Coletar registros do firewall da série Juniper SRX

Compatível com:

Este documento explica como ingerir registros do firewall da série SRX da Juniper no Google Security Operations usando o Bindplane.

Os firewalls da série SRX da Juniper são dispositivos de segurança de rede de alto desempenho que oferecem recursos de firewall de última geração (NGFW), incluindo inspeção com estado, detecção e prevenção de intrusão (IDP), segurança de aplicativos e VPN. Os firewalls SRX geram mensagens syslog para eventos de tráfego, segurança, sistema e sessão que podem ser encaminhados para plataformas SIEM externas para monitoramento de segurança centralizado.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Uma instância do Google SecOps.
  • Windows Server 2016 ou mais recente ou host Linux com systemd.
  • Conectividade de rede entre o agente do Bindplane e o firewall Juniper SRX.
  • Se você estiver executando um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
  • Acesso privilegiado ao firewall Juniper SRX (acesso de nível raiz ou superusuário via J-Web ou CLI).

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Baixe o arquivo de autenticação de ingestão. Salve o arquivo com segurança no sistema em que o Bindplane será instalado.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.
  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o prompt de comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sc query observiq-otel-collector

O serviço vai aparecer como EM EXECUÇÃO.

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sudo systemctl status observiq-otel-collector

O serviço vai aparecer como ativo (em execução).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

Localizar o arquivo de configuração

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Editar o arquivo de configuração

  • Substitua todo o conteúdo de config.yaml pela seguinte configuração:

    receivers:
udplog:
    listen_address: "0.0.0.0:514"

exporters:
chronicle/juniper_firewall:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: 'your-customer-id-here'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: JUNIPER_FIREWALL
    raw_log_field: body
    ingestion_labels:
    env: production

service:
pipelines:
    logs/juniper_to_chronicle:
    receivers:
        - udplog
    exporters:
        - chronicle/juniper_firewall

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

  • Configuração do receptor:

    • listen_address: endereço IP e porta a serem detectados. Use 0.0.0.0 para detectar em todas as interfaces. A porta 514 é a porta syslog padrão e exige privilégios de root no Linux. Use 1514 para implantações que não sejam raiz.

  • Configuração do exportador:

    • creds_file_path: caminho completo para o arquivo de autenticação de ingestão:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: seu ID de cliente do Google SecOps.
    • endpoint: URL do endpoint regional:
      • EUA: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Ásia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Consulte Endpoints regionais para ver a lista completa.
    • ingestion_labels: rótulos opcionais no formato YAML (por exemplo, env: production).

Salvar o arquivo de configuração

  • Depois de editar, salve o arquivo:
    • Linux: pressione Ctrl+O, Enter e Ctrl+X.
    • Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças.

Para reiniciar o agente do Bindplane no Linux:

  1. Execute este comando:

    sudo systemctl restart observiq-otel-collector

  2. Verifique se o serviço está em execução:

    sudo systemctl status observiq-otel-collector

  3. Verifique se há erros nos registros:

    sudo journalctl -u observiq-otel-collector -f

Para reiniciar o agente do Bindplane em Windows:

  1. Escolha uma das seguintes opções:

    • Prompt de comando ou PowerShell como administrador:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console de serviços:
      1. Pressione Win+R, digite services.msc e pressione Enter.
      2. Localize o Coletor do OpenTelemetry da observIQ.
      3. Clique com o botão direito do mouse e selecione Reiniciar.

  2. Verifique se o serviço está em execução:

    sc query observiq-otel-collector

  3. Verifique se há erros nos registros:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurar o encaminhamento de syslog do Juniper SRX

Configure o firewall Juniper SRX para encaminhar mensagens syslog ao agente do Bindplane.

Como usar a interface J-Web

  1. Faça login na interface J-Web do Juniper SRX.
  2. Acesse Configurar > Propriedades do sistema > Syslog.
  3. Clique em Adicionar na seção Host para adicionar um novo servidor syslog.
  4. Informe os seguintes detalhes de configuração:
    • Nome do host: insira o endereço IP do host do agente do Bindplane (por exemplo, 192.168.1.100).
    • Porta: digite 514 ou a porta configurada no agente do Bindplane.
    • Prefixo do registro: prefixo opcional para mensagens de registro.
    • Instalação: selecione a instalação e os níveis de gravidade para encaminhar:
      • any: selecione o nível de gravidade info ou superior.
  5. No campo Endereço de origem, digite o IP da interface de gerenciamento do SRX (opcional, mas recomendado para identificação consistente da origem).
  6. Clique em OK para salvar.
  7. Clique em Commit para aplicar a configuração.

Como usar a CLI do Junos

  1. Conecte-se ao Juniper SRX via SSH ou console.

  2. Entre no modo de configuração:

    configure

  3. Configure o host syslog:

    set system syslog host BINDPLANE_IP any info
set system syslog host BINDPLANE_IP port 514
set system syslog host BINDPLANE_IP source-address SRX_MGMT_IP
set system syslog host BINDPLANE_IP structured-data

    Substitua:

    • BINDPLANE_IP: endereço IP do host do agente do Bindplane.
    • SRX_MGMT_IP: endereço IP de gerenciamento do firewall SRX.

  4. Configure o streaming de registros de segurança (para registros de tráfego e de sessão):

    set security log mode stream
set security log source-address SRX_MGMT_IP
set security log stream chronicle-stream host BINDPLANE_IP
set security log stream chronicle-stream port 514
set security log stream chronicle-stream transport protocol udp
set security log stream chronicle-stream format sd-syslog
set security log stream chronicle-stream severity info
set security log stream chronicle-stream category all

    Substitua:

    • BINDPLANE_IP: endereço IP do host do agente do Bindplane.
    • SRX_MGMT_IP: endereço IP de gerenciamento do firewall SRX.

  5. Faça o commit da configuração:

    commit

  6. Verifique a configuração do syslog:

    show system syslog
show security log

Configurar categorias de registros específicas

  • Para encaminhar tipos de registros específicos, configure recursos individuais:

    set system syslog host BINDPLANE_IP firewall any
set system syslog host BINDPLANE_IP authorization info
set system syslog host BINDPLANE_IP daemon info
set system syslog host BINDPLANE_IP kernel info
set system syslog host BINDPLANE_IP interactive-commands info

Substitua BINDPLANE_IP pelo endereço IP do host do agente Bindplane.

Verificar o encaminhamento de syslog

  1. No SRX, execute o comando a seguir para conferir os destinos syslog ativos:

    show system syslog

  2. Gere tráfego de teste pelo firewall e verifique se os registros aparecem nos registros do agente Bindplane.

Para mais informações, consulte a documentação da série SRX da Juniper.

Tabela de mapeamento de UDM

Campo de registro Mapeamento do UDM Lógica
source-address event.idm.read_only_udm.principal.ip Valor extraído de source-address.
source-port event.idm.read_only_udm.principal.port Valor extraído de source-port e convertido em número inteiro.
destination-address event.idm.read_only_udm.target.ip Valor extraído de destination-address.
destination-port event.idm.read_only_udm.target.port Valor extraído de destination-port e convertido em número inteiro.
protocol-id event.idm.read_only_udm.network.ip_protocol Mapeado do número do protocolo para o nome (6=TCP, 17=UDP, 1=ICMP).
policy-name event.idm.read_only_udm.security_result.rule_name Valor extraído de policy-name.
source-zone-name event.idm.read_only_udm.additional.fields Valor extraído de source-zone-name e adicionado com a chave source-zone-name.
destination-zone-name event.idm.read_only_udm.additional.fields Valor extraído de destination-zone-name e adicionado com a chave destination-zone-name.
service-name event.idm.read_only_udm.target.application Valor extraído de service-name.
application event.idm.read_only_udm.target.application Valor extraído de application (se service-name não estiver presente).
nat-source-address event.idm.read_only_udm.principal.nat_ip Valor extraído de nat-source-address.
nat-source-port event.idm.read_only_udm.principal.nat_port Valor extraído de nat-source-port e convertido em número inteiro.
nat-destination-address event.idm.read_only_udm.target.nat_ip Valor extraído de nat-destination-address.
nat-destination-port event.idm.read_only_udm.target.nat_port Valor extraído de nat-destination-port e convertido em número inteiro.
bytes-from-client event.idm.read_only_udm.network.sent_bytes Valor extraído de bytes-from-client e convertido em um número inteiro sem sinal.
bytes-from-server event.idm.read_only_udm.network.received_bytes Valor extraído de bytes-from-server e convertido em um número inteiro sem sinal.
packets-from-client event.idm.read_only_udm.additional.fields Valor extraído de packets-from-client e adicionado com a chave packets-from-client.
packets-from-server event.idm.read_only_udm.additional.fields Valor extraído de packets-from-server e adicionado com a chave packets-from-server.
elapsed-time event.idm.read_only_udm.additional.fields Valor extraído de elapsed-time e adicionado com a chave elapsed-time.
username event.idm.read_only_udm.principal.user.userid Valor extraído de username.
reason event.idm.read_only_udm.security_result.description Valor extraído de reason.
action event.idm.read_only_udm.security_result.action Se action for accept ou permit, defina como ALLOW. Se action for deny, drop, reject ou close, defina como BLOCK.
hostname event.idm.read_only_udm.principal.hostname Valor extraído do campo de nome do host do syslog.
attack-name event.idm.read_only_udm.security_result.threat_name Valor extraído de attack-name (eventos do IDP).
severity event.idm.read_only_udm.security_result.severity Mapeado da string de gravidade: info para INFORMATIONAL, warning para MEDIUM, error ou major para ERROR, critical para CRITICAL.
event.idm.read_only_udm.metadata.vendor_name Defina como Juniper Networks.
event.idm.read_only_udm.metadata.product_name Defina como SRX Series Firewall.
source-zone event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
destination-zone event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de mudanças
REASON event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
PROFILE event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
host event.idm.read_only_udm.intermediary.hostname e event.idm.read_only_udm.intermediary.asset.hostname Mapeado do registro de mudanças
pid event.idm.read_only_udm.intermediary.process.pid Mapeado do registro de mudanças
ppid event.idm.read_only_udm.intermediary.process.product_specific_process_id Mapeado do registro de mudanças
CATEGORY event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
type event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
URL event.idm.read_only_udm.target.url Mapeado do registro de mudanças
src_value_zone event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
destinationzone event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
NESTED-APPLICATION event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
protocol_value event.idm.read_only_udm.network.ip_protocol Mapeado do registro de mudanças
SESSIONID event.idm.read_only_udm.network.session_id Mapeado do registro de mudanças
application_value event.idm.read_only_udm.principal.application Mapeado do registro de mudanças
src_address event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
src_mac event.idm.read_only_udm.principal.mac e event.idm.read_only_udm.principal.asset.mac Mapeado do registro de mudanças
nat_src_address event.idm.read_only_udm.principal.nat_ip e event.idm.read_only_udm.principal.asset.nat_ip Mapeado do registro de mudanças
nat_src_value_port event.idm.read_only_udm.principal.nat_port Mapeado do registro de mudanças
src_value_port event.idm.read_only_udm.principal.port Mapeado do registro de mudanças
roles_names event.idm.read_only_udm.principal.user.attribute.roles.name Mapeado do registro de mudanças
interface event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
eth_type event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
direction event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
packet_info event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
packets_info event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
src_rule_type event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
src_rule_name event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
srv_name event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
srcpolicyname event.idm.read_only_udm.security_result.rule_name Mapeado do registro de mudanças
dest_address event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mapeado do registro de mudanças
dst_mac event.idm.read_only_udm.target.mac e event.idm.read_only_udm.target.asset.mac Mapeado do registro de mudanças
nat_dest_address event.idm.read_only_udm.target.nat_ip e event.idm.read_only_udm.target.asset.nat_ip Mapeado do registro de mudanças
nat_dest_port event.idm.read_only_udm.target.nat_port Mapeado do registro de mudanças
dest_port event.idm.read_only_udm.target.port Mapeado do registro de mudanças
target_user_name event.idm.read_only_udm.target.user.userid Mapeado do registro de mudanças
user_value event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de mudanças
RTLOG event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de mudanças
RT event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de mudanças
WEBFILTER event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de mudanças
SNMPD event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de mudanças
FLOW event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de mudanças
DH event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de mudanças
PKID event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de mudanças
BGP event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de mudanças
SNMP event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de mudanças
RPD event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de mudanças
JTASK event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de mudanças
KMD event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de mudanças
APPIDD event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de mudanças
IFINFO event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de mudanças
sec_desc security_result.description Mapeado do registro de mudanças
processid target.process.id Mapeado do registro de mudanças
TSr" and "TSi additional.fields Mapeado do registro de mudanças
fw intermediary.ip Mapeado do registro de mudanças
msg1 security_result.summary Mapeado do registro de mudanças
desc metadata.description Mapeado do registro de mudanças
local_ip principal.ip Mapeado do registro de mudanças
remote_ip target.ip Mapeado do registro de mudanças
app principal.application Mapeado do registro de mudanças
pid principal.process.pid Mapeado do registro de mudanças
event_title metadata.product_event_type Mapeado do registro de mudanças
event_message metadata.description Mapeado do registro de mudanças
Local-ip principal.ip Mapeado do registro de mudanças
Gateway_Name", "vpn", "tunnel_id", "tunnel_if", "Local_IKE_ID", "Remote_IKE_ID", "AAA_username", "VR_id", "Traffic_selector", "Traffic_selector_Remote_ID", "Traffic_selector_local_ID", "SA_Type", "Reason", "threshold", "time-period", and "error-message_data observer.resource.attribute.labels Mapeado do registro de mudanças
target_ip target.ip Mapeado do registro de mudanças
principal_host principal.hostname Mapeado do registro de mudanças
user_id target.user.userid Mapeado do registro de mudanças
file_path target.file.full_path Mapeado do registro de mudanças
pid_2 target.process.pid Mapeado do registro de mudanças
server_ip target.ip Mapeado do registro de mudanças
event_time metadata.event_timestamp Mapeado do registro de mudanças
ACTION security_result.action_details Mapeado do registro de mudanças
SESSION_ID network.session_id Mapeado do registro de mudanças
APPLICATION principal.application Mapeado do registro de mudanças
pingCtlOwnerIndex", "pingCtlTestName", "usp_lsys_max_num_rpd", "usp_lsys_max_num", "urlcategory_risk", "application_sub_category", "source-zone", "destination-zone", "NESTED-APPLICATION", "CATEGORY", "REASON", "PROFILE", "source_rule", "retrans_timer" and "arp_unicast_mode additional.fields Mapeado do registro de mudanças
time metadata.event_timestamp Mapeado do registro de mudanças
ident target.application Mapeado do registro de mudanças
pid target.process.pid Mapeado do registro de mudanças
internal-protocol network.ip_protocol Mapeado do registro de mudanças
state security_result.detection_fields Mapeado do registro de mudanças
internal-ip principal.ip Mapeado do registro de mudanças
reflexive-ip target.ip Mapeado do registro de mudanças
internal-port principle.port Mapeado do registro de mudanças
reflexive-port target.port Mapeado do registro de mudanças
local-address principal.ip Mapeado do registro de mudanças
remote-address target.ip Mapeado do registro de mudanças
dns-server-address principal.ip Mapeado do registro de mudanças
domain-name principal.administrative_domain Mapeado do registro de mudanças
argument1 network.direction Mapeado do registro de mudanças
test-owner additional.fields Mapeado do registro de mudanças
local-initiator additional.fields Mapeado do registro de mudanças
test-name additional.fields Mapeado do registro de mudanças
SPI additional.fields Mapeado do registro de mudanças
AUX-SPI additional.fields Mapeado do registro de mudanças
Type additional.fields Mapeado do registro de mudanças
error-message security_result.summary Mapeado do registro de mudanças
rcvd network.received_bytes Mapeado do registro de mudanças
rule-name security_result.rule_id Mapeado do registro de mudanças
rulebase-name security_result.detection_fields Mapeado do registro de mudanças
export-id security_result.detection_fields Mapeado do registro de mudanças
repeat-count security_result.detection_fields Mapeado do registro de mudanças
packet-log-id security_result.detection_fields Mapeado do registro de mudanças
alert is_alert Mapeado do registro de mudanças
outbound-packets network.sent_packets Mapeado do registro de mudanças
inbound-packets network.received_packets Mapeado do registro de mudanças
outbound-bytes network.sent_bytes Mapeado do registro de mudanças
inbound-bytes network.received_bytes Mapeado do registro de mudanças
application-characteristics security_result.summary Mapeado do registro de mudanças
application-risk security_result.severity_details Mapeado do registro de mudanças
application-category security_result.detection_fields Mapeado do registro de mudanças
application-sub-category security_result.detection_fields Mapeado do registro de mudanças
dst-nat-rule-name security_result.detection_fields Mapeado do registro de mudanças
dst-nat-rule-type security_result.detection_fields Mapeado do registro de mudanças
src-nat-rule-name security_result.detection_fields Mapeado do registro de mudanças
src-nat-rule-type security_result.detection_fields Mapeado do registro de mudanças
encrypted security_result.detection_fields Mapeado do registro de mudanças
nested-application security_result.detection_fields Mapeado do registro de mudanças
packet-incoming-interface security_result.detection_fields Mapeado do registro de mudanças
session-id-32 network.session_id Mapeado do registro de mudanças
packets-from-client network.sent_packets Mapeado do registro de mudanças
packets-from-server network.received_packets Mapeado do registro de mudanças
elapsed-time network.session_duration.seconds Mapeado do registro de mudanças
source-destination-address principal.nat_ip Mapeado do registro de mudanças
source-destination-port principal.nat_port Mapeado do registro de mudanças
msg_data security_result.description Mapeado do registro de mudanças
threat-severity security_result.severity Mapeado do registro de mudanças
app_name target.application Mapeado do registro de mudanças
command target.process.command_line Mapeado do registro de mudanças
action security_result.action_details Mapeado do registro de mudanças
sec_description security_result.description Mapeado do registro de mudanças
application-name network.application_protocol Mapeado do registro de mudanças
subtype metadata.product_event_type Mapeado do registro de mudanças
source-interface-name security_result.detection_fields Mapeado do registro de mudanças
destination-interface-name security_result.detection_fields Mapeado do registro de mudanças
source-zone-name security_result.detection_fields Mapeado do registro de mudanças
destination-zone-name security_result.detection_fields Mapeado do registro de mudanças
service-name security_result.detection_fields Mapeado do registro de mudanças
application-name security_result.detection_fields Mapeado do registro de mudanças

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.