איסוף יומנים של מתג בפלטפורמת H3C Comware

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומנים של מתג פלטפורמת H3C Comware ב-Google Security Operations באמצעות Bindplane.

מתגי H3C Comware Platform הם מתגי רשת ברמה ארגונית שמספקים יכולות מיתוג בשכבה 2 ובשכבה 3, תכונות אבטחה מתקדמות וניהול רשת מקיף באמצעות מערכת ההפעלה Comware. המתגים תומכים ביכולות נרחבות של רישום ביומן באמצעות התכונה 'מרכז המידע' לצורך מעקב אחרי פעולות ברשת, אירועי אבטחה ואבחון מערכת.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין מתג פלטפורמת H3C Comware
• אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• גישה עם הרשאות למסוף הניהול של H3C Comware Platform Switch דרך מסוף, Telnet או SSH
• מתג פלטפורמת H3C Comware עם התכונה 'מרכז מידע' מופעלת (מופעלת כברירת מחדל)

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.
3. מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.
3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: מספר הלקוח נדרש להגדרת כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ ההגדרות

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/h3c_switch:
      compression: gzip
      creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: H3C_SWITCH
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/h3c_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/h3c_switch
  

פרמטרים להגדרה

• מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫listen_address: מוגדר ל-0.0.0.0:514 כדי להאזין לכל הממשקים ביציאת UDP‏ 51. יכול להיות שתצטרכו להשתמש ביציאה אחרת, כמו 1514, אם אתם מריצים את הפקודה כמשתמש לא-root ב-Linux.

  • הגדרת כלי הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
      • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מחליפים את YOUR_CUSTOMER_ID במספר הלקוח מהשלב הקודם.
    • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
      • ארה"ב: malachiteingestion-pa.googleapis.com
      • אירופה: europe-malachiteingestion-pa.googleapis.com
      • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
      • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.
    • ‫log_type: מגדירים את הערך H3C_SWITCH בדיוק כמו שמופיע.
    • ‫ingestion_labels: תוויות אופציונליות בפורמט YAML (לדוגמה, env: production).

שמירת קובץ התצורה

אחרי העריכה, שומרים את הקובץ:

• Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
• Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

       sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

       sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מחפשים את observIQ OpenTelemetry Collector.

    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת העברת syslog של מתג פלטפורמת H3C Comware

מגדירים את המתג של פלטפורמת H3C Comware כך שישלח הודעות syslog לסוכן Bindplane.

גישה ל-CLI של המתג

1. נכנסים למתג של פלטפורמת H3C Comware באחת מהשיטות הבאות:
   • חיבור יציאה של מסוף
   • Telnet
   • SSH

2. מזינים את הפקודה הבאה כדי להיכנס לתצוגת המערכת:

   <H3C> system-view
   

ההנחיה משתנה ל-[H3C], מה שמציין שאתם בתצוגת המערכת.

איך לוודא שמרכז המידע מופעל

• מרכז המידע מופעל כברירת מחדל במתגים של פלטפורמת H3C Comware. כדי לאמת או להפעיל את מרכז המידע, מזינים את הפקודה הבאה:

  [H3C] info-center enable
  

• אם מרכז המידע כבר מופעל, המערכת תציג את ההודעה:

  Info: Information center is enabled.
  

הגדרת פורמט חותמת הזמן (אופציונלי)

• פורמט חותמת הזמן שמוגדר כברירת מחדל לפרטי המערכת שנשלחים למארח היומן הוא תאריך. כדי להגדיר את פורמט חותמת הזמן, משתמשים בפקודה הבאה:

  [H3C] info-center timestamp loghost date
  

• הפורמטים הזמינים של חותמות זמן:

  • date: הפורמט הוא "Mmm dd hh:mm:ss:ms yyyy" (לדוגמה, Dec 8 10:12:21:708 2012)
  • ‫iso: פורמט ISO 8601 (לדוגמה, 2012-09-21T15:32:55)
  • ‫no-year-date: התאריך והשעה הנוכחיים במערכת בלי השנה
  • ‫none: אין מידע על חותמת זמן

הגדרת מארח יומנים

• מציינים את המארח של סוכן Bindplane כמארח של היומן. אפשר להגדיר את הפרמטר facility מ-local0 עד local7, וערך ברירת המחדל הוא local7.

