Raccogli i log di F5 BIG-IP ASM

Supportata in:

Questo documento spiega come importare i log di F5 BIG-IP Application Security Manager (ASM) in Google Security Operations utilizzando Bindplane. Il parser gestisce vari formati di log (syslog, CSV, CEF e così via) e li normalizza in UDM. Utilizza pattern grok ed estrazioni di coppie chiave-valore per analizzare i campi, filtri XML per i dettagli delle violazioni, logica condizionale per la categorizzazione degli eventi e la mappatura della gravità e unisce i campi estratti nello schema UDM.

Prima di iniziare

  • Assicurati di avere un'istanza Google Security Operations.
  • Assicurati di utilizzare Windows 2016 o versioni successive oppure un host Linux con systemd.
  • Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte.
  • Assicurati di disporre dell'accesso con privilegi a F5 BIG-IP ASM.

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

  • Nuovi deployment: utilizza l'API Chronicle (opzione 1).
  • Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.
  1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza di Google SecOps.
  2. Vai a IAM e amministrazione > Service account.
  3. Fai clic su Crea account di servizio.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome account di servizio: inserisci un nome per l'account (ad esempio bindplane-ingest).
    • Descrizione service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
  5. Fai clic su Crea e continua.
  6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
  7. Fai clic su Continua e poi su Fine.
  8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
  9. Fai clic su Aggiungi chiave > Crea nuova chiave.
  10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
  11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
  12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni > Gestione dei dati > Agenti di raccolta. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione.
  4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Ottieni l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni > Amministrazione > Profilo. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installazione di finestre

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

  1. Accedi al file di configurazione:

    1. Individua il file config.yaml. In genere, si trova nella directory /opt/observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
    2. Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        protocol: https
        # Region of your instance, for example us, europe, asia-southeast1
        location: <LOCATION>
        # Project number of the Google Cloud project linked to the instance
        project: '<PROJECT_NUMBER>'
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: chronicle.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: F5_ASM
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.

  4. Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.

  5. Sostituisci <PROJECT_NUMBER> con il numero di progetto indicato in IAM e amministrazione > Impostazioni.

  6. Sostituisci <customer_id> con l'ID cliente effettivo.

  7. Aggiorna /path/to/ingestion-authentication-file.json con il percorso in cui è stato salvato il file della chiave del account di servizio (Opzione 1) nella sezione Ottieni le credenziali di Google SecOps per l'agente Bindplane.

Esportatore API di importazione precedente

  • Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

    exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: F5_ASM
            raw_log_field: body

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart bindplane-agent

  • Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura il logging remoto su F5 BIG-IP ASM

  1. Accedi alla UI web della console ASM.
  2. Vai a Security > Event Logs > Logging Profiles.
  3. Fai clic su Crea.

  4. Fornisci i seguenti dettagli di configurazione:

    • Nome del profilo: inserisci un nome univoco per il profilo.
    • Seleziona Sicurezza delle applicazioni.
    • Nella scheda Application Security, seleziona Advanced (se sono necessarie configurazioni aggiuntive).
    • Destinazione di archiviazione: seleziona Archiviazione remota.
    • Logging Format (Formato di logging): seleziona Common Event Format (CEF).
    • Cancella Archiviazione locale.
    • Protocollo: seleziona UDP o TCP (a seconda della configurazione dell'agente Bindplane).
    • Indirizzi server: inserisci l'indirizzo IP dell'agente Bindplane.
    • Porta: selezionata per impostazione predefinita 514. Aggiorna l'impostazione della porta in base alla configurazione dell'agente Bindplane.
    • Fai clic su Aggiungi.
    • Seleziona Garantisci il logging.
    • Seleziona Segnala anomalie rilevate.
    • Facility: seleziona LOG_LOCAL6 (facoltativamente, puoi selezionare la categoria della struttura del traffico registrato, i valori possibili sono compresi tra LOG_LOCAL0 e LOG_LOCAL7).

  5. Fai clic su Fine.

Associa un profilo di logging a una policy di sicurezza

  1. Fai clic su Local Traffic > Virtual Servers (Traffico locale > Server virtuali).
  2. Fai clic sul nome del server virtuale utilizzato dalla policy di sicurezza.
  3. Nel menu Sicurezza, seleziona Policy.
  4. Assicurati che l'impostazione Policy di sicurezza delle applicazioni sia Abilitata e che Policy sia impostata sulla policy di sicurezza che preferisci.
  5. Assicurati che l'impostazione Profilo log sia impostata su Attivato.
  6. Dall'elenco Disponibili, seleziona il profilo da utilizzare per la policy di sicurezza e spostalo nell'elenco Selezionati.
  7. Fai clic su Aggiorna.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
act security_result.action Se act è blocked, viene mappato a BLOCK. Se act è passed o legal, viene mappato ad ALLOW. Se act contiene alerted, viene mappato a QUARANTINE. In caso contrario, il valore predefinito è ALLOW per il formato Splunk.
app network.application_protocol Viene mappato direttamente a HTTPS se presente nel log non elaborato.
attack_type security_result.category_details, metadata.description Utilizzato insieme ad altri campi per determinare security_result.category. Se non è disponibile un'altra descrizione, questa diventa la descrizione dell'evento. Per i log in formato Splunk, viene utilizzato per determinare la categoria e il riepilogo se violations è vuoto.
client_ip principal.ip, principal.asset.ip Mappa direttamente all'IP principale.
cn1 network.http.response_code Corrisponde direttamente al codice di risposta HTTP.
cn2 security_result.severity_details Mappa direttamente i dettagli della gravità del risultato di sicurezza. Utilizzato con response_code per determinare se un evento è un avviso.
column1 principal.ip, principal.asset.ip Esegue la mappatura all'IP principale per determinati log formattati in CSV.
column2 target.port Esegue la mappatura alla porta di destinazione per determinati log formattati in CSV.
column3 target.ip, target.asset.ip Esegue la mappatura all'IP di destinazione per determinati log in formato CSV.
column4 security_result.severity Esegue la mappatura alla gravità del risultato di sicurezza per determinati log in formato CSV. I valori Information, Informational, 0, 4 vengono mappati a INFORMATIONAL. Warning, 1, 3 corrispondono a MEDIUM. Error, 2 corrispondono a ERROR. Critical, CRITICAL, critical corrispondono a CRITICAL.
column7 security_result.detection_fields, network.http.response_code Contiene dati XML. viol_name all'interno di request-violations viene estratto e aggiunto come campi di rilevamento con la chiave Request Violation Name_index. viol_name all'interno di response_violations viene estratto e aggiunto come campi di rilevamento con la chiave Response Violation Name_index. response_code in response_violations corrisponde a network.http.response_code.
column8 security_result.rule_name Mappa al nome della regola del risultato di sicurezza per determinati log formattati in CSV.
cs1 security_result.rule_name Mappa direttamente al nome della regola del risultato di sicurezza.
cs2 security_result.summary Si mappa direttamente al riepilogo dei risultati di sicurezza.
cs5 principal.ip, principal.asset.ip, additional.fields Se cs5 contiene un URL LDAP JNDI, viene aggiunto come campo aggiuntivo con la chiave JNDI_LDAP_URL. In caso contrario, se contiene IP separati da virgole, qualsiasi IP diverso da principal_ip viene aggiunto come IP principale aggiuntivo.
cs6 principal.location.country_or_region Mappa direttamente al paese o alla regione della sede principale.
data network.session_id, network.sent_bytes, network.tls.version Se presente, viene analizzato come JSON per estrarre sessionid, bits (mappato a sent_bytes) e version.
date_time metadata.event_timestamp Viene mappato direttamente al timestamp dell'evento dopo l'analisi e la conversione nel formato corretto.
dest_ip target.ip, target.asset.ip Mappa direttamente all'IP di destinazione.
dest_port target.port Mappa direttamente alla porta di destinazione.
dhost target.hostname Mappa direttamente al nome host di destinazione.
dpt target.port Mappa direttamente alla porta di destinazione.
dst target.ip Mappa direttamente all'IP di destinazione.
dvc intermediary.ip Mappa direttamente all'IP intermediario.
dvchost target.hostname, intermediary.hostname Mappa direttamente al nome host di destinazione e al nome host intermediario.
errdefs_msgno additional.fields Aggiunto come campo aggiuntivo con chiave errdefs_msgno.
externalId additional.fields Aggiunto come campo aggiuntivo con chiave Support_Id.
f5_host target.hostname, intermediary.hostname Mappa direttamente al nome host di destinazione e al nome host intermediario.
geo_info principal.location.country_or_region, security_result.detection_fields Corrisponde al paese o alla regione della sede principale. Aggiunto anche come campo di rilevamento con la chiave geo_info.
host target.hostname Mappa direttamente al nome host di destinazione.
ids additional.fields Analizzato come elenco di ID di assistenza separati da virgole. Ogni ID viene aggiunto a un campo aggiuntivo con valore di elenco con chiave supportid.
ip_addr_intelli security_result.detection_fields Aggiunto come campo di rilevamento con la chiave ip_addr_intelli.
ip_client principal.ip Mappa direttamente all'IP principale.
ip_route_domain principal.ip, principal.asset.ip La parte relativa all'IP viene estratta e mappata all'IP principale.
irule security_result.rule_name Mappa direttamente al nome della regola del risultato di sicurezza.
irule-version security_result.rule_version Mappa direttamente alla versione della regola del risultato di sicurezza.
level security_result.severity, security_result.severity_details Utilizzato per determinare la gravità del risultato di sicurezza. error o warning corrispondono ad ALTO. notice corrisponde a MEDIUM. information o info vengono mappati a BASSO. Il valore non elaborato viene mappato anche a severity_details.
logtime metadata.event_timestamp Viene mappato direttamente al timestamp dell'evento dopo l'analisi.
management_ip_address, management_ip_address_2 intermediary.ip Mappa direttamente all'IP intermediario.
method network.http.method Si mappa direttamente al metodo HTTP.
msg security_result.summary, metadata.description Per alcuni formati di log, viene mappato direttamente al riepilogo dei risultati di sicurezza. Se non è disponibile un'altra descrizione, questa diventa la descrizione dell'evento.
policy_name security_result.about.resource.name, security_result.rule_name Viene mappato direttamente al nome della risorsa del risultato di sicurezza o al nome della regola.
process target.application Si mappa direttamente all'applicazione di destinazione.
process_id principal.process.pid Mappa direttamente all'ID di processo principale.
protocol network.application_protocol, network.ip_protocol, app_protocol Viene mappato direttamente al protocollo dell'applicazione o al protocollo IP a seconda del formato del log.
proxy_id security_result.rule_id Mappa direttamente all'ID regola del risultato di sicurezza.
query_string additional.fields Aggiunto come campo aggiuntivo con chiave query_string.
referrer network.http.referral_url Mappa direttamente all'URL di referral HTTP.
req_method network.http.method Si mappa direttamente al metodo HTTP.
req_status security_result.action, security_result.action_details, security_result.detection_fields Se blocked, mappa security_result.action a BLOCK. Se passed o legal, viene mappato ad ALLOW. Se contiene alerted, viene mappato a QUARANTINE. Il valore non elaborato viene mappato anche a action_details e aggiunto come campo di rilevamento con la chiave req_status.
request target.url Mappa direttamente all'URL di destinazione.
requestMethod network.http.method Si mappa direttamente al metodo HTTP.
resp security_result.detection_fields Aggiunto come campo di rilevamento con la chiave resp.
resp_code network.http.response_code Corrisponde direttamente al codice di risposta HTTP.
response security_result.summary Si mappa direttamente al riepilogo dei risultati di sicurezza.
response_code network.http.response_code Corrisponde direttamente al codice di risposta HTTP.
route_domain additional.fields Aggiunto come campo aggiuntivo con chiave route_domain.
rt metadata.event_timestamp Viene mappato direttamente al timestamp dell'evento dopo l'analisi.
sev security_result.severity, security_result.severity_details Utilizzato per determinare la gravità del risultato di sicurezza. ERROR mappa a ERROR. Il valore non elaborato viene mappato anche a severity_details.
severity security_result.severity, security_result.severity_details Utilizzato per determinare la gravità del risultato di sicurezza. Informational corrisponde a BASSA, Error o warning corrispondono ad ALTA, critical corrisponde a CRITICA, notice corrisponde a MEDIA, information o info corrispondono a BASSA. Il valore non elaborato viene mappato anche a severity_details.
sig_ids security_result.rule_id Mappa direttamente all'ID regola del risultato di sicurezza.
sig_names security_result.rule_name Mappa direttamente al nome della regola del risultato di sicurezza.
snat_ip principal.nat_ip Mappa direttamente all'IP NAT principale.
snat_port principal.nat_port Mappa direttamente alla porta NAT principale.
src principal.ip, principal.asset.ip Mappa direttamente all'IP principale.
spt principal.port Mappa direttamente alla porta principale.
sub_violates security_result.about.resource.attribute.labels Aggiunta come etichetta con chiave Sub Violations agli attributi della risorsa dei risultati di sicurezza.
sub_violations security_result.about.resource.attribute.labels Aggiunta come etichetta con chiave Sub Violations agli attributi della risorsa dei risultati di sicurezza.
summary security_result.summary Si mappa direttamente al riepilogo dei risultati di sicurezza.
support_id metadata.product_log_id Con prefisso support_id - e mappato all'ID log del prodotto.
suid network.session_id Viene mappato direttamente all'ID sessione di rete.
suser principal.user.userid Mappa direttamente all'ID utente principale.
timestamp metadata.event_timestamp Viene mappato direttamente al timestamp dell'evento dopo l'analisi e la conversione nel formato corretto.
unit_host principal.hostname, principal.asset.hostname Mappa direttamente al nome host principale.
uri principal.url Mappa direttamente all'URL principale.
user_id principal.user.userid Mappa direttamente all'ID utente principale.
user_name principal.user.user_display_name Viene mappato direttamente al nome visualizzato dell'utente principale.
username principal.user.userid Mappa direttamente all'ID utente principale.
useragent network.http.user_agent, network.http.parsed_user_agent Viene mappato direttamente allo user agent HTTP. Inoltre, viene analizzato e mappato allo user agent analizzato.
virtualserver network.tls.client.server_name Mappa direttamente al nome del server client TLS.
violate_details security_result.detection_fields, network.http.response_code Contiene dati XML. viol_name all'interno di request-violations viene estratto e aggiunto come campi di rilevamento con la chiave Request Violation Name_index. viol_name all'interno di response_violations viene estratto e aggiunto come campi di rilevamento con la chiave Response Violation Name_index. response_code in response_violations corrisponde a network.http.response_code.
violate_rate security_result.detection_fields Aggiunto come campo di rilevamento con la chiave violate_rate.
violation_rating security_result.about.resource.attribute.labels Aggiunta come etichetta con chiave Violations Rating agli attributi della risorsa dei risultati di sicurezza.
violations security_result.description Mappa direttamente alla descrizione del risultato di sicurezza. Per i log in formato Splunk, viene utilizzato per determinare il riepilogo, se presente.
virus_name security_result.threat_name Viene mappato direttamente al nome della minaccia del risultato di sicurezza.
vs_name network.tls.client.server_name Mappa direttamente al nome del server client TLS.
websocket_direction network.direction Se clientToServer, viene mappato a INBOUND. Se ServerToclient, viene mappato a OUTBOUND.
websocket_message_type security_result.detection_fields Aggiunto come campo di rilevamento con la chiave WebsocketMessageType.
x_fwd_hdr_val principal.ip, principal.asset.ip Mappa direttamente all'IP principale.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.