收集 F5 BIG-IP LTM 日志

支持的平台：

Google SecOps SIEM

注意： 此功能受《Google Security Operations 服务专用条款》的正式发布前产品条款的约束。我们对正式发布前功能的支持可能有限，并且对正式发布前功能的更改与其他正式发布前版本可能不兼容。如需了解详情，请参阅 Google SecOps 技术支持服务准则和 Google SecOps 服务专用条款。

本文档介绍了如何使用 Bindplane 将 F5 BIG-IP LTM 日志注入到 Google Security Operations。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• 搭载 systemd 的 Windows 2016 或更高版本或 Linux 主机
• 如果通过代理运行，请确保防火墙端口已根据 Bindplane 代理要求打开
• 对 F5 BIG-IP LTM 设备（TMSH 或 Web 界面）的管理员访问权限

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载注入身份验证文件。将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 个人资料。
3. 复制并保存组织详细信息部分中的客户 ID。

注意： 必须使用正确的区域端点，才能符合数据驻留要求。如需了解详情，请参阅区域级端点。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安装资源

• 如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

1. 访问配置文件：

   1. 找到 config.yaml 文件。通常，它位于 Linux 上的 /etc/bindplane-agent/ 目录中或 Windows 上的安装目录中。
   2. 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

2. 按如下方式修改 config.yaml 文件：

     receivers:
       # UDP syslog listener (RFC5424 over UDP)
       udplog:
         listen_address: "0.0.0.0:514"
   
     exporters:
       chronicle/chronicle_w_labels:
         compression: gzip
         # Adjust the path to the credentials file you downloaded in Step 1
         creds_file_path: "/opt/observiq-otel-collector/ingestion-auth.json"
         # Replace with your actual customer ID from Step 2
         customer_id: "<YOUR_CUSTOMER_ID>"
         # Select the appropriate regional endpoint based on where your Google SecOps instance is provisioned
         # For regional endpoints, see: [https://cloud.google.com/chronicle/docs/reference/ingestion-api#regional_endpoints](https://cloud.google.com/chronicle/docs/reference/ingestion-api#regional_endpoints)
         endpoint: "<YOUR_REGIONAL_ENDPOINT>"
         # Set the log_type to ensure the correct parser is applied
         log_type: "F5_BIGIP_LTM"
         raw_log_field: body
         # You can optionally add other custom ingestion labels here if needed
         ingestion_labels:
   
     service:
       pipelines:
         logs/f5ltm:
           receivers: [udplog]
           exporters: [chronicle/chronicle_w_labels]
   

   • listen_address 设置为 0.0.0.0:514，以接受来自任何来源的 syslog。如果需要限制为特定接口，请进行调整。
   • UDP 端口 514 是标准 syslog 端口。如果端口 514 需要 root 权限，您可以使用大于 1024 的端口（例如 5514），并相应地调整 F5 配置。
   • 对于 TCP 而不是 UDP，请创建 tcplog 接收器并将 F5 远程高速日志协议设置为 tcp。

3. 保存文件并退出编辑器。

重启 Bindplane 代理以应用更改

• 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

  sudo systemctl restart bindplane-agent
  

• 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

  net stop BindPlaneAgent && net start BindPlaneAgent
  

配置 F5 BIG-IP LTM syslog 转发

方法 A：使用 TMSH（命令行界面）

1. 为 syslog 目标创建池

   1. 通过 SSH 连接到 F5 BIG-IP LTM 设备。

   2. 运行以下命令：

      tmsh create ltm pool f5_syslog_pool members add { <BINDPLANE_IP>:514 } monitor gateway_icmp
      

      • 将 <BINDPLANE_IP> 替换为 Bindplane 代理主机 IP 地址。

2. 创建日志目标位置

   tmsh create sys log-config destination remote-high-speed-log f5_hsl_dest protocol udp pool-name f5_syslog_pool
   
   tmsh create sys log-config destination remote-syslog f5_remote_syslog_dest format rfc5424 remote-high-speed-log f5_hsl_dest
   

   注意： format rfc5424 设置可确保正确解析结构化 syslog 消息。

3. 创建日志发布者

   tmsh create sys log-config publisher f5_log_publisher destinations add { f5_remote_syslog_dest }
   

4. 创建请求日志记录配置文件

   tmsh create ltm profile request-log f5_ltm_request_log \
     request-log-pool f5_syslog_pool request-log-protocol mds-udp \
     request-log-template 'event_source="request_logging",hostname="$BIGIP_HOSTNAME",client_ip="$CLIENT_IP",server_ip="$SERVER_IP",http_method="$HTTP_METHOD",http_uri="$HTTP_URI",http_host="${host}",virtual_name="$VIRTUAL_NAME",event_timestamp="$DATE_HTTP"' \
     request-logging enabled \
     response-log-pool f5_syslog_pool response-log-protocol mds-udp \
     response-log-template 'event_source="response_logging",hostname="$BIGIP_HOSTNAME",client_ip="$CLIENT_IP",server_ip="$SERVER_IP",http_method="$HTTP_METHOD",http_uri="$HTTP_URI",http_host="${host}",virtual_name="$VIRTUAL_NAME",http_statcode="$HTTP_STATCODE",event_timestamp="$DATE_HTTP"' \
     response-logging enabled
   

   注意： ${host} 变量会捕获 HTTP Host 标头，这对于网络安全检测至关重要。

5. 将日志记录配置文件应用于虚拟服务器

   tmsh modify ltm virtual <VIRTUAL_SERVER_NAME> profiles add { f5_ltm_request_log }
   

   • 将 <VIRTUAL_SERVER_NAME> 替换为虚拟服务器的名称。

6. 保存配置

   tmsh save sys config
   

选项 B：使用 F5 网页界面（配置实用程序）

1. 为 syslog 目标创建池

   1. 登录 F5 BIG-IP LTM 网页界面。
   2. 前往本地流量 > 池 > 池列表。
   3. 点击创建。
   4. 提供以下配置详细信息：
      • 名称：输入 f5_syslog_pool。
      • 健康状况监控工具：选择 gateway_icmp。
   5. 在资源部分的新会员下：
      • 地址：输入 Bindplane 代理 IP 地址。
      • 服务端口：输入 514。
   6. 点击 Add（添加）。
   7. 点击 Finished。

2. 创建远程高速日志目标位置

   1. 依次前往系统 > 日志 > 配置 > 日志目的地。
   2. 点击创建。
   3. 提供以下配置详细信息：
      • 名称：输入 f5_hsl_dest。
      • 类型：选择远程高速日志。
      • 协议：选择 UDP。
      • 池名称：选择 f5_syslog_pool。
   4. 点击 Finished。

3. 创建远程 syslog 目标

   1. 依次前往系统 > 日志 > 配置 > 日志目的地。
   2. 点击创建。
   3. 提供以下配置详细信息：
      • 名称：输入 f5_remote_syslog_dest。
      • 类型：选择远程 Syslog。
      • Syslog 格式：选择 RFC5424。
      • 远程高速日志：选择 f5_hsl_dest。
   4. 点击 Finished。

4. 创建日志发布者

   1. 依次前往系统 > 日志 > 配置 > 日志发布者。
   2. 点击创建。
   3. 提供以下配置详细信息：
      • 名称：输入 f5_log_publisher。
      • 目的地：将 f5_remote_syslog_dest 从可用移至已选。
   4. 点击 Finished。

5. 创建请求日志记录配置文件

   1. 依次前往本地流量 > 配置文件 > 其他 > 请求日志记录。
   2. 点击创建。
   3. 提供以下配置详细信息：
      • 名称：输入 f5_ltm_request_log。
      • 家长个人资料：选择 request-log。

   4. 在请求设置下：

      • 请求日志记录：选择已启用。
      • 请求日志协议：选择 mds-udp。
      • 请求日志池：选择 f5_syslog_pool。

      • 请求日志模板：输入以下内容：

        event_source="request_logging",hostname="$BIGIP_HOSTNAME",client_ip="$CLIENT_IP",server_ip="$SERVER_IP",http_method="$HTTP_METHOD",http_uri="$HTTP_URI",http_host="${host}",virtual_name="$VIRTUAL_NAME",event_timestamp="$DATE_HTTP"
        

   5. 在回答设置下：

      • Response Logging（响应日志记录）：选择 Enabled（已启用）。
      • 响应日志协议：选择 mds-udp。
      • 响应日志池：选择 f5_syslog_pool。

      • 响应日志模板：输入以下内容：

        event_source="response_logging",hostname="$BIGIP_HOSTNAME",client_ip="$CLIENT_IP",server_ip="$SERVER_IP",http_method="$HTTP_METHOD",http_uri="$HTTP_URI",http_host="${host}",virtual_name="$VIRTUAL_NAME",http_statcode="$HTTP_STATCODE",event_timestamp="$DATE_HTTP"
        

6. 点击 Finished。

将请求日志记录配置文件应用于虚拟服务器

1. 依次前往 Local Traffic> Virtual Servers > Virtual Server List。
2. 点击虚拟服务器名称。
3. 前往资源标签页。
4. 在 iRules and Profiles 下，点击 Profiles 旁边的管理。
5. 在可用下，找到 f5_ltm_request_log 并将其移至已选择。
6. 点击 Finished。
7. 点击更新。

UDM 映射表

日志字段	UDM 映射	逻辑
hostname	principal.hostname	Syslog 主机名（发出日志的设备）
client_ip	principal.ip	客户端的来源 IP 地址
client_port	principal.port	来源端口（如果包含在模板中）
server_ip	target.ip	目标 IP（池成员）
server_port	target.port	目标端口（池成员）
http_method	network.http.method	HTTP 请求方法
http_uri	network.http.url	HTTP 请求 URI（包括路径/查询，如果有）
http_host	network.http.host	HTTP Host 标头
http_statcode	network.http.response_code	HTTP 响应状态代码
user_agent	network.http.user_agent	用户代理标头
virtual_name	target.application	F5 虚拟服务器的名称
event_timestamp	metadata.event_timestamp	设备中的事件时间
event_source	metadata.product_event_type	事件类型标记（request_logging、response_logging）

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。