeichnis.
    2. Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        protocol: https
        # Region of your instance, for example us, europe, asia-southeast1
        location: <LOCATION>
        # Project number of the Google Cloud project linked to the instance
        project: '<PROJECT_NUMBER>'
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: chronicle.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: F5_ASM
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.

  4. Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran.

  5. Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM und Verwaltung > Einstellungen.

  6. Ersetzen Sie <customer_id> durch die tatsächliche Kundennummer.

  7. Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, unter dem die Dienstkontoschlüsseldatei (Option 1) im Abschnitt Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen gespeichert wurde.

Legacy-Ingestion-API-Exporter

  • Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: F5_ASM
            raw_log_field: body

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

    sudo systemctl restart bindplane-agent

  • Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

    net stop BindPlaneAgent && net start BindPlaneAgent

Remote-Logging auf F5 BIG-IP ASM konfigurieren

  1. Melden Sie sich in der Web-UI der ASM Console an.
  2. Gehen Sie zu Sicherheit > Ereignisprotokolle > Logging-Profile.
  3. Klicken Sie auf Erstellen.

  4. Geben Sie die folgenden Konfigurationsdetails an:

    • Profilname: Geben Sie einen eindeutigen Namen für das Profil ein.
    • Wählen Sie Anwendungssicherheit aus.
    • Wählen Sie auf dem Tab „Anwendungssicherheit“ die Option Erweitert aus, wenn zusätzliche Konfigurationen erforderlich sind.
    • Speicherziel: Wählen Sie Remotespeicher aus.
    • Logging Format (Logging-Format): Wählen Sie „Common Event Format (CEF)“ aus.
    • Löschen Sie den lokalen Speicher.
    • Protokoll: Wählen Sie UDP oder TCP aus (je nach Konfiguration des Bindplane-Agents).
    • Serveradressen: Geben Sie die IP-Adresse des Bindplane-Agents ein.
    • Port: Standardmäßig ist 514 ausgewählt. Aktualisieren Sie die Porteinstellung entsprechend Ihrer Bindplane-Agent-Konfiguration.
    • Klicken Sie auf Hinzufügen.
    • Wählen Sie Garantie-Logging aus.
    • Wählen Sie Erkannte Anomalien melden aus.
    • Facility: Wählen Sie LOG_LOCAL6 aus. Optional können Sie die Facility-Kategorie des protokollierten Traffics auswählen. Die möglichen Werte sind LOG_LOCAL0 bis LOG_LOCAL7.

  5. Klicken Sie auf Fertig.

Logging-Profil mit einer Sicherheitsrichtlinie verknüpfen

  1. Klicken Sie auf Lokaler Traffic > Virtuelle Server.
  2. Klicken Sie auf den Namen des virtuellen Servers, der von der Sicherheitsrichtlinie verwendet wird.
  3. Wählen Sie im Menü Sicherheit die Option Richtlinien aus.
  4. Prüfen Sie, ob die Einstellung Anwendungssicherheitsrichtlinie auf Aktiviert und Richtlinie auf die gewünschte Sicherheitsrichtlinie festgelegt ist.
  5. Achten Sie darauf, dass die Einstellung Log Profile (Profil protokollieren) auf Enabled (Aktiviert) festgelegt ist.
  6. Wählen Sie in der Liste Verfügbar das Profil aus, das Sie für die Sicherheitsrichtlinie verwenden möchten, und verschieben Sie es in die Liste Ausgewählt.
  7. Klicken Sie auf Aktualisieren.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
act security_result.action Wenn act den Wert blocked hat, wird es BLOCK zugeordnet. Wenn act den Wert passed oder legal hat, wird es zu ALLOW zugeordnet. Wenn act den Wert alerted enthält, wird es QUARANTINE zugeordnet. Andernfalls wird standardmäßig ALLOW für das Splunk-Format verwendet.
app network.application_protocol Wird direkt HTTPS zugeordnet, wenn im Rohlog vorhanden.
attack_type security_result.category_details, metadata.description Wird in Verbindung mit anderen Feldern verwendet, um security_result.category zu bestimmen. Wenn keine andere Beschreibung verfügbar ist, wird sie zur Ereignisbeschreibung. Bei Logs im Splunk-Format wird damit die Kategorie und Zusammenfassung bestimmt, wenn violations leer ist.
client_ip principal.ip, principal.asset.ip Wird direkt der Haupt-IP-Adresse zugeordnet.
cn1 network.http.response_code Wird direkt dem HTTP-Antwortcode zugeordnet.
cn2 security_result.severity_details Wird direkt den Schweregraden der Sicherheitsergebnisse zugeordnet. Wird mit response_code verwendet, um festzustellen, ob ein Ereignis eine Warnung ist.
column1 principal.ip, principal.asset.ip Wird für bestimmte CSV-formatierte Logs der Haupt-IP-Adresse zugeordnet.
column2 target.port Wird für bestimmte CSV-formatierte Logs dem Zielport zugeordnet.
column3 target.ip, target.asset.ip Wird für bestimmte CSV-formatierte Logs der Ziel-IP-Adresse zugeordnet.
column4 security_result.severity Wird für bestimmte CSV-formatierte Protokolle dem Schweregrad des Sicherheitsergebnisses zugeordnet. Die Werte Information, Informational, 0 und 4 werden INFORMATIONAL zugeordnet. Warning, 1, 3 werden MEDIUM zugeordnet. Error, 2 werden ERROR zugeordnet. Critical, CRITICAL, critical werden zu KRITISCH zugeordnet.
column7 security_result.detection_fields, network.http.response_code Enthält XML-Daten. viol_name in request-violations wird extrahiert und als Erkennungsfelder mit dem Schlüssel Request Violation Name_index hinzugefügt. viol_name in response_violations wird extrahiert und als Erkennungsfelder mit dem Schlüssel Response Violation Name_index hinzugefügt. response_code in response_violations wird network.http.response_code zugeordnet.
column8 security_result.rule_name Wird für bestimmte CSV-formatierte Logs dem Regelnamen des Sicherheitsergebnisses zugeordnet.
cs1 security_result.rule_name Wird direkt dem Namen der Sicherheitsergebnisregel zugeordnet.
cs2 security_result.summary Wird direkt der Zusammenfassung des Sicherheitsergebnisses zugeordnet.
cs5 principal.ip, principal.asset.ip, additional.fields Wenn cs5 eine JNDI-LDAP-URL enthält, wird sie als zusätzliches Feld mit dem Schlüssel JNDI_LDAP_URL hinzugefügt. Wenn er kommagetrennte IP-Adressen enthält, wird jede IP-Adresse, die sich von principal_ip unterscheidet, als zusätzliche Haupt-IP-Adresse hinzugefügt.
cs6 principal.location.country_or_region Wird direkt dem Land oder der Region des Hauptstandorts zugeordnet.
data network.session_id, network.sent_bytes, network.tls.version Falls vorhanden, wird es als JSON geparst, um sessionid, bits (zugeordnet zu sent_bytes) und version zu extrahieren.
date_time metadata.event_timestamp Wird nach dem Parsen und Konvertieren in das richtige Format direkt dem Ereigniszeitstempel zugeordnet.
dest_ip target.ip, target.asset.ip Wird direkt der Ziel-IP-Adresse zugeordnet.
dest_port target.port Wird direkt dem Zielport zugeordnet.
dhost target.hostname Wird direkt dem Ziel-Hostnamen zugeordnet.
dpt target.port Wird direkt dem Zielport zugeordnet.
dst target.ip Wird direkt der Ziel-IP-Adresse zugeordnet.
dvc intermediary.ip Wird direkt der Zwischen-IP-Adresse zugeordnet.
dvchost target.hostname, intermediary.hostname Wird direkt dem Ziel-Hostnamen und dem Zwischen-Hostnamen zugeordnet.
errdefs_msgno additional.fields Als zusätzliches Feld mit dem Schlüssel errdefs_msgno hinzugefügt.
externalId additional.fields Als zusätzliches Feld mit dem Schlüssel Support_Id hinzugefügt.
f5_host target.hostname, intermediary.hostname Wird direkt dem Ziel-Hostnamen und dem Zwischen-Hostnamen zugeordnet.
geo_info principal.location.country_or_region, security_result.detection_fields Wird dem Land oder der Region des Hauptstandorts zugeordnet. Wird auch als Erkennungsfeld mit dem Schlüssel geo_info hinzugefügt.
host target.hostname Wird direkt dem Ziel-Hostnamen zugeordnet.
ids additional.fields Wird als durch Kommas getrennte Liste von Support-IDs geparst. Jede ID wird einem zusätzlichen Feld mit dem Schlüssel supportid hinzugefügt, das eine Liste enthält.
ip_addr_intelli security_result.detection_fields Als Erkennungsfeld mit dem Schlüssel ip_addr_intelli hinzugefügt.
ip_client principal.ip Wird direkt der Hauptkonto-IP-Adresse zugeordnet.
ip_route_domain principal.ip, principal.asset.ip Der IP-Teil wird extrahiert und der Hauptkonto-IP zugeordnet.
irule security_result.rule_name Wird direkt dem Namen der Sicherheitsergebnisregel zugeordnet.
irule-version security_result.rule_version Wird direkt der Version der Sicherheitsergebnisregel zugeordnet.
level security_result.severity, security_result.severity_details Wird verwendet, um den Schweregrad des Sicherheitsergebnisses zu bestimmen. error oder warning werden HIGH zugeordnet. notice wird MITTEL zugeordnet. information oder info werden LOW zugeordnet. Der Rohwert wird auch severity_details zugeordnet.
logtime metadata.event_timestamp Wird nach dem Parsen direkt dem Ereigniszeitstempel zugeordnet.
management_ip_address, management_ip_address_2 intermediary.ip Wird direkt der Zwischen-IP-Adresse zugeordnet.
method network.http.method Wird direkt der HTTP-Methode zugeordnet.
msg security_result.summary, metadata.description Wird bei einigen Logformaten direkt der Zusammenfassung des Sicherheitsergebnisses zugeordnet. Wenn keine andere Beschreibung verfügbar ist, wird sie zur Ereignisbeschreibung.
policy_name security_result.about.resource.name, security_result.rule_name Wird direkt dem Ressourcennamen des Sicherheitsergebnisses oder dem Regelnamen zugeordnet.
process target.application Wird direkt der Zielanwendung zugeordnet.
process_id principal.process.pid Wird direkt der Hauptprozess-ID zugeordnet.
protocol network.application_protocol, network.ip_protocol, app_protocol Wird je nach Logformat direkt dem Anwendungsprotokoll oder IP-Protokoll zugeordnet.
proxy_id security_result.rule_id Wird direkt der Regel-ID des Sicherheitsergebnisses zugeordnet.
query_string additional.fields Als zusätzliches Feld mit dem Schlüssel query_string hinzugefügt.
referrer network.http.referral_url Wird direkt der HTTP-Verweis-URL zugeordnet.
req_method network.http.method Wird direkt der HTTP-Methode zugeordnet.
req_status security_result.action, security_result.action_details, security_result.detection_fields Wenn blocked, wird security_result.action zu BLOCKIEREN zugeordnet. Wenn passed oder legal, wird ALLOW zugeordnet. Wenn alerted enthalten ist, wird QUARANTINE zugeordnet. Der Rohwert wird auch action_details zugeordnet und als Erkennungsfeld mit dem Schlüssel req_status hinzugefügt.
request target.url Wird direkt der Ziel-URL zugeordnet.
requestMethod network.http.method Wird direkt der HTTP-Methode zugeordnet.
resp security_result.detection_fields Als Erkennungsfeld mit dem Schlüssel resp hinzugefügt.
resp_code network.http.response_code Wird direkt dem HTTP-Antwortcode zugeordnet.
response security_result.summary Wird direkt der Zusammenfassung des Sicherheitsergebnisses zugeordnet.
response_code network.http.response_code Wird direkt dem HTTP-Antwortcode zugeordnet.
route_domain additional.fields Als zusätzliches Feld mit dem Schlüssel route_domain hinzugefügt.
