Mengumpulkan log Switch Platform Comware H3C

Didukung di:

Dokumen ini menjelaskan cara menyerap log H3C Comware Platform Switch ke Google Security Operations menggunakan Bindplane.

H3C Comware Platform Switches adalah switch jaringan kelas perusahaan yang menyediakan kemampuan switching Lapisan 2 dan Lapisan 3, fitur keamanan lanjutan, dan pengelolaan jaringan yang komprehensif melalui sistem operasi Comware. Switch ini mendukung kemampuan logging yang ekstensif melalui fitur pusat informasi untuk memantau operasi jaringan, peristiwa keamanan, dan diagnostik sistem.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Konektivitas jaringan antara agen Bindplane dan Switch Platform Comware H3C
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
  • Akses istimewa ke konsol pengelolaan Switch Platform Comware H3C melalui konsol, Telnet, atau SSH
  • Switch Platform Comware H3C dengan fitur pusat informasi diaktifkan (diaktifkan secara default)

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

  • Deployment baru: Gunakan Chronicle API (Opsi 1).
  • Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.
  1. Login ke Google Cloud konsol dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
  2. Buka IAM & Admin > Service Accounts.
  3. Klik Create service account.
  4. Berikan detail konfigurasi berikut:
    • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
    • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
  5. Klik Create and continue.
  6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
  7. Klik Continue lalu klik Done.
  8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
  9. Klik Add key > Create new key.
  10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
  11. Simpan file kunci sebagai ingestion-auth.json di direktori pengumpul Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar cocok dengan jalur tempat Anda menyimpannya.
  12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

  1. Login ke konsol Google SecOps.
  2. Buka SIEM Settings > Collection Agents.
  3. Download file autentikasi penyerapan.
  4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka SIEM Settings > Profile.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sc query observiq-otel-collector

Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sudo systemctl status observiq-otel-collector

Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Mengedit file konfigurasi

  • Ganti seluruh konten config.yaml dengan konfigurasi berikut:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/h3c_switch:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: H3C_SWITCH
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/h3c_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/h3c_switch

Parameter konfigurasi

  • Ganti placeholder berikut:

    • Konfigurasi penerima:

      • listen_address: Tetapkan ke 0.0.0.0:514 untuk memproses semua antarmuka di port UDP 51. Anda dapat menggunakan port lain seperti 1514 jika berjalan sebagai non-root di Linux.

    • Konfigurasi pengekspor:

      • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
        • Linux: /opt/observiq-otel-collector/ingestion-auth.json
        • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
      • customer_id: Ganti YOUR_CUSTOMER_ID dengan ID pelanggan Anda dari langkah sebelumnya.
      • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
      • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
      • endpoint: Tetap disetel ke chronicle.googleapis.com.
      • log_type: Tetapkan ke H3C_SWITCH persis seperti yang ditampilkan.
      • ingestion_labels: Label opsional dalam format YAML (misalnya, env: production).

Pengekspor API penyerapan lama

  • Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur file autentikasi penyerapan, dan jika instance Anda berada di luar Amerika Serikat, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/h3c_switch:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: H3C_SWITCH
    raw_log_field: body
    ingestion_labels:
      env: production

Menyimpan file konfigurasi

Setelah mengedit, simpan file:

  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart observiq-otel-collector

    1. Pastikan layanan sedang berjalan:

        sudo systemctl status observiq-otel-collector

    2. Periksa log untuk mengetahui error:

        sudo journalctl -u observiq-otel-collector -f

  • Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

    • Command Prompt atau PowerShell sebagai administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Konsol layanan:

      1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
      2. Cari observIQ OpenTelemetry Collector.

      3. Klik kanan, lalu pilih Mulai ulang.

      4. Pastikan layanan sedang berjalan:

        sc query observiq-otel-collector

      5. Periksa log untuk mengetahui error:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi penerusan syslog H3C Comware Platform Switch

Konfigurasikan H3C Comware Platform Switch Anda untuk mengirim pesan syslog ke agen Bindplane.

Mengakses CLI switch

  1. Login ke H3C Comware Platform Switch menggunakan salah satu metode berikut:
    • Koneksi port konsol
    • Telnet
    • SSH

  2. Masuk ke tampilan sistem dengan mengetik perintah berikut:

    <H3C> system-view

Perintah berubah menjadi [H3C] yang menunjukkan bahwa Anda berada dalam tampilan sistem.

Memverifikasi bahwa pusat informasi diaktifkan

  • Pusat informasi diaktifkan secara default di H3C Comware Platform Switches. Untuk memverifikasi atau mengaktifkan pusat informasi, masukkan perintah berikut:

    [H3C] info-center enable

  • Jika pusat informasi sudah diaktifkan, sistem akan menampilkan:

    Info: Information center is enabled.

