Raccogli i log di F5 BIG-IP ASM

Supportata in:

Questo documento spiega come importare i log di F5 BIG-IP Application Security Manager (ASM) in Google Security Operations utilizzando Bindplane. Il parser gestisce vari formati di log (syslog, CSV, CEF e così via) e li normalizza in UDM. Utilizza pattern grok ed estrazioni di coppie chiave-valore per analizzare i campi, filtri XML per i dettagli delle violazioni, logica condizionale per la categorizzazione degli eventi e la mappatura della gravità e unisce i campi estratti nello schema UDM.

Prima di iniziare

  • Assicurati di avere un'istanza Google Security Operations.
  • Assicurati di utilizzare Windows 2016 o versioni successive oppure un host Linux con systemd.
  • Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte.
  • Assicurati di disporre dell'accesso con privilegi a F5 BIG-IP ASM.

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

  • Nuovi deployment: utilizza l'API Chronicle (opzione 1).
  • Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (Opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.
  1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
  2. Vai a IAM e amministrazione > Service account.
  3. Fai clic su Crea service account.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
    • Descrizione service account: inserisci una descrizione (ad esempio Bindplane agent log ingestion).
  5. Fai clic su Crea e continua.
  6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Editor Chronicle.
  7. Fai clic su Continua, quindi su Fine.
  8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
  9. Fai clic su Aggiungi chiave > Crea nuova chiave.
  10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
  11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
  12. Vai a IAM e amministrazione > Impostazioni e copia il numero di progetto. Ti servirà per la configurazione dell'esportatore.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione.
  4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Ottieni l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installazione di finestre

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

  1. Accedi al file di configurazione:

    1. Individua il file config.yaml. In genere si trova nella directory /opt/observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
    2. Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        protocol: https
        # Region of your instance, for example us, europe, asia-southeast1
        location: <LOCATION>
        # Project number of the Google Cloud project linked to the instance
        project: '<PROJECT_NUMBER>'
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: chronicle.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: F5_ASM
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.

  4. Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.

  5. Sostituisci <PROJECT_NUMBER> con il numero di progetto indicato in IAM e amministrazione > Impostazioni.

  6. Sostituisci <customer_id> con l'ID cliente effettivo.

  7. Aggiorna /path/to/ingestion-authentication-file.json con il percorso in cui è stato salvato il file della chiave del account di servizio (Opzione 1) nella sezione Ottieni le credenziali di Google SecOps per l'agente Bindplane.

Esportatore dell'API di importazione precedente

  • Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

    exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: F5_ASM
            raw_log_field: body

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart bindplane-agent

  • Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura la registrazione remota su F5 BIG-IP ASM

  1. Accedi all'interfaccia utente web della console ASM.
  2. Vai a Sicurezza > Log eventi > Profili di logging.
  3. Fai clic su Crea.

  4. Fornisci i seguenti dettagli di configurazione:

    • Nome del profilo: inserisci un nome univoco per il profilo.
    • Seleziona Sicurezza dell'applicazione.
    • Nella scheda Application Security, seleziona Advanced (se sono necessarie configurazioni aggiuntive).
    • Destinazione di archiviazione: seleziona Archiviazione remota.
    • Logging Format (Formato di logging): seleziona Common Event Format (CEF).
    • Cancella Archiviazione locale.
    • Protocollo: seleziona UDP o TCP (a seconda della configurazione dell'agente Bindplane).
    • Indirizzi server: inserisci l'indirizzo IP dell'agente Bindplane.
    • Porta: selezionata per impostazione predefinita 514. Aggiorna l'impostazione della porta in base alla configurazione dell'agente Bindplane.
    • Fai clic su Aggiungi.
    • Seleziona Registrazione della garanzia.
    • Seleziona Segnala anomalie rilevate.
    • Facility (Struttura): seleziona LOG_LOCAL6 (facoltativamente, puoi selezionare la categoria della struttura del traffico registrato; i valori possibili sono compresi tra LOG_LOCAL0 e LOG_LOCAL7).