rt metadata.event_timestamp Wird nach dem Parsen direkt dem Ereigniszeitstempel zugeordnet.
sev security_result.severity, security_result.severity_details Wird verwendet, um den Schweregrad des Sicherheitsergebnisses zu bestimmen. ERROR wird ERROR zugeordnet. Der Rohwert wird auch severity_details zugeordnet.
severity security_result.severity, security_result.severity_details Wird verwendet, um den Schweregrad des Sicherheitsergebnisses zu bestimmen. Informational wird LOW zugeordnet, Error oder warning wird HIGH zugeordnet, critical wird CRITICAL zugeordnet, notice wird MEDIUM zugeordnet, information oder info wird LOW zugeordnet. Der Rohwert wird auch severity_details zugeordnet.
sig_ids security_result.rule_id Wird direkt der Regel-ID des Sicherheitsergebnisses zugeordnet.
sig_names security_result.rule_name Wird direkt dem Namen der Sicherheitsergebnisregel zugeordnet.
snat_ip principal.nat_ip Wird direkt der primären NAT-IP-Adresse zugeordnet.
snat_port principal.nat_port Wird direkt dem primären NAT-Port zugeordnet.
src principal.ip, principal.asset.ip Wird direkt der Hauptkonto-IP-Adresse zugeordnet.
spt principal.port Wird direkt dem Hauptport zugeordnet.
sub_violates security_result.about.resource.attribute.labels Wird als Label mit dem Schlüssel Sub Violations zu den Ressourcenattributen des Sicherheitsergebnisses hinzugefügt.
sub_violations security_result.about.resource.attribute.labels Wird als Label mit dem Schlüssel Sub Violations zu den Ressourcenattributen des Sicherheitsergebnisses hinzugefügt.
summary security_result.summary Wird direkt der Zusammenfassung des Sicherheitsergebnisses zugeordnet.
support_id metadata.product_log_id Präfix support_id - und Zuordnung zur Produktprotokoll-ID.
suid network.session_id Wird direkt der Netzwerksitzungs-ID zugeordnet.
suser principal.user.userid Wird direkt der Hauptkonto-Nutzer-ID zugeordnet.
timestamp metadata.event_timestamp Wird nach dem Parsen und Konvertieren in das richtige Format direkt dem Ereigniszeitstempel zugeordnet.
unit_host principal.hostname, principal.asset.hostname Wird direkt dem Hostnamen des Hauptkontos zugeordnet.
uri principal.url Wird direkt der Haupt-URL zugeordnet.
user_id principal.user.userid Wird direkt der Hauptkonto-Nutzer-ID zugeordnet.
user_name principal.user.user_display_name Wird direkt dem Anzeigenamen des Hauptnutzers zugeordnet.
username principal.user.userid Wird direkt der Hauptkonto-Nutzer-ID zugeordnet.
useragent network.http.user_agent, network.http.parsed_user_agent Wird direkt dem HTTP-User-Agent zugeordnet. Wird auch geparst und dem geparsten User-Agent zugeordnet.
virtualserver network.tls.client.server_name Wird direkt dem TLS-Client-Servernamen zugeordnet.
violate_details security_result.detection_fields, network.http.response_code Enthält XML-Daten. viol_name in request-violations wird extrahiert und als Erkennungsfelder mit dem Schlüssel Request Violation Name_index hinzugefügt. viol_name in response_violations wird extrahiert und als Erkennungsfelder mit dem Schlüssel Response Violation Name_index hinzugefügt. response_code in response_violations wird network.http.response_code zugeordnet.
violate_rate security_result.detection_fields Als Erkennungsfeld mit dem Schlüssel violate_rate hinzugefügt.
violation_rating security_result.about.resource.attribute.labels Wird als Label mit dem Schlüssel Violations Rating zu den Ressourcenattributen des Sicherheitsergebnisses hinzugefügt.
violations security_result.description Wird direkt der Beschreibung des Sicherheitsergebnisses zugeordnet. Bei Logs im Splunk-Format wird damit die Zusammenfassung bestimmt, falls vorhanden.
virus_name security_result.threat_name Wird direkt dem Bedrohungsnamen des Sicherheitsergebnisses zugeordnet.
vs_name network.tls.client.server_name Wird direkt dem TLS-Client-Servernamen zugeordnet.
websocket_direction network.direction Wenn clientToServer, wird INBOUND zugeordnet. Wenn ServerToclient, wird OUTBOUND zugeordnet.
websocket_message_type security_result.detection_fields Als Erkennungsfeld mit dem Schlüssel WebsocketMessageType hinzugefügt.
x_fwd_hdr_val principal.ip, principal.asset.ip Wird direkt der Hauptkonto-IP-Adresse zugeordnet.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten