H3C Comware Platform Switch-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie H3C Comware Platform Switch-Logs mit Bindplane in Google Security Operations aufnehmen.

H3C Comware Platform Switches sind Netzwerk-Switches der Enterprise-Klasse, die Layer-2- und Layer-3-Switching-Funktionen, erweiterte Sicherheitsfunktionen und eine umfassende Netzwerkverwaltung über das Comware-Betriebssystem bieten. Die Switches unterstützen umfangreiche Protokollierungsfunktionen über die Information Center-Funktion für die Überwachung von Netzwerkbetrieb, Sicherheitsereignissen und Systemdiagnosen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem Bindplane-Agent und dem H3C Comware Platform Switch
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Privilegierter Zugriff auf die Verwaltungskonsole des H3C Comware Platform Switch über die Konsole, Telnet oder SSH
  • H3C Comware Platform Switch mit aktivierter Information Center-Funktion (standardmäßig aktiviert)

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsleitfaden für den Bindplane-Agent.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/h3c_switch:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: H3C_SWITCH
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/h3c_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/h3c_switch

Konfigurationsparameter

  • Ersetzen Sie die folgenden Platzhalter:

    • Empfängerkonfiguration:

      • listen_address: Auf 0.0.0.0:514 setzen, um an allen Schnittstellen auf UDP-Port 51 zu lauschen. Wenn Sie die Anwendung unter Linux als Nicht-Root-Nutzer ausführen, können Sie einen anderen Port wie 1514 verwenden.

    • Exporter-Konfiguration:

      • creds_file_path: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme:
        • Linux: /etc/bindplane-agent/ingestion-auth.json
        • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
      • customer_id: Ersetzen Sie YOUR_CUSTOMER_ID durch Ihre Kunden-ID aus dem vorherigen Schritt.
      • endpoint: Regionale Endpunkt-URL:
        • USA: malachiteingestion-pa.googleapis.com
        • Europa: europe-malachiteingestion-pa.googleapis.com
        • Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
        • Eine vollständige Liste finden Sie unter Regionale Endpunkte.
      • log_type: Legen Sie H3C_SWITCH genau wie gezeigt fest.
      • ingestion_labels: Optionale Labels im YAML-Format (z. B. env: production).

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:

  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

    1. Prüfen Sie, ob der Dienst ausgeführt wird:

        sudo systemctl status observiq-otel-collector

    2. Prüfen Sie die Logs auf Fehler:

        sudo journalctl -u observiq-otel-collector -f

  • Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

    • Eingabeaufforderung oder PowerShell als Administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Dienstkonsole:

      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.

      3. Rechtsklicken Sie und wählen Sie Neu starten aus.

      4. Prüfen Sie, ob der Dienst ausgeführt wird:

        sc query observiq-otel-collector

      5. Prüfen Sie die Logs auf Fehler:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung für H3C Comware Platform Switch konfigurieren

Konfigurieren Sie Ihren H3C Comware Platform Switch so, dass Syslog-Nachrichten an den Bindplane-Agent gesendet werden.

Auf die Switch-Befehlszeile zugreifen

  1. Melden Sie sich mit einer der folgenden Methoden am H3C Comware Platform Switch an:
    • Konsolenportverbindung
    • Telnet
    • SSH

  2. Geben Sie den folgenden Befehl ein, um die Systemansicht aufzurufen:

    <H3C> system-view

Die Aufforderung ändert sich zu [H3C]. Das bedeutet, dass Sie sich in der Systemansicht befinden.

Prüfen, ob das Informationscenter aktiviert ist

  • Das Informationscenter ist auf H3C Comware Platform Switches standardmäßig aktiviert. Geben Sie den folgenden Befehl ein, um das Informationscenter zu überprüfen oder zu aktivieren:

    [H3C] info-center enable

  • Wenn das Informationscenter bereits aktiviert ist, wird Folgendes angezeigt:

    Info: Information center is enabled.

Zeitstempelformat konfigurieren (optional)

  • Das Standardzeitstempelformat für Systeminformationen, die an den Loghost gesendet werden, ist „date“. Verwenden Sie den folgenden Befehl, um das Zeitstempelformat zu konfigurieren:

    [H3C] info-center timestamp loghost date

  • Verfügbare Zeitstempelformate:

    • date: Das Format ist „Mmm dd hh:mm:ss:ms yyyy“ (z. B. Dec 8 10:12:21:708 2012).
    • iso: ISO 8601-Format (z. B. 2012-09-21T15:32:55)
    • no-year-date: Aktuelles Systemdatum und ‑uhrzeit ohne Jahr
    • none: Keine Zeitstempelinformationen

Log-Host konfigurieren

  • Geben Sie den Bindplane-Agent-Host als Log-Host an. Der Parameter „facility“ kann von local0 bis local7 festgelegt werden. Der Standardwert ist local7.

    [H3C] info-center loghost BINDPLANE_AGENT_IP port 514 facility local7

    • Ersetzen Sie BINDPLANE_AGENT_IP durch die IP-Adresse des Hosts, auf dem der Bindplane-Agent ausgeführt wird.

      • Wenn der Bindplane-Agent beispielsweise auf dem Host 192.168.1.100 ausgeführt wird:

        [H3C] info-center loghost 192.168.1.100 port 514 facility local7

      • Parameter:

        • BINDPLANE_AGENT_IP: IP-Adresse des Bindplane-Agent-Hosts
        • port 514: UDP-Portnummer (muss mit dem im Bindplane-Agent konfigurierten Port übereinstimmen)
        • facility local7: Syslog-Einrichtung (local0 bis local7 sind gültig; Standard ist local7)

Quellschnittstelle konfigurieren (optional)

  • Der Quellbefehl „info-center loghost“ wird erst wirksam, nachdem das Informationscenter mit dem Befehl „info-center enable“ aktiviert wurde. So geben Sie eine Quellschnittstelle für Logeinträge an:

    [H3C] info-center loghost source INTERFACE_TYPE INTERFACE_NUMBER

    • Wenn Sie beispielsweise VLAN-Schnittstelle 1 als Quelle verwenden möchten:

      [H3C] info-center loghost source vlan-interface 1

Standardmäßige Logausgabe an Loghost deaktivieren

  • Standardmäßig gibt das System Informationen aller Module an den Log-Host aus. Wenn Sie festlegen möchten, welche Module Logs senden, deaktivieren Sie zuerst die Standardausgabe:

    [H3C] undo info-center source default loghost

Regeln für die Logausgabe konfigurieren

Konfigurieren Sie, welche Module und Schweregrade Logs an den Log-Host senden sollen. Die Systeminformationen werden in acht Schweregrade von 0 bis 7 in absteigender Reihenfolge eingeteilt. Der Schalter gibt die Systeminformationen mit einem Schweregrad aus, der dem angegebenen Schweregrad entspricht oder höher ist. Wenn Sie beispielsweise eine Ausgaberegel mit dem Schweregrad 6 (informativ) konfigurieren, werden die Informationen mit einem Schweregrad zwischen 0 und 6 ausgegeben.

  • Schweregrade (0–7):

    • 0: Notfälle
    • 1. Benachrichtigungen
    • 2: Kritisch
    • 3: Fehler
    • 4: Warnungen
    • 5. Benachrichtigungen
    • 6: informational
    • 7: Fehlerbehebung

  • So konfigurieren Sie die Logausgabe für alle Module auf der Informationsstufe oder höher:

    [H3C] info-center source default loghost level informational

  • So konfigurieren Sie die Protokollausgabe für bestimmte Module (z. B. ARP und IP):

    [H3C] info-center source arp loghost level informational
[H3C] info-center source ip loghost level informational

  • So rufen Sie die verfügbaren Quellmodule auf:

    [H3C] info-center source ?

Konfiguration speichern

  1. Speichern Sie die Konfiguration, damit sie nach einem Neustart erhalten bleibt:

    [H3C] save

  2. Bestätigen Sie die Eingabe von Y, wenn Sie dazu aufgefordert werden.

Konfiguration prüfen

  • Verwenden Sie den folgenden Befehl, um die Konfiguration des Informationscenters zu prüfen:

    [H3C] display info-center

Mit diesem Befehl wird die aktuelle Konfiguration des Informationscenters angezeigt, einschließlich der Einstellungen für den Loghost, der Ausgaberegeln und der Kanalkonfigurationen.

Beispiel für eine vollständige Konfiguration

  • Das folgende Beispiel zeigt eine vollständige Konfiguration zum Senden von Logs von allen Modulen auf der Informationsstufe oder höher an einen Log-Host unter 192.168.1.100:

    <H3C> system-view
[H3C] info-center enable
[H3C] info-center timestamp loghost date
[H3C] info-center loghost 192.168.1.100 port 514 facility local7
[H3C] undo info-center source default loghost
[H3C] info-center source default loghost level informational
[H3C] save

Beispielkonfiguration für bestimmte Module

  • Das folgende Beispiel zeigt die Konfiguration zum Senden von ARP- und IP-Modulprotokollen auf Informationsebene an einen Protokollhost:

    <H3C> system-view
[H3C] info-center enable
[H3C] info-center loghost 192.168.1.100 port 514 facility local7
[H3C] undo info-center source default loghost
[H3C] info-center source arp loghost level informational
[H3C] info-center source ip loghost level informational
[H3C] save

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
extensions.auth.type Im Ereignis verwendeter Authentifizierungstyp
Hostname intermediary.asset.hostname Hostname des mit dem Vermittler verknüpften Assets
Hostname intermediary.hostname Hostname der Vermittlerentität
inter_ip intermediary.asset.ip IP-Adresse des Assets, das mit dem Intermediär verknüpft ist
inter_ip intermediary.ip IP-Adresse der Zwischenentität
IPAddr, prin_ip principal.asset.ip IP-Adresse des Assets, das mit dem Hauptkonto verknüpft ist
IPAddr, prin_ip principal.ip IP-Adresse des Hauptunternehmens
prin_port principal.port Portnummer, die dem Prinzipal zugeordnet ist
Nutzer, Nutzer principal.user.userid Nutzer-ID des Hauptkontos
tar_host target.asset.hostname Hostname des Assets, das mit dem Ziel verknüpft ist
tar_host target.hostname Hostname der Zielentität
tar_ip target.asset.ip IP-Adresse des Assets, das mit dem Ziel verknüpft ist
tar_ip target.ip IP-Adresse des Zielobjekts
tar_port target.port Portnummer, die dem Ziel zugeordnet ist
tar_user target.user.userid Nutzer-ID des Ziels
Line, OperateType, OperateTime, OperateState, OperateEndTime, EventIndex, CommandSource, ConfigSource, ConfigDestination additional.fields Zusätzliche Metadatenfelder, die nicht von Standard-UDM-Feldern abgedeckt werden
Ab metadata.description Eine Beschreibung des Ereignisses
timestamp metadata.event_timestamp Zeitstempel des Ereignisses
metadata.event_type Ereignistyp (z.B. USER_LOGIN, NETWORK_CONNECTION)
event_type metadata.product_event_type Produktspezifische Kennung für den Ereignistyp
metadata.product_name Name des Produkts, das das Ereignis generiert
metadata.vendor_name Name des Anbieters des Produkts
observer_asset_id event.idm.read_only_udm.observer.asset_id Aus dem Änderungsprotokoll zugeordnet
observer_hostname event.idm.read_only_udm.observer.hostname und event.idm.read_only_udm.observer.asset.hostname Aus dem Änderungsprotokoll zugeordnet
severity event.idm.read_only_udm.security_result.severity_details Aus Änderungsprotokoll zugeordnet
severityName event.idm.read_only_udm.security_result.severity Aus dem Änderungsprotokoll zugeordnet
duplicate_ip event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus dem Änderungsprotokoll zugeordnet
facility event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
facilityName event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
interface event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
host event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
device_type event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
dev_ip event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus dem Änderungsprotokoll zugeordnet
program event.idm.read_only_udm.metadata.product_event_type Aus Änderungsprotokoll zugeordnet
security_result event.idm.read_only_udm.security_result Aus Änderungsprotokoll zugeordnet
product_event_type event.idm.read_only_udm.metadata.product_event_type Aus Änderungsprotokoll zugeordnet
src_ip event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
src_ip event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
dest_ip event.idm.read_only_udm.target.ip Aus Änderungsprotokoll zugeordnet
dest_ip event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
hostname event.idm.read_only_udm.intermediary.hostname Aus Änderungsprotokoll zugeordnet
hostname event.idm.read_only_udm.intermediary.asset.hostname Aus Änderungsprotokoll zugeordnet
timestamp event.idm.read_only_udm.metadata.event_timestamp Aus Änderungsprotokoll zugeordnet
inter_ip event.idm.read_only_udm.metadata.intermediary.ip Aus Änderungsprotokoll zugeordnet
inter_ip event.idm.read_only_udm.metadata.intermediary.asset.ip Aus Änderungsprotokoll zugeordnet
Line event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
OperateType event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
OperateTime event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
OperateState event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
OperateEndTime event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
EventIndex event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
CommandSource event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ConfigSource event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ConfigDestination event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
IPAddr event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
IPAddr event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
User event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet
prin_ip event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
prin_ip event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
prin_port event.idm.read_only_udm.principal.port Aus Änderungsprotokoll zugeordnet
tar_ip event.idm.read_only_udm.target.ip Aus Änderungsprotokoll zugeordnet
tar_ip event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
tar_host event.idm.read_only_udm.target.hostname Aus Änderungsprotokoll zugeordnet
tar_port event.idm.read_only_udm.target.port Aus Änderungsprotokoll zugeordnet
tar_user event.idm.read_only_udm.target.user.userid Aus Änderungsprotokoll zugeordnet
user event.idm.read_only_udm.principal.user.userid Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten