Raccogli i log DNS di F5

Versione parser: 5.0

Supportato in:

Questo documento spiega come importare i log DNS F5 in Google Security Operations utilizzando l'agente Bindplane.

F5 BIG-IP DNS è una soluzione di distribuzione DNS che genera messaggi syslog per query DNS, risposte ed eventi di sistema. Il parser estrae i campi dai log formattati in syslog e li mappa al modello Unified Data Model (UDM).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Windows Server 2016 o versioni successive o host Linux con systemd
  • Connettività di rete tra l'agente Bindplane e l'appliance F5 BIG-IP
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
  • Accesso privilegiato a F5 BIG-IP

Recuperare il file di autenticazione dell'importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.

  3. Scarica il file di autenticazione dell'acquisizione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.

  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri Prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sc query observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sudo systemctl status observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

  • Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/f5_dns:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: F5_DNS
        raw_log_field: body

service:
    pipelines:
        logs/f5_dns_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/f5_dns

Parametri di configurazione

Sostituisci i seguenti segnaposto:

  • Configurazione del destinatario:

    • listen_address: Indirizzo IP e porta da ascoltare:
      • 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
      • La porta 514 è la porta syslog standard (richiede l'accesso root su Linux; utilizza 1514 per l'accesso non root)

  • Configurazione dell'esportatore:

    • creds_file_path: Percorso completo del file di autenticazione dell'acquisizione:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID cliente copiato dalla console Google SecOps
    • endpoint: URL dell'endpoint regionale:
      • Stati Uniti: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Per l'elenco completo, consulta Endpoint regionali.

Salva il file di configurazione

  • Dopo la modifica, salva il file:
    • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
    • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica che il servizio sia in esecuzione:

      sudo systemctl status observiq-otel-collector

    2. Controlla i log per individuare eventuali errori:

      sudo journalctl -u observiq-otel-collector -f

  • Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console dei servizi:

      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

      4. Verifica che il servizio sia in esecuzione:

        sc query observiq-otel-collector

      5. Controlla i log per individuare eventuali errori:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configura un pool di server di logging remoti

  1. Accedi all'UI web di F5 BIG-IP.
  2. Nella scheda Principale, vai a DNS > Delivery > Bilanciamento del carico > Pool o Traffico locale > Pool.
  3. Fai clic su Crea.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci un nome univoco per il pool.
    • Utilizzo dell'impostazione Nuovi membri:
      • Inserisci l'indirizzo IP dell'agente Bindplane nel campo Indirizzo.
      • Inserisci il numero di porta dell'agente Bindplane nel campo Service Port (Porta di servizio).
  5. Fai clic su Aggiungi > Fine.

Configura la destinazione dei log remoti

  1. Nella scheda Principale, vai a Sistema > Log > Configurazione > Destinazioni log.
  2. Fai clic su Crea.
  3. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci un nome univoco per questa destinazione.
    • Tipo: seleziona Log remoto ad alta velocità.
    • Nome pool: seleziona il pool di server di log remoti a cui vuoi che il sistema BIG-IP invii i messaggi di log.
    • Protocollo: seleziona il protocollo utilizzato.
  4. Fai clic su Fine.

Creazione di una destinazione di log remota formattata

  1. Nella scheda Principale, vai a Sistema > Log > Configurazione > Destinazioni log.
  2. Fai clic su Crea.
  3. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci un nome univoco per questa destinazione.
    • Tipo: seleziona Syslog remoto.
    • Formato: seleziona il formato del log.
    • Inoltra a: seleziona Destinazione log ad alta velocità > la destinazione che punta al pool di server Syslog remoti.
  4. Fai clic su Fine.

Configura Log Publisher

  1. Nella scheda Principale, vai a Sistema > Log > Configurazione > Editori di log.
  2. Fai clic su Crea.
  3. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci un nome univoco per questo editore.
    • Destinazioni: seleziona la destinazione appena creata per Syslog remoto dall'elenco Disponibili e poi fai clic su Sposta per spostare la destinazione nell'elenco Selezionati.
  4. Fai clic su Fine.

Configura un profilo di logging DNS personalizzato

  1. Nella scheda Principale, vai a DNS > Distribuzione > Profili > Altro > Registrazione DNS o Traffico locale > Profili > Altro > Registrazione DNS.
  2. Fai clic su Crea.
  3. Fornisci i seguenti dettagli di configurazione:
    • Name (Nome): inserisci un nome univoco per questo profilo.
    • Log Publisher: seleziona la destinazione appena creata a cui il sistema invia le voci di log DNS.
    • Log Queries (Registra query): seleziona la casella di controllo Attivata.
    • Registra risposte: seleziona la casella di controllo Attivata.
    • Includi ID query: seleziona la casella di controllo Attivato.
  4. Fai clic su Fine.

Aggiungi il profilo DNS al listener DNS

  1. Nella scheda Principale, vai a DNS > Pubblicazione > Listener > seleziona il listener DNS.
  2. Nel profilo DNS della sezione Servizio, seleziona il profilo DNS che hai configurato in precedenza.
  3. Fai clic su Aggiorna.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
application principal.application Mappato direttamente dal campo application.
cipher_name network.tls.cipher Mappato direttamente dal campo cipher_name.
command_line principal.process.command_line Mappato direttamente dal campo command_line.
desc security_result.description Mappato direttamente dal campo desc.
desc_icrd security_result.description Mappato direttamente dal campo desc_icrd.
dest_ip target.ip Mappato direttamente dal campo dest_ip.
dest_port target.port Mappato direttamente dal campo dest_port.
file_path principal.process.file.full_path Mappato direttamente dal campo file_path. Impostato su true se level è "alert", altrimenti non presente. Impostato su true se level è "alert", altrimenti non presente.
msg3 security_result.description Mappato direttamente dal campo msg3 quando application è "run-parts".
metadata.event_type Impostato su GENERIC_EVENT se event_type è vuoto, altrimenti mappato da event_type. Codificato come "DNS". Codificato in modo permanente su "F5".
principal_hostname principal.hostname Mappato direttamente dal campo principal_hostname.
proc_id principal.process.pid Mappato direttamente dal campo proc_id.
received_bytes network.received_bytes Mappato direttamente dal campo received_bytes.
resource_id target.resource.id Mappato direttamente dal campo resource_id.
resource_parent principal.resource.parent Mappato direttamente dal campo resource_parent.
response_code network.http.response_code Mappato direttamente dal campo response_code. Determinato in base al campo level.
src_ip principal.ip Mappato direttamente dal campo src_ip.
src_port principal.port Mappato direttamente dal campo src_port.
tls_version network.tls.version Mappato direttamente dal campo tls_version.
userName principal.user.userid Mappato direttamente dal campo userName.
when event.timestamp Calcolato da datetime1 e timezone o datetime e timezone.
query_response_code event.idm.read_only_udm.network.dns.response_code Mappato dal log delle modifiche
User event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
attemptCount event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
rule_id_val event.idm.read_only_udm.security_result.rule_id Mappato dal log delle modifiche
query_type event.idm.read_only_udm.question.type Mappato dal log delle modifiche
record_type event.idm.read_only_udm.question.type Mappato dal log delle modifiche
dns_class event.idm.read_only_udm.network.dns.question.class Mappato dal log delle modifiche
intermediary_host event.idm.read_only_udm.network.dns.answer.data Mappato dal log delle modifiche
intermediary_ip event.idm.read_only_udm.network.dns.answer.data Mappato dal log delle modifiche
ttl_data event.idm.read_only_udm.network.dns.answer.ttl Mappato dal log delle modifiche
dns_answer_domain event.idm.read_only_udm.network.dns.answer.name Mappato dal log delle modifiche
qclass event.idm.read_only_udm.network.dns.answer.class Mappato dal log delle modifiche
dns_name event.idm.read_only_udm.question.name Mappato dal log delle modifiche
src_ip event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
dest_ip event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
user event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
host event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
partition event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
level event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
attempts event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
tty event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
start event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
end event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.