  [H3C] info-center loghost BINDPLANE_AGENT_IP port 514 facility local7
  

  • מחליפים את BINDPLANE_AGENT_IP בכתובת ה-IP של המארח שבו פועל סוכן Bindplane.

    • לדוגמה, אם סוכן Bindplane פועל במארח 192.168.1.100:

      [H3C] info-center loghost 192.168.1.100 port 514 facility local7
      

    • פרמטרים:

      • ‫BINDPLANE_AGENT_IP: כתובת ה-IP של המארח של סוכן Bindplane
      • ‫port 514: מספר יציאת UDP (חייב להתאים ליציאה שהוגדרה בסוכן Bindplane)
      • ‫facility local7: מתקן Syslog (הערכים המותרים הם local0 עד local7, ברירת המחדל היא local7)

הגדרת ממשק המקור (אופציונלי)

• הפקודה info-center loghost source נכנסת לתוקף רק אחרי שמפעילים את מרכז המידע באמצעות הפקודה info-center enable. כדי לציין ממשק מקור להודעות ביומן:

  [H3C] info-center loghost source INTERFACE_TYPE INTERFACE_NUMBER
  

  • לדוגמה, כדי להשתמש בממשק VLAN מספר 1 כמקור:

    [H3C] info-center loghost source vlan-interface 1
    

השבתת פלט ברירת המחדל של יומן למארח היומן

• כברירת מחדל, המערכת מוציאה מידע מכל המודולים למארח היומן. כדי לקבוע אילו מודולים ישלחו יומנים, קודם צריך להשבית את הפלט שמוגדר כברירת מחדל:

  [H3C] undo info-center source default loghost
  

הגדרת כללי פלט של יומנים

מגדירים אילו מודולים ורמות חומרה ישלחו יומנים למארח היומנים. פרטי המערכת מסווגים ל-8 רמות חומרה, מ-0 עד 7 בסדר יורד. המתג מוציא את פרטי המערכת עם רמת חומרה גבוהה יותר או שווה לרמה שצוינה. לדוגמה, אם מגדירים כלל פלט עם ערך חומרה 6 (מידע), הפלט יכלול את המידע עם ערך חומרה מ-0 עד 6.

• רמות חומרה (0-7):

  • ‫0: מקרי חירום
  • ‫1: התראות
  • ‫2: קריטית
  • ‫3: שגיאות
  • ‫4: אזהרות
  • ‫5: התראות
  • ‫6: מידע בלבד
  • ‫7: ניפוי באגים

• כדי להגדיר פלט של יומן לכל המודולים ברמה אינפורמטיבית או ברמה גבוהה יותר:

  [H3C] info-center source default loghost level informational
  

• כדי להגדיר פלט של יומן למודולים ספציפיים (לדוגמה, ARP ו-IP):

  [H3C] info-center source arp loghost level informational
  [H3C] info-center source ip loghost level informational
  

• כדי לראות את מודולי המקור הזמינים, משתמשים בפקודה:

  [H3C] info-center source ?
  

שמירת ההגדרה

1. כדי שההגדרה תישמר גם אחרי הפעלה מחדש:

   [H3C] save
   

2. כשמופיעה בקשה, כותבים Y כדי לאשר.

אימות ההגדרה

• כדי לאמת את ההגדרה של מרכז המידע, משתמשים בפקודה הבאה:

  [H3C] display info-center
  

הפקודה הזו מציגה את ההגדרות הנוכחיות של מרכז המידע, כולל הגדרות המארח של היומן, כללי הפלט והגדרות הערוצים.

דוגמה להגדרה מלאה

• בדוגמה הבאה מוצגת הגדרה מלאה לשליחת יומנים מכל המודולים ברמת מידע או ברמה גבוהה יותר למארח יומנים בכתובת 192.168.1.100:

  <H3C> system-view
  [H3C] info-center enable
  [H3C] info-center timestamp loghost date
  [H3C] info-center loghost 192.168.1.100 port 514 facility local7
  [H3C] undo info-center source default loghost
  [H3C] info-center source default loghost level informational
  [H3C] save
  

הגדרה לדוגמה למודולים ספציפיים

• בדוגמה הבאה מוצגת הגדרה לשליחת יומנים של מודול ARP ו-IP ברמת מידע למארח יומנים:

