收集 Infoblox DNS 記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 Infoblox DNS 記錄檔擷取至 Google Security Operations。

剖析器會從 Infoblox DNS SYSLOG 和 CEF 格式的記錄中擷取欄位。剖析器會使用 grok 和/或 kv 剖析記錄訊息，然後將這些值對應至統合式資料模型 (UDM)。此外，也會為事件來源和類型設定預設中繼資料值。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
Infoblox Grid Manager 網頁介面的特殊存取權

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安裝完成。
執行下列指令來驗證安裝：
```
sc query observiq-otel-collector
```

服務應顯示為「RUNNING」(執行中)。

Linux 安裝

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安裝完成。

執行下列指令來驗證安裝：

sudo systemctl status observiq-otel-collector

服務應顯示為啟用 (執行中)。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

Linux：

sudo nano /etc/bindplane-agent/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的所有內容替換為下列設定：

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: 'INFOBLOX_DNS'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

設定參數

替換下列預留位置：
- 接收器設定：
  - udplog：使用 udplog 進行 UDP 系統記錄，或使用 tcplog 進行 TCP 系統記錄
  - 0.0.0.0：要接聽的 IP 位址 (0.0.0.0 可接聽所有介面)
  - 514：要接聽的通訊埠號碼 (標準系統記錄通訊埠)
- 匯出工具設定：
  - creds_file_path：擷取驗證檔案的完整路徑：
    - Linux：/etc/bindplane-agent/ingestion-auth.json
    - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  - YOUR_CUSTOMER_ID：從「取得客戶 ID」一節取得的客戶 ID
  - endpoint：區域端點網址：
    - 美國：malachiteingestion-pa.googleapis.com
    - 歐洲：europe-malachiteingestion-pa.googleapis.com
    - 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
    - 如需完整清單，請參閱「區域端點」
  - log_type：記錄類型，與 Chronicle 中顯示的完全相同 (INFOBLOX_DNS)

儲存設定檔

編輯完成後，請儲存檔案：
- Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
- Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

sudo systemctl restart observiq-otel-collector

確認服務正在執行：

  sudo systemctl status observiq-otel-collector

檢查記錄中是否有錯誤：

  sudo journalctl -u observiq-otel-collector -f

如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列任一做法：
- 以管理員身分開啟命令提示字元或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服務控制台：
  1. 按下 Win+R 鍵，輸入 services.msc，然後按下 Enter 鍵。
  2. 找出 observIQ OpenTelemetry Collector。
  3. 按一下滑鼠右鍵，然後選取「重新啟動」。
  4. 確認服務正在執行：
```
sc query observiq-otel-collector
```
  5. 檢查記錄中是否有錯誤：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

在 Infoblox DNS 上設定 Syslog 轉送

登入 Infoblox Grid Manager 網頁介面。
依序前往「格線」>「格線管理員」>「成員」。
選取要設定的成員，然後按一下「編輯」。
前往「監控」分頁。
在「系統記錄檔」下方，按一下「新增」即可新增系統記錄檔伺服器。
請提供下列設定詳細資料：
- 位址：輸入 Bindplane 代理程式主機的 IP 位址。
- 「Port」(通訊埠)：輸入 514。
- 傳輸：選取「UDP」。
- 節點 ID：選取 Infoblox 節點 (適用於 HA 配對)。
- 嚴重程度：選取「資訊」 (或偏好的嚴重程度等級)。
- 設施：選取 local0 (或偏好的設施)。
啟用下列記錄類別：
- DNS 查詢：依序選取「Grid DNS Properties」(網格 DNS 屬性) >「Logging」(記錄) 下方的「Log DNS Queries」(記錄 DNS 查詢)。
- DNS 回應：選取「記錄 DNS 回應」。
- DHCP：在「Grid DHCP Properties」下方啟用 DHCP 記錄。
- 稽核：在「格線屬性」>「監控」下方啟用稽核記錄。
按一下「Save & Close」。
視需要重新啟動 DNS 服務。
檢查 Bindplane 代理程式記錄，確認系統記錄訊息是否已傳送。

UDM 對應表

記錄欄位	UDM 對應	邏輯
agent.hostname	principal.hostname	如果是 CEF 格式的記錄，如果 agent.hostname 存在，則會對應至 principal.hostname。
client_ip	principal.ip	如果是 CEF 格式的記錄，如果存在 client_ip，則會對應至 principal.ip。
client_port	principal.port	如果是 CEF 格式的記錄，如果存在 client_port，則會對應至 principal.port。
資料	answers.data	從原始記錄的答案部分資料欄位擷取。多個事件會對應為個別的答案物件。
說明	metadata.description	直接從原始記錄的說明欄位對應，或使用 grok 模式從其他欄位 (例如 message 和 msg2) 擷取。
dest_ip1	target.ip	從原始記錄檔擷取，並對應至 target.ip。
destinationDnsDomain	dns_question.name	如果是 CEF 格式的記錄，如果 destinationDnsDomain 存在，則會對應至 dns_question.name。
dns_class	dns_question.class	使用 dns_query_class_mapping.include 查閱資料表對應。
dns_domain	dns_question.name	使用 grok 模式從原始記錄的訊息欄位擷取，並對應至 dns_question.name。
dns_name	dns_question.name	使用 grok 模式從 dns_domain 欄位擷取，並對應至 dns_question.name。
dns_records	answers.data	如果是 CEF 格式的記錄，如果存在 dns_records，則會對應至 answers.data。多個事件會對應為個別的答案物件。
dst_ip	target.ip 或 target.hostname	使用 grok 模式從原始記錄的訊息欄位擷取。如果是有效的 IP 位址，則會對應至 target.ip；否則會對應至 target.hostname。
dst_ip1	target.ip 或 target.hostname	使用 grok 模式從原始記錄的 message 或 msg2 欄位擷取。如果是有效的 IP 位址，則會對應至 target.ip；否則會對應至 target.hostname。如果與 dst_ip 不同，則只會對應。
evt_type	metadata.product_event_type	直接從原始記錄的 evt_type 欄位對應，該欄位是使用 grok 模式從訊息欄位擷取。
InfobloxB1OPHIPAddress	principal.ip	如果是 CEF 格式的記錄，如果 InfobloxB1OPHIPAddress 存在，則會對應至 principal.ip。
InfobloxB1Region	principal.location.country_or_region	如果是 CEF 格式的記錄，如果 InfobloxB1Region 存在，則會對應至 principal.location.country_or_region。
InfobloxDNSQType	dns_question.type	如果是 CEF 格式的記錄，如果存在 InfobloxDNSQType，則會對應至 dns_question.type。
中介	intermediary.ip 或 intermediary.hostname	使用 grok 模式從原始記錄的訊息欄位擷取。如果是有效的 IP 位址，則會對應至 intermediary.ip；否則會對應至 intermediary.hostname。
msg2	metadata.description、dns.response_code、dns_question.name、target.ip、target.hostname、answers.name、answers.ttl、answers.data、answers.class、answers.type、security_result.severity	使用 grok 模式從原始記錄的訊息欄位擷取。用於擷取各種欄位，但不會直接對應至 UDM。
name1	answers.name	使用 grok 模式從原始記錄的 msg2 欄位擷取，並對應至 answers.name。
name2	answers.name	使用 grok 模式從原始記錄的 msg2 欄位擷取，並對應至 answers.name。
通訊協定	network.ip_protocol	如果與已知通訊協定相符，則直接從原始記錄的通訊協定欄位對應。
qclass	dns_question.class	用於將 dns_class 對應至 UDM 的中介欄位。
qclass1	answers.class	用於將 dns_class1 對應至 UDM 的中介欄位。
qclass2	answers.class	用於將 dns_class2 對應至 UDM 的中介欄位。
query_type	dns_question.type	使用 dns_record_type.include 查閱表對應。
query_type1	answers.type	使用 dns_record_type.include 查閱表對應。
query_type2	answers.type	使用 dns_record_type.include 查閱表對應。
recursion_flag	network.dns.recursion_desired	如果 recursion_flag 包含「+」，則會對應至 network.dns.recursion_desired，並設為 true。
record_type	dns_question.type	用於將 query_type 對應至 UDM 的中繼欄位。
record_type1	answers.type	用於將 query_type1 對應至 UDM 的中繼欄位。
record_type2	answers.type	用於將 query_type2 對應至 UDM 的中繼欄位。
res_code	network.dns.response_code	使用 dns_response_code.include 查閱表對應。
response_code	network.dns.response_code	如果是 CEF 格式的記錄，如果 response_code 存在，系統會使用 dns_response_code.include 查閱表，將其對應至 network.dns.response_code。
security_action	security_result.action	衍生自狀態欄位。如果狀態為「已拒絕」，security_action 會設為「BLOCK」；否則會設為「ALLOW」。
嚴重性	security_result.severity	如果是 CEF 格式的記錄，如果嚴重程度存在且為「資訊」，則會對應至 security_result.severity，顯示為「INFORMATIONAL」。
src_host	principal.hostname	使用 grok 模式從原始記錄的說明或訊息欄位擷取，並對應至 principal.hostname。
src_ip	principal.ip 或 principal.hostname	使用 grok 模式從原始記錄的訊息欄位擷取。如果是有效的 IP 位址，則會對應至 principal.ip；否則會對應至 principal.hostname。
src_port	principal.port	使用 grok 模式從原始記錄的訊息欄位擷取，並對應至 principal.port。
ttl1	answers.ttl	使用 grok 模式從原始記錄的 msg2 欄位擷取，並對應至 answers.ttl。
ttl2	answers.ttl	使用 grok 模式從原始記錄的 msg2 欄位擷取，並對應至 answers.ttl。
metadata.event_type	metadata.event_type	這項資訊是根據各種欄位和剖析器邏輯衍生而來。如果系統未識別出其他事件類型，預設會使用 GENERIC_EVENT。可能的值包括 NETWORK_DNS、NETWORK_CONNECTION 和 STATUS_UPDATE。
metadata.log_type	metadata.log_type	由剖析器設為「INFOBLOX_DNS」。
metadata.product_name	metadata.product_name	由剖析器設為「Infoblox DNS」。
metadata.vendor_name	metadata.vendor_name	由剖析器設為「INFOBLOX」。
metadata.product_version	metadata.product_version	從 CEF 訊息擷取。
metadata.event_timestamp	metadata.event_timestamp	從時間戳記欄位複製。
network.application_protocol	network.application_protocol	如果 event_type 不是「GENERIC_EVENT」或「STATUS_UPDATE」，請設為「DNS」。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。