איסוף יומנים של Fortinet Switch

גרסת כלי הניתוח: 1.0

נתמך ב:

במדריך הזה מוסבר איך להטמיע יומנים של Fortinet Switch ב-Google Security Operations באמצעות סוכן Bindplane.

‫Fortinet Switch הוא קו של מתגי אתרנט מאובטחים עם ביצועים גבוהים, שמיועדים לרשתות ארגוניות. ‫FortiSwitch מספק יכולות החלפה בשכבה 2 ובשכבה 3, תמיכה ב-VLAN, צבירת קישורים, Power over Ethernet ‏ (PoE) ואמצעי אבטחה משולבים. יחידות FortiSwitch יכולות לפעול במצב עצמאי או להיות מנוהלות על ידי חומות אש של FortiGate דרך FortiLink.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps.
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd.
  • קישוריות לרשת בין סוכן Bindplane לבין Fortinet Switch.
  • אם מריצים את הסוכן מאחורי שרת proxy, צריך לוודא שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • גישת אדמין למסוף הניהול של Fortinet Switch או למסוף FortiGate (למתגים מנוהלים).
  • Fortinet Switch עם FortiSwitchOS 7.0 ואילך.

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agent (הגדרות SIEM > סוכן איסוף).
  3. לוחצים על Download כדי להוריד את קובץ האימות להטמעת נתונים.

  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. מאמתים את ההתקנה על ידי הרצת:

    sc query observiq-otel-collector

    השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

‫Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

receivers:
    udplog:
    listen_address: "0.0.0.0:514"

exporters:
    chronicle/fortiswitch:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: FORTINET_SWITCH
    raw_log_field: body
    ingestion_labels:
        env: production

service:
    pipelines:
    logs/fortiswitch_to_chronicle:
        receivers:
        - udplog
        exporters:
        - chronicle/fortiswitch

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

הגדרת מקלט:

  • המקלט מוגדר להאזין ליציאת UDP‏ 514 להודעות syslog מ-Fortinet Switch.
  • כדי להאזין בכל הממשקים, משתמשים ב-0.0.0.0:514.
  • כדי להשתמש ביציאה ללא הרשאות ב-Linux, צריך לעבור אל 0.0.0.0:1514 ולהגדיר את Fortinet Switch לשליחה ליציאה 1514.

הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
    • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח מהשלב הקודם.
  • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
    • ארה"ב: malachiteingestion-pa.googleapis.com
    • אירופה: europe-malachiteingestion-pa.googleapis.com
    • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
    • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.
  • log_type: צריך להיות בדיוק FORTINET_SWITCH.
  • ‫ingestion_labels: תוויות אופציונליות בפורמט YAML (לדוגמה, env: production).

שמירת קובץ התצורה

אחרי שמסיימים לערוך, שומרים את הקובץ:

  • ‫Linux: מקישים על Ctrl+O, ואז על Enter, ואז על Ctrl+X.
  • ‫Windows: לוחצים על File > Save (קובץ > שמירה).

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים

  • Linux

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • Windows

    בוחרים אחת מהאפשרויות האלה:

    • באמצעות שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • שימוש במסוף Services:

      1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
      2. מחפשים את observIQ OpenTelemetry Collector.

      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog ב-Fortinet Switch

מגדירים את Fortinet Switch לשליחת יומנים לסוכן Bindplane. שלבי ההגדרה הספציפיים תלויים בסוג המתג – מתג עצמאי או מתג שמנוהל על ידי FortiGate.

ל-FortiSwitch עצמאי (הגדרת ממשק משתמש גרפי)

  1. נכנסים לממשק האינטרנט של FortiSwitch.
  2. עוברים אל יומן > הגדרה.
  3. בקטע Syslog, בוחרים באפשרות הפעלה.
  4. בוחרים את רמת החומרה של האירועים שרוצים לתעד ביומן (לדוגמה, מידע או רמה גבוהה יותר).
  5. בשדה Server, מזינים את כתובת ה-IP או את שם הדומיין שמוגדר במלואו של המארח של סוכן Bindplane.
  6. בשדה יציאה, מזינים 514 (או את היציאה שהוגדרה בסוכן Bindplane).
  7. בתפריט הנפתח Facility (מתקן), בוחרים באפשרות local7.
  8. לוחצים על אישור.

ל-FortiSwitch עצמאי (הגדרת CLI)

  1. נכנסים ל-CLI של FortiSwitch באמצעות SSH או מסוף.

  2. מזינים את הפקודות הבאות:

    config log syslogd setting
    set status enable
    set server <BINDPLANE_AGENT_IP>
    set port 514
    set facility local7
end

config log syslogd filter
    set severity information
end

    מחליפים את <BINDPLANE_AGENT_IP> בכתובת ה-IP של המארח של סוכן Bindplane.

  3. מאמתים את ההגדרה:

    show log syslogd setting

ב-FortiSwitch שמנוהל על ידי FortiGate

אם FortiSwitch מנוהל על ידי FortiGate, צריך להגדיר העברה של syslog מ-CLI של FortiGate.

  1. נכנסים ל-CLI של FortiGate באמצעות SSH או מסוף.

  2. מזינים את הפקודות הבאות כדי להגדיר syslog מרחוק ל-FortiSwitch מנוהל:

    config switch-controller remote-log
    edit "chronicle-syslog"
        set status enable
        set server <BINDPLANE_AGENT_IP>
        set port 514
        set severity information
        set facility local7
    next
end

    מחליפים את <BINDPLANE_AGENT_IP> בכתובת ה-IP של המארח של סוכן Bindplane.

  3. מאמתים את ההגדרה:

    show switch-controller remote-log

  4. מוודאים שמדיניות חומת האש של FortiGate מאפשרת תעבורת syslog מהממשק של FortiLink לממשק שבו נמצא סוכן Bindplane. אם צריך, יוצרים מדיניות:

    config firewall policy
    edit 0
        set srcintf <fortilink_interface>
        set dstintf <bindplane_interface>
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "SYSLOG"
    next
end

    מחליפים את <fortilink_interface> בשם הממשק של FortiLink ואת <bindplane_interface> בממשק שבו הסוכן של Bindplane נגיש.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
metadata.event_type סוג האירוע שמיוצג על ידי הרשומה הזו.
אירוע metadata.product_event_type סוג האירוע כפי שדווח על ידי המוצר.
log_id metadata.product_log_id המזהה הייחודי של רשומת היומן, כפי שהוקצה על ידי המוצר.
device_id principal.asset.asset_id המזהה הייחודי של הנכס.
devname principal.asset.hostname שם המארח של הנכס שמשויך לגורם העיקרי.
devname principal.hostname שם המארח שמשויך לחשבון הראשי.
vd principal.user.attribute.labels רשימת התוויות שמשויכות למשתמש.
oldrole principal.user.attribute.roles רשימת התפקידים שמשויכים למשתמש.
יחידה principal.user.role_description תיאור התפקיד של המשתמש.
משתמש principal.user.userid מזהה ייחודי של המשתמש.
פעולה security_result.action_details פרטים על הפעולה שבוצעה.
msg security_result.description תיאור של תוצאת האבטחה.
type, subtype, switch.physical-port, instanceid security_result.detection_fields רשימת השדות ששימשו לזיהוי.
pri security_result.priority_details פרטים על עדיפות האירוע.
סטטוס security_result.summary סיכום של תוצאת האבטחה.
newrole target.user.attribute.roles רשימת התפקידים שמשויכים למשתמש היעד.
metadata.product_name שם המוצר שיצר את האירוע.
metadata.vendor_name שם הספק שייצר את המוצר.

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.