Mengonfigurasi format stempel waktu (opsional)

  • Format stempel waktu default untuk informasi sistem yang dikirim ke host log adalah tanggal. Untuk mengonfigurasi format stempel waktu, gunakan perintah berikut:

    [H3C] info-center timestamp loghost date

  • Format stempel waktu yang tersedia:

    • date: Formatnya adalah "Mmm dd hh:mm:ss:ms yyyy" (misalnya, Dec 8 10:12:21:708 2012)
    • iso: Format ISO 8601 (misalnya, 2012-09-21T15:32:55)
    • no-year-date: Tanggal dan waktu sistem saat ini tanpa tahun
    • none: Tidak ada informasi stempel waktu

Mengonfigurasi host log

  • Tentukan host agen Bindplane sebagai host log. Parameter fasilitas dapat disetel dari local0 hingga local7, dengan nilai defaultnya adalah local7.

    [H3C] info-center loghost BINDPLANE_AGENT_IP port 514 facility local7

    • Ganti BINDPLANE_AGENT_IP dengan alamat IP host yang menjalankan agen Bindplane.

      • Misalnya, jika agen Bindplane berjalan di host 192.168.1.100:

        [H3C] info-center loghost 192.168.1.100 port 514 facility local7

      • Parameter:

        • BINDPLANE_AGENT_IP: Alamat IP host agen Bindplane
        • port 514: Nomor port UDP (harus cocok dengan port yang dikonfigurasi di agen Bindplane)
        • facility local7: Fasilitas syslog (local0 hingga local7 valid; defaultnya adalah local7)

Mengonfigurasi antarmuka sumber (opsional)

  • Perintah info-center loghost source hanya akan berlaku setelah pusat informasi diaktifkan dengan perintah info-center enable. Untuk menentukan antarmuka sumber untuk pesan log:

    [H3C] info-center loghost source INTERFACE_TYPE INTERFACE_NUMBER

    • Misalnya, untuk menggunakan VLAN-interface 1 sebagai sumber:

      [H3C] info-center loghost source vlan-interface 1

Menonaktifkan output log default ke host log

  • Secara default, sistem akan mengeluarkan informasi semua modul ke host log. Untuk mengontrol modul mana yang mengirim log, nonaktifkan output default terlebih dahulu:

    [H3C] undo info-center source default loghost

Mengonfigurasi aturan output log

Konfigurasikan modul dan tingkat keparahan yang harus mengirim log ke host log. Informasi sistem diklasifikasikan ke dalam delapan tingkat keparahan dari 0 hingga 7 dalam urutan menurun. Switch menampilkan informasi sistem dengan tingkat keparahan yang lebih tinggi atau sama dengan tingkat yang ditentukan. Misalnya, jika Anda mengonfigurasi aturan output dengan nilai tingkat keparahan 6 (informasional), informasi dengan nilai tingkat keparahan dari 0 hingga 6 akan di-output.

  • Tingkat keparahan (0-7):

    • 0: darurat
    • 1: pemberitahuan
    • 2: kritis
    • 3: error
    • 4: peringatan
    • 5: notifikasi
    • 6: informatif
    • 7: debugging

  • Untuk mengonfigurasi output log untuk semua modul pada tingkat informasi atau yang lebih tinggi:

    [H3C] info-center source default loghost level informational

  • Untuk mengonfigurasi output log untuk modul tertentu (misalnya, ARP dan IP):

    [H3C] info-center source arp loghost level informational
[H3C] info-center source ip loghost level informational

  • Untuk melihat modul sumber yang tersedia, gunakan:

    [H3C] info-center source ?

Menyimpan konfigurasi

  1. Simpan konfigurasi untuk memastikan konfigurasi tetap ada setelah mulai ulang:

    [H3C] save

  2. Saat diminta, konfirmasi dengan memasukkan Y.

Memverifikasi konfigurasi

  • Untuk memverifikasi konfigurasi pusat informasi, gunakan perintah berikut:

    [H3C] display info-center

Perintah ini menampilkan konfigurasi pusat informasi saat ini, termasuk setelan host log, aturan output, dan konfigurasi channel.

Contoh konfigurasi lengkap

  • Contoh berikut menunjukkan konfigurasi lengkap untuk mengirim log dari semua modul pada tingkat informasi atau lebih tinggi ke host log di 192.168.1.100:

    <H3C> system-view
[H3C] info-center enable
[H3C] info-center timestamp loghost date
[H3C] info-center loghost 192.168.1.100 port 514 facility local7
[H3C] undo info-center source default loghost
[H3C] info-center source default loghost level informational
[H3C] save

Contoh konfigurasi untuk modul tertentu

  • Contoh berikut menunjukkan konfigurasi untuk mengirim log modul ARP dan IP pada tingkat informasi ke host log:

    <H3C> system-view
[H3C] info-center enable
[H3C] info-center loghost 192.168.1.100 port 514 facility local7
[H3C] undo info-center source default loghost
[H3C] info-center source arp loghost level informational
[H3C] info-center source ip loghost level informational
[H3C] save

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
extensions.auth.type Jenis autentikasi yang digunakan dalam acara
hostname intermediary.asset.hostname Nama host aset yang terkait dengan perantara
hostname intermediary.hostname Nama host entitas perantara
inter_ip intermediary.asset.ip Alamat IP aset yang terkait dengan perantara
inter_ip intermediary.ip Alamat IP entitas perantara
IPAddr, prin_ip principal.asset.ip Alamat IP aset yang terkait dengan akun utama
IPAddr, prin_ip principal.ip Alamat IP entitas utama
prin_port principal.port Nomor port yang terkait dengan prinsipal
Pengguna, pengguna principal.user.userid ID pengguna prinsipal
tar_host target.asset.hostname Nama host aset yang terkait dengan target
tar_host target.hostname Nama host entitas target
tar_ip target.asset.ip Alamat IP aset yang terkait dengan target
tar_ip target.ip Alamat IP entitas target
tar_port target.port Nomor port yang terkait dengan target
tar_user target.user.userid ID pengguna target
Line, OperateType, OperateTime, OperateState, OperateEndTime, EventIndex, CommandSource, ConfigSource, ConfigDestination additional.fields Kolom metadata tambahan yang tidak tercakup dalam kolom UDM standar
menurun metadata.description Deskripsi peristiwa
timestamp metadata.event_timestamp Stempel waktu saat peristiwa terjadi
metadata.event_type Jenis peristiwa (misalnya, USER_LOGIN, NETWORK_CONNECTION)
event_type metadata.product_event_type ID jenis peristiwa khusus produk
metadata.product_name Nama produk yang menghasilkan peristiwa
metadata.vendor_name Nama vendor produk
observer_asset_id event.idm.read_only_udm.observer.asset_id Dipetakan dari log perubahan
observer_hostname event.idm.read_only_udm.observer.hostname dan event.idm.read_only_udm.observer.asset.hostname Dipetakan dari log perubahan
severity event.idm.read_only_udm.security_result.severity_details Dipetakan dari log perubahan
severityName event.idm.read_only_udm.security_result.severity Dipetakan dari log perubahan
duplicate_ip event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip Dipetakan dari log perubahan
facility event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
facilityName event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
id event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
interface event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
host event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
device_type event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
dev_ip event.idm.read_only_udm.target.ip dan event.idm.read_only_udm.target.asset.ip Dipetakan dari log perubahan
program event.idm.read_only_udm.metadata.product_event_type Dipetakan dari log perubahan
security_result event.idm.read_only_udm.security_result Dipetakan dari log perubahan
product_event_type event.idm.read_only_udm.metadata.product_event_type Dipetakan dari log perubahan
src_ip event.idm.read_only_udm.principal.ip Dipetakan dari log perubahan
src_ip event.idm.read_only_udm.principal.asset.ip Dipetakan dari log perubahan
dest_ip event.idm.read_only_udm.target.ip Dipetakan dari log perubahan
dest_ip event.idm.read_only_udm.target.asset.ip Dipetakan dari log perubahan
hostname event.idm.read_only_udm.intermediary.hostname Dipetakan dari log perubahan
hostname event.idm.read_only_udm.intermediary.asset.hostname Dipetakan dari log perubahan
timestamp event.idm.read_only_udm.metadata.event_timestamp Dipetakan dari log perubahan
inter_ip event.idm.read_only_udm.metadata.intermediary.ip Dipetakan dari log perubahan
inter_ip event.idm.read_only_udm.metadata.intermediary.asset.ip Dipetakan dari log perubahan
Line event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
OperateType event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
OperateTime event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
OperateState event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
OperateEndTime event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
EventIndex event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
CommandSource event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
ConfigSource event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
ConfigDestination event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
IPAddr event.idm.read_only_udm.principal.ip Dipetakan dari log perubahan
IPAddr event.idm.read_only_udm.principal.asset.ip Dipetakan dari log perubahan
User event.idm.read_only_udm.principal.user.userid Dipetakan dari log perubahan
prin_ip event.idm.read_only_udm.principal.ip Dipetakan dari log perubahan
prin_ip event.idm.read_only_udm.principal.asset.ip Dipetakan dari log perubahan
prin_port event.idm.read_only_udm.principal.port Dipetakan dari log perubahan
tar_ip event.idm.read_only_udm.target.ip Dipetakan dari log perubahan
tar_ip event.idm.read_only_udm.target.asset.ip Dipetakan dari log perubahan
tar_host event.idm.read_only_udm.target.hostname Dipetakan dari log perubahan
tar_port event.idm.read_only_udm.target.port Dipetakan dari log perubahan
tar_user event.idm.read_only_udm.target.user.userid Dipetakan dari log perubahan
user event.idm.read_only_udm.principal.user.userid Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.