Juniper Junos-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Juniper Junos-Logs mit Bindplane in Google Security Operations aufnehmen.

Juniper Junos OS ist das Betriebssystem, das auf Routern, Switches und Sicherheitsgeräten von Juniper Networks ausgeführt wird. Sie bietet eine einheitliche Plattform für die Verwaltung der Netzwerkinfrastruktur, Routing, Switching und Sicherheitsfunktionen mit umfassender Protokollierung von Systemereignissen, Sicherheitsereignissen und Netzwerkverkehr. Der Parser extrahiert Felder aus Juniper Junos-Syslog- und Schlüssel/Wert-formatierten Logs. Dabei werden grok und/oder kv verwendet, um den Logeintrag zu parsen. Anschließend werden diese Werte dem Unified Data Model (UDM) zugeordnet. Außerdem werden Standardmetadatenwerte für die Ereignisquelle und den Ereignistyp festgelegt.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf das Juniper-Gerät mit Junos OS

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der alten Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.
3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agent für die Aufnahme von Syslog und das Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/chronicle_w_labels:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: chronicle.googleapis.com
      log_type: 'JUNIPER_JUNOS'
      raw_log_field: body
      ingestion_labels:
  
  service:
    pipelines:
      logs/source0__chronicle_w_labels-0:
        receivers:
          - udplog
        exporters:
          - chronicle/chronicle_w_labels
  

Konfigurationsparameter

• Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • udplog: Verwenden Sie udplog für UDP-Syslog oder tcplog für TCP-Syslog.
    • 0.0.0.0: IP-Adresse, auf der gelauscht werden soll (0.0.0.0, um auf allen Schnittstellen zu lauschen)
    • 514: Portnummer, auf der gelauscht werden soll (Standard-Syslog-Port)

  • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID: Kundennummer aus dem Abschnitt „Kundennummer abrufen“
    • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
    • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
    • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
    • log_type: Logtyp genau so, wie er in Chronicle angezeigt wird (JUNIPER_JUNOS)

Legacy-Ingestion-API-Exporter

• Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: 'JUNIPER_JUNOS'
      raw_log_field: body
      ingestion_labels:
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

  sudo systemctl restart observiq-otel-collector
  

  1. Prüfen Sie, ob der Dienst ausgeführt wird:

       sudo systemctl status observiq-otel-collector
     

  2. Prüfen Sie die Logs auf Fehler:

       sudo journalctl -u observiq-otel-collector -f
     

• Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Dienstkonsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.

    3. Rechtsklicken Sie und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

       sc query observiq-otel-collector
       

    5. Prüfen Sie die Logs auf Fehler:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Syslog-Weiterleitung auf Juniper Junos konfigurieren

1. Stellen Sie über SSH oder die Konsole eine Verbindung zum Juniper-Gerät her.

2. Rufen Sie den Konfigurationsmodus auf:

   configure
   

3. Konfigurieren Sie den Syslog-Host mit den folgenden Befehlen:

   set system syslog host BINDPLANE_IP any info
   set system syslog host BINDPLANE_IP port 514
   set system syslog host BINDPLANE_IP facility-override local7
   set system syslog host BINDPLANE_IP log-prefix JUNOS
   

   • Ersetzen Sie BINDPLANE_IP durch die IP-Adresse des Bindplane-Agent-Hosts.

4. Zusätzliche Logquellen konfigurieren (optional, aber empfohlen):

   set system syslog host BINDPLANE_IP authorization info
   set system syslog host BINDPLANE_IP daemon info
   set system syslog host BINDPLANE_IP kernel info
   set system syslog host BINDPLANE_IP firewall any
   set system syslog host BINDPLANE_IP interactive-commands info
   

5. Konfigurieren Sie strukturierte Syslog-Daten (optional für erweitertes Parsen):

   set system syslog host BINDPLANE_IP structured-data
   

6. Übernehmen Sie die Konfiguration:

   commit and-quit
   

7. Prüfen Sie die Syslog-Konfiguration:

   show system syslog host BINDPLANE_IP
   

8. Prüfen Sie, ob Syslog-Nachrichten gesendet werden, indem Sie die Bindplane-Agent-Logs prüfen.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
DVB	target.port	Der Zielport der Netzwerkverbindung, konvertiert in eine Ganzzahl.
Steuer auf digitale Dienste	target.ip	Die Ziel-IP-Adresse der Netzwerkverbindung.
FLAG	additional.fields{}.key: "FLAG", additional.fields{}.value.string_value: Wert von FLAG	Das TCP-Flag, das mit der Netzwerkverbindung verknüpft ist.
ID	additional.fields{}.key: „ID“, additional.fields{}.value.string_value: Wert der ID	Das IP-Identifikationsfeld.
IN	additional.fields{}.key: "IN", additional.fields{}.value.string_value: Wert von IN	Die eingehende Netzwerkschnittstelle.
LEN	additional.fields{}.key: "LEN", additional.fields{}.value.string_value: Wert von LEN	Die Länge des IP-Pakets.
MAC	principal.mac	Die aus dem MAC-Feld extrahierte MAC-Adresse.
OUT	additional.fields{}.key: "OUT", additional.fields{}.value.string_value: Wert von OUT	Die ausgehende Netzwerkschnittstelle.
PREC	additional.fields{}.key: „PREC“, additional.fields{}.value.string_value: Wert von PREC	Das Feld „Precedence“ im IP-Header.
PROTO	network.ip_protocol	Das in der Netzwerkverbindung verwendete IP-Protokoll.
RES	additional.fields{}.key: "RES", additional.fields{}.value.string_value: Wert von RES	Reserviertes Feld im TCP-Header.
SPT	principal.port	Der Quellport der Netzwerkverbindung, konvertiert in eine Ganzzahl.
SRC	principal.ip	Die Quell-IP-Adresse der Netzwerkverbindung.
TOS	additional.fields{}.key: "TOS", additional.fields{}.value.string_value: Wert der Nutzungsbedingungen	Das Feld „Type of Service“ im IP-Header.
TTL	network.dns.additional.ttl	Time-to-Live-Wert, konvertiert in eine vorzeichenlose Ganzzahl.
URGP	additional.fields{}.key: "URGP", additional.fields{}.value.string_value: Wert von URGP	Urgent-Pointer-Feld im TCP-Header.
WINDOW	additional.fields{}.key: „WINDOW_SIZE“, additional.fields{}.value.string_value: Wert von WINDOW	Die TCP-Fenstergröße.
Aktion	security_result.action	Die von der Firewall ausgeführte Aktion, die aus der CEF-Nachricht extrahiert wurde.
agt	observer.ip	Die IP-Adresse des Agenten.
amac	target.mac	Die MAC-Adresse des Ziels, in Kleinbuchstaben umgewandelt und mit Bindestrichen, die durch Doppelpunkte ersetzt wurden.
App	target.application	Die am Ereignis beteiligte Anwendung.
artz	observer.zone	Die Zeitzone des Beobachters.
atz	target.location.country_or_region	Die Zielzeitzone.
categoryBehavior	additional.fields{}.key: „Category Behavior“, additional.fields{}.value.string_value: Wert von categoryBehavior ohne Schrägstriche	Das Verhalten der Kategorie.
categoryDeviceGroup	additional.fields{}.key: „Kategorie Gerätegruppe“, additional.fields{}.value.string_value: Wert von categoryDeviceGroup ohne Schrägstriche	Die Kategorie „Gerätegruppe“.
categoryObject	additional.fields{}.key: „Category Object“, additional.fields{}.value.string_value: Wert von categoryObject ohne Schrägstriche	Das Kategorieobjekt.
categoryOutcome	additional.fields{}.key: „Category Outcome“, additional.fields{}.value.string_value: Wert von categoryOutcome ohne Schrägstriche	Das Kategorieergebnis.
categorySignificance	additional.fields{}.key: "category Significance", additional.fields{}.value.string_value: Value of categorySignificance	Die Bedeutung der Kategorie.
Befehl	target.process.command_line	Der Befehl wurde ausgeführt.
cs1Label	additional.fields{}.key: cs1Label, additional.fields{}.value.string_value: Wert des entsprechenden CEF-Felds	Label und Wert des benutzerdefinierten Stringfelds 1 aus der CEF-Nachricht.
cs2Label	additional.fields{}.key: cs2Label, additional.fields{}.value.string_value: Wert des entsprechenden CEF-Felds	Label und Wert des benutzerdefinierten Stringfelds 2 aus der CEF-Nachricht.
cs3Label	additional.fields{}.key: cs3Label, additional.fields{}.value.string_value: Wert des entsprechenden CEF-Felds	Label und Wert des benutzerdefinierten Stringfelds 3 aus der CEF-Nachricht.
cs4Label	additional.fields{}.key: cs4Label, additional.fields{}.value.string_value: Wert des entsprechenden CEF-Felds	Label und Wert des benutzerdefinierten Stringfelds 4 aus der CEF-Nachricht.
cs5Label	additional.fields{}.key: cs5Label, additional.fields{}.value.string_value: Wert des entsprechenden CEF-Felds	Label und Wert des benutzerdefinierten Stringfelds 5 aus der CEF-Nachricht.
cs6Label	additional.fields{}.key: cs6Label, additional.fields{}.value.string_value: Wert des entsprechenden CEF-Felds	Label und Wert des benutzerdefinierten Stringfelds 6 aus der CEF-Nachricht.