  <H3C> system-view
  [H3C] info-center enable
  [H3C] info-center loghost 192.168.1.100 port 514 facility local7
  [H3C] undo info-center source default loghost
  [H3C] info-center source arp loghost level informational
  [H3C] info-center source ip loghost level informational
  [H3C] save
  

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
	extensions.auth.type	סוג האימות שבו נעשה שימוש באירוע
שם המארח	intermediary.asset.hostname	שם המארח של הנכס שמשויך למתווך
שם המארח	intermediary.hostname	שם המארח של הישות המתווכת
inter_ip	intermediary.asset.ip	כתובת ה-IP של הנכס שמשויך למתווך
inter_ip	intermediary.ip	כתובת ה-IP של הגורם המתווך
IPAddr, prin_ip	principal.asset.ip	כתובת ה-IP של הנכס שמשויך לחשבון המשתמש
IPAddr, prin_ip	principal.ip	כתובת ה-IP של הישות הראשית
prin_port	principal.port	מספר היציאה שמשויך למנהל
משתמש, משתמש	principal.user.userid	מזהה המשתמש של הישות המורשית
tar_host	target.asset.hostname	שם המארח של הנכס שמשויך ליעד
tar_host	target.hostname	שם המארח של ישות היעד
tar_ip	target.asset.ip	כתובת ה-IP של הנכס שמשויך ליעד
tar_ip	target.ip	כתובת ה-IP של ישות היעד
tar_port	target.port	מספר היציאה שמשויך ליעד
tar_user	target.user.userid	מזהה המשתמש של היעד
שורה, סוג פעולה, זמן פעולה, מצב פעולה, זמן סיום פעולה, אינדקס אירוע, מקור פקודה, מקור הגדרה, יעד הגדרה	additional.fields	שדות מטא-נתונים נוספים שלא נכללים בשדות UDM רגילים
desc	metadata.description	תיאור האירוע
חותמת זמן	metadata.event_timestamp	חותמת הזמן שבה האירוע התרחש
	metadata.event_type	סוג האירוע (למשל, USER_LOGIN, ‏ NETWORK_CONNECTION)
event_type	metadata.product_event_type	מזהה סוג אירוע ספציפי למוצר
	metadata.product_name	שם המוצר שיוצר את האירוע
	metadata.vendor_name	שם הספק של המוצר
observer_asset_id	event.idm.read_only_udm.observer.asset_id	מופה מיומן השינויים
observer_hostname	event.idm.read_only_udm.observer.hostname וגם event.idm.read_only_udm.observer.asset.hostname	מופה מיומן השינויים
severity	event.idm.read_only_udm.security_result.severity_details	מופה מיומן השינויים
severityName	event.idm.read_only_udm.security_result.severity	מופה מיומן השינויים
duplicate_ip	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
facility	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
facilityName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
interface	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
host	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
device_type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
dev_ip	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
program	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
security_result	event.idm.read_only_udm.security_result	מופה מיומן השינויים
product_event_type	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
src_ip	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
src_ip	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
dest_ip	event.idm.read_only_udm.target.ip	מופה מיומן השינויים
dest_ip	event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
hostname	event.idm.read_only_udm.intermediary.hostname	מופה מיומן השינויים
hostname	event.idm.read_only_udm.intermediary.asset.hostname	מופה מיומן השינויים
timestamp	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
inter_ip	event.idm.read_only_udm.metadata.intermediary.ip	מופה מיומן השינויים
inter_ip	event.idm.read_only_udm.metadata.intermediary.asset.ip	מופה מיומן השינויים
Line	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
OperateType	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
OperateTime	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
OperateState	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
OperateEndTime	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
EventIndex	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
CommandSource	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ConfigSource	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ConfigDestination	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
IPAddr	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
IPAddr	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
User	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
prin_ip	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
prin_ip	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
prin_port	event.idm.read_only_udm.principal.port	מופה מיומן השינויים
tar_ip	event.idm.read_only_udm.target.ip	מופה מיומן השינויים
tar_ip	event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
tar_host	event.idm.read_only_udm.target.hostname	מופה מיומן השינויים
tar_port	event.idm.read_only_udm.target.port	מופה מיומן השינויים
tar_user	event.idm.read_only_udm.target.user.userid	מופה מיומן השינויים
user	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.