  5. Fai clic su Fine.

Associa un profilo di logging a una policy di sicurezza

  1. Fai clic su Traffico locale > Server virtuali.
  2. Fai clic sul nome del server virtuale utilizzato dalla policy di sicurezza.
  3. Nel menu Sicurezza, seleziona Policy.
  4. Assicurati che l'impostazione Policy di sicurezza delle applicazioni sia Abilitata e che Policy sia impostata sulla policy di sicurezza che preferisci.
  5. Assicurati che l'impostazione Profilo log sia impostata su Attivato.
  6. Dall'elenco Disponibili, seleziona il profilo da utilizzare per la policy di sicurezza e spostalo nell'elenco Selezionati.
  7. Fai clic su Aggiorna.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
act security_result.action Se act è blocked, viene mappato a BLOCK. Se act è passed o legal, viene mappato ad ALLOW. Se act contiene alerted, viene mappato a QUARANTINE. In caso contrario, il valore predefinito è ALLOW per il formato Splunk.
app network.application_protocol Viene mappato direttamente a HTTPS se presente nel log non elaborato.
attack_type security_result.category_details, metadata.description Utilizzato in combinazione con altri campi per determinare security_result.category. Se non è disponibile un'altra descrizione, questa diventa la descrizione dell'evento. Per i log in formato Splunk, viene utilizzato per determinare la categoria e il riepilogo se violations è vuoto.
client_ip principal.ip, principal.asset.ip Mappa direttamente l'IP principale.
cn1 network.http.response_code Corrisponde direttamente al codice di risposta HTTP.
cn2 security_result.severity_details Mappa direttamente i dettagli della gravità dei risultati di sicurezza. Utilizzato con response_code per determinare se un evento è un avviso.
column1 principal.ip, principal.asset.ip Esegue la mappatura all'IP principale per determinati log formattati in CSV.
column2 target.port Esegue la mappatura alla porta di destinazione per determinati log in formato CSV.
column3 target.ip, target.asset.ip Mappe all'IP di destinazione per determinati log formattati in formato CSV.
column4 security_result.severity Esegue la mappatura alla gravità del risultato di sicurezza per determinati log in formato CSV. I valori Information, Informational, 0, 4 corrispondono a INFORMATIONAL. Warning, 1, 3 corrisponde a MEDIO. Error, 2 vengono mappati a ERROR. Critical, CRITICAL, critical corrispondono a CRITICO.
column7 security_result.detection_fields, network.http.response_code Contiene dati XML. viol_name all'interno di request-violations viene estratto e aggiunto come campo di rilevamento con la chiave Request Violation Name_index. viol_name all'interno di response_violations viene estratto e aggiunto come campi di rilevamento con la chiave Response Violation Name_index. response_code in response_violations corrisponde a network.http.response_code.
column8 security_result.rule_name Corrisponde al nome della regola dei risultati di sicurezza per determinati log formattati in formato CSV.
cs1 security_result.rule_name Si mappa direttamente al nome della regola del risultato di sicurezza.
cs2 security_result.summary Mappa direttamente al riepilogo dei risultati di sicurezza.
cs5 principal.ip, principal.asset.ip, additional.fields Se cs5 contiene un URL LDAP JNDI, viene aggiunto come campo aggiuntivo con la chiave JNDI_LDAP_URL. In caso contrario, se contiene IP separati da virgole, qualsiasi IP diverso da principal_ip viene aggiunto come IP principale aggiuntivo.
cs6 principal.location.country_or_region Corrisponde direttamente al paese o alla regione della sede principale.
data network.session_id, network.sent_bytes, network.tls.version Se presente, viene analizzato come JSON per estrarre sessionid, bits (mappato a sent_bytes) e version.
date_time metadata.event_timestamp Mappa direttamente il timestamp dell'evento dopo l'analisi e la conversione nel formato corretto.
dest_ip target.ip, target.asset.ip Mappa direttamente l'IP di destinazione.
dest_port target.port Mappa direttamente alla porta di destinazione.
dhost target.hostname Mappa direttamente al nome host di destinazione.
dpt target.port Mappa direttamente la porta di destinazione.
dst target.ip Mappa direttamente all'IP di destinazione.
dvc intermediary.ip Mappato direttamente all'IP intermedio.
dvchost target.hostname, intermediary.hostname Viene mappato direttamente al nome host di destinazione e al nome host intermediario.
errdefs_msgno additional.fields Aggiunto come campo aggiuntivo con la chiave errdefs_msgno.
externalId additional.fields Aggiunto come campo aggiuntivo con la chiave Support_Id.
f5_host target.hostname, intermediary.hostname Mappa direttamente l'hostname di destinazione e l'hostname intermedio.
geo_info principal.location.country_or_region, security_result.detection_fields Viene mappato al paese o alla regione della sede principale. Aggiunto anche come campo di rilevamento con la chiave geo_info.
host target.hostname Mappa direttamente al nome host di destinazione.
ids additional.fields Analizzato come elenco di ID di assistenza separati da virgole. Ogni ID viene aggiunto a un campo aggiuntivo con valori di elenco con la chiave supportid.
ip_addr_intelli security_result.detection_fields Aggiunto come campo di rilevamento con la chiave ip_addr_intelli.
ip_client principal.ip Mappa direttamente all'IP principale.
ip_route_domain principal.ip, principal.asset.ip La parte IP viene estratta e mappata all'IP principale.
irule security_result.rule_name Si mappa direttamente al nome della regola del risultato di sicurezza.
irule-version security_result.rule_version Viene mappato direttamente alla versione della regola del risultato di sicurezza.
level security_result.severity, security_result.severity_details Utilizzato per determinare la gravità del risultato di sicurezza. error o warning corrispondono ad ALTO. notice corrisponde a MEDIO. information o info su BASSO. Il valore non elaborato viene mappato anche a severity_details.
logtime metadata.event_timestamp Mappa direttamente il timestamp dell'evento dopo l'analisi.
management_ip_address, management_ip_address_2 intermediary.ip Mappato direttamente all'IP intermedio.
method network.http.method Viene mappato direttamente al metodo HTTP.
msg security_result.summary, metadata.description Viene mappato direttamente al riepilogo dei risultati di sicurezza per alcuni formati di log. Se non è disponibile un'altra descrizione, questa diventa la descrizione dell'evento.
policy_name security_result.about.resource.name, security_result.rule_name Mappa direttamente il nome della risorsa del risultato di sicurezza o il nome della regola.
process target.application Mappatura diretta all'applicazione di destinazione.
process_id principal.process.pid Corrisponde direttamente all'ID processo principale.
protocol network.application_protocol, network.ip_protocol, app_protocol Mappato direttamente al protocollo di applicazione o al protocollo IP a seconda del formato del log.
proxy_id security_result.rule_id Mappa direttamente l'ID regola del risultato di sicurezza.
query_string additional.fields Aggiunto come campo aggiuntivo con la chiave query_string.
referrer network.http.referral_url Mappa direttamente all'URL di referral HTTP.
req_method network.http.method Corrisponde direttamente al metodo HTTP.
req_status security_result.action, security_result.action_details, security_result.detection_fields Se blocked, mappa security_result.action a BLOCK. Se passed o legal, viene mappato ad ALLOW. Se contiene alerted, viene mappato a QUARANTINE. Il valore non elaborato viene mappato anche a action_details e aggiunto come campo di rilevamento con la chiave req_status.
request target.url Mappa direttamente l'URL di destinazione.
requestMethod network.http.method Viene mappato direttamente al metodo HTTP.
resp security_result.detection_fields Aggiunto come campo di rilevamento con la chiave resp.
resp_code network.http.response_code Corrisponde direttamente al codice di risposta HTTP.
response security_result.summary Mappa direttamente il riepilogo dei risultati di sicurezza.
response_code network.http.response_code Corrisponde direttamente al codice di risposta HTTP.
route_domain additional.fields Aggiunto come campo aggiuntivo con la chiave route_domain.
rt metadata.event_timestamp Mappa direttamente il timestamp dell'evento dopo l'analisi.
sev security_result.severity, security_result.severity_details Utilizzato per determinare la gravità del risultato di sicurezza. ERROR corrisponde a ERROR. Il valore non elaborato viene mappato anche a severity_details.
severity security_result.severity, security_result.severity_details Utilizzato per determinare la gravità del risultato di sicurezza. Informational corrisponde a BASSA, Error o warning corrisponde ad ALTA, critical corrisponde a CRITICA, notice corrisponde a MEDIA, information o info corrisponde a BASSA. Il valore non elaborato viene mappato anche a severity_details.
sig_ids security_result.rule_id Mappa direttamente l'ID regola del risultato di sicurezza.
sig_names security_result.rule_name Mappa direttamente il nome della regola del risultato di sicurezza.
snat_ip principal.nat_ip Mappato direttamente all'IP NAT principale.
snat_port principal.nat_port Mappa direttamente alla porta NAT principale.
src principal.ip, principal.asset.ip Mappa direttamente all'IP principale.
spt principal.port Mappa direttamente alla porta principale.
sub_violates security_result.about.resource.attribute.labels Aggiunta come etichetta con la chiave Sub Violations agli attributi della risorsa dei risultati di sicurezza.
sub_violations security_result.about.resource.attribute.labels Aggiunta come etichetta con la chiave Sub Violations agli attributi della risorsa dei risultati di sicurezza.
summary security_result.summary Mappa direttamente il riepilogo dei risultati di sicurezza.
support_id metadata.product_log_id Con prefisso support_id - e mappato all'ID log prodotto.
suid network.session_id Viene mappato direttamente all'ID sessione di rete.
suser principal.user.userid Mappa direttamente all'ID utente principale.
timestamp metadata.event_timestamp Mappa direttamente il timestamp dell'evento dopo l'analisi e la conversione nel formato corretto.
unit_host principal.hostname, principal.asset.hostname Mappa direttamente il nome host principale.
uri principal.url Mappato direttamente all'URL principale.
user_id principal.user.userid Corrisponde direttamente all'ID utente principale.
user_name principal.user.user_display_name Mappa direttamente il nome visualizzato dell'utente principale.
username principal.user.userid Corrisponde direttamente all'ID utente principale.
useragent network.http.user_agent, network.http.parsed_user_agent Viene mappato direttamente allo user agent HTTP. Inoltre, è stato analizzato e mappato allo user agent analizzato.
virtualserver network.tls.client.server_name Viene mappato direttamente al nome del server client TLS.
violate_details security_result.detection_fields, network.http.response_code Contiene dati XML. viol_name all'interno di request-violations viene estratto e aggiunto come campo di rilevamento con la chiave Request Violation Name_index. viol_name all'interno di response_violations viene estratto e aggiunto come campi di rilevamento con la chiave Response Violation Name_index. response_code in response_violations corrisponde a network.http.response_code.
violate_rate security_result.detection_fields Aggiunto come campo di rilevamento con la chiave violate_rate.
violation_rating security_result.about.resource.attribute.labels Aggiunta come etichetta con la chiave Violations Rating agli attributi della risorsa dei risultati di sicurezza.
violations security_result.description Viene mappato direttamente alla descrizione del risultato di sicurezza. Per i log in formato Splunk, viene utilizzato per determinare il riepilogo, se presente.
virus_name security_result.threat_name Mappato direttamente al nome della minaccia del risultato di sicurezza.
vs_name network.tls.client.server_name Mappato direttamente al nome del server client TLS.
websocket_direction network.direction Se clientToServer, viene mappato a IN ENTRATA. Se ServerToclient, viene mappato a OUTBOUND.
websocket_message_type security_result.detection_fields Aggiunto come campo di rilevamento con la chiave WebsocketMessageType.
x_fwd_hdr_val principal.ip, principal.asset.ip Mappa direttamente l'IP principale.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.