dhost	target.hostname	Ziel-Hostname.
deviceCustomString1	additional.fields{}.key: cs1Label, additional.fields{}.value.string_value: Value of deviceCustomString1	Benutzerdefinierter String 1 für das Gerät.
deviceCustomString2	additional.fields{}.key: cs2Label, additional.fields{}.value.string_value: Value of deviceCustomString2	Benutzerdefinierter String 2 für das Gerät.
deviceCustomString3	additional.fields{}.key: cs3Label, additional.fields{}.value.string_value: Wert von deviceCustomString3	Benutzerdefinierter String 3 für das Gerät.
deviceCustomString4	additional.fields{}.key: cs4Label, additional.fields{}.value.string_value: Value of deviceCustomString4	Benutzerdefinierter String 4 für das Gerät.
deviceCustomString5	additional.fields{}.key: cs5Label, additional.fields{}.value.string_value: Value of deviceCustomString5	Benutzerdefinierter String 5 für das Gerät.
deviceCustomString6	additional.fields{}.key: cs6Label, additional.fields{}.value.string_value: Value of deviceCustomString6	Benutzerdefinierter String 6 für Gerät.
deviceDirection	network.direction	Die Richtung des Netzwerkverkehrs.
deviceEventClassId	additional.fields{}.key: "eventId", additional.fields{}.value.string_value: Value of deviceEventClassId	Die Geräteereignisklassen-ID.
deviceFacility	observer.product.subproduct	Die Einrichtung, in der sich das Gerät befindet.
deviceProcessName	about.process.command_line	Der Name des Geräteprozesses.
deviceSeverity	security_result.severity	Der Schweregrad des Geräts.
deviceTimeZone	observer.zone	Die Zeitzone des Geräts.
deviceVendor	metadata.vendor_name	Der Geräteanbieter.
deviceVersion	metadata.product_version	Die Geräteversion.
dpt	target.port	Der Zielport.
dst	target.ip	Die Ziel-IP-Adresse.
duser	target.user.user_display_name	Der Zielnutzer.
eventId	additional.fields{}.key: "eventId", additional.fields{}.value.string_value: Value of eventId	Ereignis-ID.
event_time	metadata.event_timestamp	Der Zeitpunkt, zu dem das Ereignis aufgetreten ist, geparst aus der Nachricht.
firewall_action	security_result.action_details	Die ausgeführte Firewall-Aktion.
Host	principal.hostname, intermediary.hostname	Der Hostname des Geräts, das das Log generiert. Wird in verschiedenen Fällen sowohl für den Auftraggeber als auch für den Vermittler verwendet.
msg	security_result.summary	Die mit dem Ereignis verknüpfte Nachricht, die als Zusammenfassung für das Sicherheitsergebnis verwendet wird.
Name	metadata.product_event_type	Der Name des Ereignisses.
process_name	additional.fields{}.key: "process_name", additional.fields{}.value.string_value: Value of process_name	Der Name des Prozesses.
p_id	target.process.pid	Die Prozess-ID, in einen String umgewandelt.
sha256	principal.process.file.sha256	Der SHA256-Hash einer Datei, der aus den SSH2-Schlüsselinformationen extrahiert wurde.
shost	principal.hostname	Hostname der Quelle.
source_address	principal.ip	Die Quell-IP-Adresse.
source_port	principal.port	Der Quellport, konvertiert in eine Ganzzahl.
src	principal.ip	Die Quell-IP-Adresse.
src_ip	principal.ip	Die Quell-IP-Adresse.
src_port	principal.port	Der Quellport, konvertiert in eine Ganzzahl.
ssh2	security_result.detection_fields{}.key: "ssh2", security_result.detection_fields{}.value: Value of ssh2	SSH2-Schlüsselinformationen.
subtype	metadata.product_event_type	Der Untertyp des Ereignisses.
task_summary	security_result.description	Die Aufgabenzusammenfassung, die als Beschreibung für das Sicherheitsergebnis verwendet wird.
timestamp	metadata.event_timestamp	Der Zeitstempel des Ereignisses.
Nutzer	target.user.userid	Der mit dem Ereignis verknüpfte Nutzer.
Nutzername	principal.user.userid	Der mit dem Ereignis verknüpfte Nutzername.
user_name	principal.user.userid	Der Nutzername.
	metadata.vendor_name	Hartcodiert auf „Juniper Firewall“. Hartcodiert auf „Juniper Firewall“. Hartcodiert auf „JUNIPER_JUNOS“. Wird durch die Parserlogik basierend auf dem Loginhalten bestimmt. Wenn es sich nicht um eine CEF-Nachricht handelt und kein anderer spezifischer Ereignistyp identifiziert wird, wird standardmäßig „STATUS_UPDATE“ verwendet. Legen Sie für CEF-Nachrichten „NETWORK_HTTP“ fest. Wenn kein „desc“-Feld vorhanden ist, wird dieses Feld mit der „message_description“ gefüllt, die aus dem rohen Logeintrag extrahiert wurde.
protocol-name	network.ip_protocol	Aus Änderungsprotokoll zugeordnet
application_name	target.application	Aus Änderungsprotokoll zugeordnet
desc	sec_result.summary	Aus Änderungsprotokoll zugeordnet
mac-address	principal.mac	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten