H3C Comware Platform Switch-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie H3C Comware Platform Switch-Logs mit Bindplane in Google Security Operations aufnehmen.

H3C Comware Platform Switches sind Netzwerk-Switches der Enterprise-Klasse, die Switching-Funktionen für Layer 2 und Layer 3, erweiterte Sicherheitsfunktionen und eine umfassende Netzwerkverwaltung über das Comware-Betriebssystem bieten. Die Switches unterstützen umfangreiche Protokollierungsfunktionen über die Information Center-Funktion für die Überwachung von Netzwerkbetrieb, Sicherheitsereignissen und Systemdiagnosen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem Bindplane-Agent und dem H3C Comware Platform Switch
  • Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Privilegierter Zugriff auf die Verwaltungskonsole des H3C Comware Platform Switch über die Konsole, Telnet oder SSH
  • H3C Comware Platform Switch mit aktivierter Information Center-Funktion (standardmäßig aktiviert)

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

  • Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
  • Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
  12. Rufen Sie IAM & Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Konfiguration des Exporters.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profil auf.
  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Problembehebung finden Sie im Installationsanleitung für den Bindplane-Agent.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/h3c_switch:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: H3C_SWITCH
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/h3c_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/h3c_switch

Konfigurationsparameter

  • Ersetzen Sie die folgenden Platzhalter:

    • Empfängerkonfiguration:

      • listen_address: Auf 0.0.0.0:514 setzen, um an allen Schnittstellen auf UDP-Port 51 zu lauschen. Wenn Sie die Anwendung unter Linux als Nicht-Root-Nutzer ausführen, können Sie einen anderen Port wie 1514 verwenden.

    • Exporter-Konfiguration:

      • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
        • Linux: /opt/observiq-otel-collector/ingestion-auth.json
        • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
      • customer_id: Ersetzen Sie YOUR_CUSTOMER_ID durch Ihre Kunden-ID aus dem vorherigen Schritt.
      • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporteur stellt diesem Wert das Präfix chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
      • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
      • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
      • log_type: Legen Sie H3C_SWITCH genau wie gezeigt fest.
      • ingestion_labels: Optionale Labels im YAML-Format (z. B. env: production).

Exporter für die Legacy Ingestion API

  • Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/h3c_switch:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: H3C_SWITCH
    raw_log_field: body
    ingestion_labels:
      env: production

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:

  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

    1. Prüfen Sie, ob der Dienst ausgeführt wird:

        sudo systemctl status observiq-otel-collector

    2. Logs auf Fehler prüfen:

        sudo journalctl -u observiq-otel-collector -f

  • Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

    • Eingabeaufforderung oder PowerShell als Administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Dienstkonsole:

      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.

      3. Rechtsklicken Sie und wählen Sie Neu starten aus.

      4. Prüfen Sie, ob der Dienst ausgeführt wird:

        sc query observiq-otel-collector

      5. Prüfen Sie die Logs auf Fehler:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung für H3C Comware Platform Switch konfigurieren

Konfigurieren Sie Ihren H3C Comware Platform Switch so, dass Syslog-Nachrichten an den Bindplane-Agenten gesendet werden.

Auf die Switch-Befehlszeile zugreifen

  1. Melden Sie sich mit einer der folgenden Methoden im H3C Comware Platform Switch an:
    • Konsolenportverbindung
    • Telnet
    • SSH

  2. Geben Sie den folgenden Befehl ein, um die Systemansicht aufzurufen:

    <H3C> system-view

Die Eingabeaufforderung ändert sich zu [H3C], was darauf hinweist, dass Sie sich in der Systemansicht befinden.

Prüfen, ob das Informationscenter aktiviert ist

  • Das Informationscenter ist auf H3C Comware Platform Switches standardmäßig aktiviert. Geben Sie den folgenden Befehl ein, um das Informationscenter zu prüfen oder zu aktivieren:

    [H3C] info-center enable

  • Wenn das Informationscenter bereits aktiviert ist, wird Folgendes angezeigt:

    Info: Information center is enabled.

Zeitstempelformat konfigurieren (optional)

  • Das Standardzeitstempelformat für Systeminformationen, die an den Log-Host gesendet werden, ist „date“. Verwenden Sie den folgenden Befehl, um das Zeitstempelformat zu konfigurieren:

    [H3C] info-center timestamp loghost date

  • Verfügbare Zeitstempelformate:

    • date: Das Format ist „Mmm dd hh:mm:ss:ms yyyy“ (z. B. Dec 8 10:12:21:708 2012).
    • iso: ISO 8601-Format (z. B. 2012-09-21T15:32:55)
    • no-year-date: Aktuelles Systemdatum und aktuelle Systemuhrzeit ohne Jahr
    • none: Keine Zeitstempelinformationen

Loghost konfigurieren

  • Geben Sie den Bindplane-Agent-Host als Loghost an. Der Parameter „facility“ kann auf „local0“ bis „local7“ festgelegt werden. Der Standardwert ist „local7“.

    [H3C] info-center loghost BINDPLANE_AGENT_IP port 514 facility local7

    • Ersetzen Sie BINDPLANE_AGENT_IP durch die IP-Adresse des Hosts, auf dem der Bindplane-Agent ausgeführt wird.

      • Wenn der Bindplane-Agent beispielsweise auf dem Host 192.168.1.100 ausgeführt wird:

        [H3C] info-center loghost 192.168.1.100 port 514 facility local7

      • Parameter:

        • BINDPLANE_AGENT_IP: IP-Adresse des Bindplane-Agent-Hosts
        • port 514: UDP-Portnummer (muss mit dem im Bindplane-Agenten konfigurierten Port übereinstimmen)
        • facility local7: Syslog-Einrichtung (local0 bis local7 sind gültig; Standard ist local7)

Quellschnittstelle konfigurieren (optional)

  • Der Befehl „info-center loghost source“ wird erst wirksam, nachdem das Informationszentrum mit dem Befehl „info-center enable“ aktiviert wurde. So geben Sie eine Quellschnittstelle für Logeinträge an:

    [H3C] info-center loghost source INTERFACE_TYPE INTERFACE_NUMBER

    • Wenn Sie beispielsweise VLAN-Schnittstelle 1 als Quelle verwenden möchten:

      [H3C] info-center loghost source vlan-interface 1

Standardmäßige Logausgabe an den Log-Host deaktivieren

  • Standardmäßig gibt das System Informationen aller Module an den Log-Host aus. Wenn Sie festlegen möchten, welche Module Logs senden, deaktivieren Sie zuerst die Standardausgabe:

    [H3C] undo info-center source default loghost

Regeln für die Logausgabe konfigurieren

Konfigurieren Sie, welche Module und Schweregrade Logs an den Loghost senden sollen. Die Systeminformationen werden in acht Schweregrade von 0 bis 7 in absteigender Reihenfolge eingeteilt. Der Switch gibt die Systeminformationen mit einem Schweregrad aus, der höher oder gleich dem angegebenen Schweregrad ist. Wenn Sie beispielsweise eine Ausgaberegel mit dem Schweregrad 6 (informativ) konfigurieren, werden die Informationen mit einem Schweregrad zwischen 0 und 6 ausgegeben.

  • Schweregrade (0–7):

    • 0: Notfälle
    • 1: Meldungen
    • 2: kritisch
    • 3: Fehler
    • 4: Warnungen
    • 5: Benachrichtigungen
    • 6: Hinweis
    • 7: Fehlerbehebung

  • So konfigurieren Sie die Logausgabe für alle Module auf der Ebene „Informationen“ oder höher:

    [H3C] info-center source default loghost level informational

  • So konfigurieren Sie die Protokollausgabe für bestimmte Module (z. B. ARP und IP):

    [H3C] info-center source arp loghost level informational
[H3C] info-center source ip loghost level informational

  • Verwenden Sie Folgendes, um verfügbare Quellmodule aufzurufen:

    [H3C] info-center source ?

Konfiguration speichern

  1. Speichern Sie die Konfiguration, damit sie nach einem Neustart erhalten bleibt:

    [H3C] save

  2. Bestätigen Sie bei Aufforderung mit Y.

Konfiguration prüfen

  • Verwenden Sie den folgenden Befehl, um die Konfiguration des Informationscenters zu prüfen:

    [H3C] display info-center

Mit diesem Befehl wird die aktuelle Konfiguration des Informationscenters angezeigt, einschließlich der Einstellungen für den Loghost, der Ausgaberegeln und der Kanalkonfigurationen.

Beispiel für eine vollständige Konfiguration

  • Das folgende Beispiel zeigt eine vollständige Konfiguration zum Senden von Logs aller Module mit der Stufe „Information“ oder höher an einen Loghost unter 192.168.1.100:

    <H3C> system-view
[H3C] info-center enable
[H3C] info-center timestamp loghost date
[H3C] info-center loghost 192.168.1.100 port 514 facility local7
[H3C] undo info-center source default loghost
[H3C] info-center source default loghost level informational
[H3C] save

Beispielkonfiguration für bestimmte Module

  • Das folgende Beispiel zeigt die Konfiguration zum Senden von ARP- und IP-Modulprotokollen auf Informationsebene an einen Protokollhost:

    <H3C> system-view
[H3C] info-center enable
[H3C] info-center loghost 192.168.1.100 port 514 facility local7
[H3C] undo info-center source default loghost
[H3C] info-center source arp loghost level informational
[H3C] info-center source ip loghost level informational
[H3C] save

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
extensions.auth.type Im Ereignis verwendeter Authentifizierungstyp
Hostname intermediary.asset.hostname Hostname des Assets, das mit dem Intermediär verknüpft ist
Hostname intermediary.hostname Hostname der Vermittlerentität
inter_ip intermediary.asset.ip IP-Adresse des Assets, das mit dem Intermediär verknüpft ist
inter_ip intermediary.ip IP-Adresse der Zwischenentität
IPAddr, prin_ip principal.asset.ip IP-Adresse des mit dem Rechtssubjekt verknüpften Assets
IPAddr, prin_ip principal.ip IP-Adresse des Hauptkontos
prin_port principal.port Mit dem Hauptkonto verknüpfte Portnummer
Nutzer, Nutzer principal.user.userid Nutzer-ID des Hauptkontos
tar_host target.asset.hostname Hostname des Assets, das mit dem Ziel verknüpft ist
tar_host target.hostname Hostname der Zielentität
tar_ip target.asset.ip IP-Adresse des Assets, das mit dem Ziel verknüpft ist
tar_ip target.ip IP-Adresse des Zielobjekts
tar_port target.port Portnummer, die dem Ziel zugeordnet ist
tar_user target.user.userid Nutzer-ID des Ziels
Zeile, OperateType, OperateTime, OperateState, OperateEndTime, EventIndex, CommandSource, ConfigSource, ConfigDestination additional.fields Zusätzliche Metadatenfelder, die nicht von Standard-UDM-Feldern abgedeckt werden
Ab metadata.description Eine Beschreibung des Ereignisses
timestamp metadata.event_timestamp Zeitstempel des Ereignisses
metadata.event_type Ereignistyp (z.B. USER_LOGIN, NETWORK_CONNECTION)
event_type metadata.product_event_type Produktspezifische Ereignistyp-ID
metadata.product_name Name des Produkts, das das Ereignis generiert
metadata.vendor_name Name des Anbieters des Produkts
observer_asset_id event.idm.read_only_udm.observer.asset_id Aus Änderungsprotokoll zugeordnet
observer_hostname event.idm.read_only_udm.observer.hostname und event.idm.read_only_udm.observer.asset.hostname Aus Änderungsprotokoll zugeordnet
severity event.idm.read_only_udm.security_result.severity_details Aus Änderungsprotokoll zugeordnet
severityName event.idm.read_only_udm.security_result.severity Aus Änderungsprotokoll zugeordnet
duplicate_ip event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
facility event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
facilityName event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
interface event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
host event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
device_type event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
dev_ip event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
program event.idm.read_only_udm.metadata.product_event_type Aus Änderungsprotokoll zugeordnet
security_result event.idm.read_only_udm.security_result Aus Änderungsprotokoll zugeordnet
product_event_type event.idm.read_only_udm.metadata.product_event_type Aus Änderungsprotokoll zugeordnet
src_ip event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
src_ip event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
dest_ip event.idm.read_only_udm.target.ip Aus Änderungsprotokoll zugeordnet
dest_ip event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
hostname event.idm.read_only_udm.intermediary.hostname Aus Änderungsprotokoll zugeordnet
hostname event.idm.read_only_udm.intermediary.asset.hostname Aus Änderungsprotokoll zugeordnet
timestamp event.idm.read_only_udm.metadata.event_timestamp Aus Änderungsprotokoll zugeordnet
inter_ip event.idm.read_only_udm.metadata.intermediary.ip Aus Änderungsprotokoll zugeordnet
inter_ip event.idm.read_only_udm.metadata.intermediary.asset.ip Aus Änderungsprotokoll zugeordnet
Line event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
OperateType event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
OperateTime event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
OperateState event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
OperateEndTime event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
EventIndex event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
CommandSource event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ConfigSource event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ConfigDestination event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
IPAddr event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
IPAddr event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
User event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet
prin_ip event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
prin_ip event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
prin_port event.idm.read_only_udm.principal.port Aus Änderungsprotokoll zugeordnet
tar_ip event.idm.read_only_udm.target.ip Aus Änderungsprotokoll zugeordnet
tar_ip event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
tar_host event.idm.read_only_udm.target.hostname Aus Änderungsprotokoll zugeordnet
tar_port event.idm.read_only_udm.target.port Aus Änderungsprotokoll zugeordnet
tar_user event.idm.read_only_udm.target.user.userid Aus Änderungsprotokoll zugeordnet
user event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten