Juniper Junos-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Juniper Junos-Logs mit Bindplane in Google Security Operations aufnehmen.

Juniper Junos OS ist das Betriebssystem, das auf Routern, Switches und Sicherheitsgeräten von Juniper Networks ausgeführt wird. Sie bietet eine einheitliche Plattform für die Verwaltung der Netzwerkinfrastruktur, Routing, Switching und Sicherheitsfunktionen mit umfassender Protokollierung von Systemereignissen, Sicherheitsereignissen und Netzwerkverkehr. Der Parser extrahiert Felder aus Syslog- und Schlüssel/Wert-formatierten Logs von Juniper Junos. Dabei werden grok und/oder kv verwendet, um den Logeintrag zu parsen. Anschließend werden diese Werte dem Unified Data Model (UDM) zugeordnet. Außerdem werden Standardmetadatenwerte für die Ereignisquelle und den Ereignistyp festgelegt.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf das Juniper-Gerät mit Junos OS

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der alten Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie, vor diesem Datum zu Option 1 zu wechseln.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profil auf.
3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsanleitung für den Bindplane-Agenten.

Hinweis :Für die Konfiguration des Chronicle API-Exporters ist der Bindplane-Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, führen Sie ein Upgrade des Collectors durch, bevor Sie die Konfiguration ändern.

Bindplane-Agent für die Aufnahme von Syslog und das Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/chronicle_w_labels:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: chronicle.googleapis.com
      log_type: 'JUNIPER_JUNOS'
      raw_log_field: body
      ingestion_labels:
  
  service:
    pipelines:
      logs/source0__chronicle_w_labels-0:
        receivers:
          - udplog
        exporters:
          - chronicle/chronicle_w_labels
  

Konfigurationsparameter

• Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • udplog: Verwenden Sie udplog für UDP-Syslog oder tcplog für TCP-Syslog.
    • 0.0.0.0: IP-Adresse, auf der gelauscht werden soll (0.0.0.0, um auf allen Schnittstellen zu lauschen)
    • 514: Portnummer, an der gelauscht werden soll (Standard-Syslog-Port)

  • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID: Kunden-ID aus dem Abschnitt „Kunden-ID abrufen“
    • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporteur stellt diesem Wert das Präfix chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
    • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
    • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
    • log_type: Logtyp genau wie in Chronicle (JUNIPER_JUNOS)

Legacy-Ingestion-API-Exporter

• Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: 'JUNIPER_JUNOS'
      raw_log_field: body
      ingestion_labels:
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

  sudo systemctl restart observiq-otel-collector
  

  1. Prüfen Sie, ob der Dienst ausgeführt wird:

       sudo systemctl status observiq-otel-collector
     

  2. Prüfen Sie die Logs auf Fehler:

       sudo journalctl -u observiq-otel-collector -f
     

• Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Dienstkonsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.

    3. Rechtsklicken Sie und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

       sc query observiq-otel-collector
       

    5. Logs auf Fehler prüfen:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Syslog-Weiterleitung auf Juniper Junos konfigurieren

1. Stellen Sie über SSH oder die Konsole eine Verbindung zum Juniper-Gerät her.

2. Rufen Sie den Konfigurationsmodus auf:

   configure
   

3. Konfigurieren Sie den Syslog-Host mit den folgenden Befehlen:

   set system syslog host BINDPLANE_IP any info
   set system syslog host BINDPLANE_IP port 514
   set system syslog host BINDPLANE_IP facility-override local7
   set system syslog host BINDPLANE_IP log-prefix JUNOS
   

   • Ersetzen Sie BINDPLANE_IP durch die IP-Adresse des Bindplane-Agent-Hosts.

4. Konfigurieren Sie zusätzliche Logquellen (optional, aber empfohlen):

   set system syslog host BINDPLANE_IP authorization info
   set system syslog host BINDPLANE_IP daemon info
   set system syslog host BINDPLANE_IP kernel info
   set system syslog host BINDPLANE_IP firewall any
   set system syslog host BINDPLANE_IP interactive-commands info
   

5. Konfigurieren Sie strukturierte Syslog-Daten (optional für erweitertes Parsen):

   set system syslog host BINDPLANE_IP structured-data
   

6. Übernehmen Sie die Konfiguration:

   commit and-quit
   

7. Prüfen Sie die Syslog-Konfiguration:

   show system syslog host BINDPLANE_IP
   

8. Prüfen Sie in den Bindplane-Agent-Logs, ob Syslog-Nachrichten gesendet werden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
DVB	target.port	Der Zielport der Netzwerkverbindung, in eine Ganzzahl umgewandelt.
Steuer auf digitale Dienste	target.ip	Die Ziel-IP-Adresse der Netzwerkverbindung.
FLAG	additional.fields{}.key: "FLAG", additional.fields{}.value.string_value: Value of FLAG	Das TCP-Flag, das mit der Netzwerkverbindung verknüpft ist.
ID	additional.fields{}.key: "ID", additional.fields{}.value.string_value: Value of ID	Das IP-Identifikationsfeld.
IN	additional.fields{}.key: "IN", additional.fields{}.value.string_value: Wert von IN	Die eingehende Netzwerkschnittstelle.
LEN	additional.fields{}.key: "LEN", additional.fields{}.value.string_value: Wert von LEN	Die Länge des IP-Pakets.
MAC	principal.mac	Die aus dem MAC-Feld extrahierte MAC-Adresse.
OUT	additional.fields{}.key: "OUT", additional.fields{}.value.string_value: Value of OUT	Die ausgehende Netzwerkschnittstelle.
PREC	additional.fields{}.key: „PREC“, additional.fields{}.value.string_value: Wert von PREC	Das Feld „Precedence“ im IP-Header.
PROTO	network.ip_protocol	Das in der Netzwerkverbindung verwendete IP-Protokoll.
RES	additional.fields{}.key: "RES", additional.fields{}.value.string_value: Wert von RES	Reserviertes Feld im TCP-Header.
SPT	principal.port	Der Quellport der Netzwerkverbindung, in eine Ganzzahl konvertiert.
SRC	principal.ip	Die Quell-IP-Adresse der Netzwerkverbindung.
TOS	additional.fields{}.key: "TOS", additional.fields{}.value.string_value: Value of TOS	Das Feld „Type of Service“ (Diensttyp) im IP-Header.
TTL	network.dns.additional.ttl	TTL-Wert (Time To Live), in eine vorzeichenlose Ganzzahl konvertiert.
URGP	additional.fields{}.key: "URGP", additional.fields{}.value.string_value: Wert von URGP	Urgent-Pointer-Feld im TCP-Header.
WINDOW	additional.fields{}.key: "WINDOW_SIZE", additional.fields{}.value.string_value: Value of WINDOW	Die TCP-Fenstergröße.
Aktion	security_result.action	Die von der Firewall ausgeführte Aktion, die aus der CEF-Nachricht extrahiert wurde.
agt	observer.ip	Die IP-Adresse des Agenten.
amac	target.mac	Die MAC-Adresse des Ziels, in Kleinbuchstaben umgewandelt und mit Bindestrichen, die durch Doppelpunkte ersetzt wurden.
App	target.application	Die Anwendung, die an dem Ereignis beteiligt ist.
artz	observer.zone	Die Zeitzone des Beobachters.
atz	target.location.country_or_region	Die Zielzeitzone.
categoryBehavior	additional.fields{}.key: „Category Behavior“ (Kategorieverhalten), additional.fields{}.value.string_value: Wert von „categoryBehavior“ ohne Schrägstriche	Das Verhalten der Kategorie.
categoryDeviceGroup	additional.fields{}.key: „Kategorie Gerätegruppe“, additional.fields{}.value.string_value: Wert von categoryDeviceGroup ohne Schrägstriche	Die Kategorie „Gerätegruppe“.
categoryObject	additional.fields{}.key: „Category Object“, additional.fields{}.value.string_value: Wert von categoryObject ohne Schrägstriche	Das Kategorieobjekt.
categoryOutcome	additional.fields{}.key: „Category Outcome“, additional.fields{}.value.string_value: Wert von „Category Outcome“ ohne Schrägstriche	Das Kategorieergebnis.
categorySignificance	additional.fields{}.key: „category Significance“, additional.fields{}.value.string_value: Value of categorySignificance	Die Kategorie-Signifikanz.
Befehl	target.process.command_line	Der Befehl wurde ausgeführt.
cs1Label	additional.fields{}.key: cs1Label, additional.fields{}.value.string_value: Wert des entsprechenden CEF-Felds	Label und Wert für das benutzerdefinierte Stringfeld 1 aus der CEF-Nachricht.
cs2Label	additional.fields{}.key: cs2Label, additional.fields{}.value.string_value: Wert des entsprechenden CEF-Felds	Label und Wert des benutzerdefinierten Stringfelds 2 aus der CEF-Nachricht.
cs3Label	additional.fields{}.key: cs3Label, additional.fields{}.value.string_value: Wert des entsprechenden CEF-Felds	Label und Wert des benutzerdefinierten Stringfelds 3 aus der CEF-Nachricht.
cs4Label	additional.fields{}.key: cs4Label, additional.fields{}.value.string_value: Wert des entsprechenden CEF-Felds	Label und Wert des benutzerdefinierten Stringfelds 4 aus der CEF-Nachricht.
cs5Label	additional.fields{}.key: cs5Label, additional.fields{}.value.string_value: Wert des entsprechenden CEF-Felds	Label und Wert des benutzerdefinierten Stringfelds 5 aus der CEF-Nachricht.
cs6Label	additional.fields{}.key: cs6Label, additional.fields{}.value.string_value: Wert des entsprechenden CEF-Felds	Label und Wert des benutzerdefinierten Stringfelds 6 aus der CEF-Nachricht.
dhost	target.hostname	Ziel-Hostname.
deviceCustomString1	additional.fields{}.key: cs1Label, additional.fields{}.value.string_value: Value of deviceCustomString1	Benutzerdefinierter Gerätestring 1.
deviceCustomString2	additional.fields{}.key: cs2Label, additional.fields{}.value.string_value: Value of deviceCustomString2	Benutzerdefinierter String 2 für das Gerät.
deviceCustomString3	additional.fields{}.key: cs3Label, additional.fields{}.value.string_value: Wert von deviceCustomString3	Benutzerdefinierter Gerätestring 3.
deviceCustomString4	additional.fields{}.key: cs4Label, additional.fields{}.value.string_value: Value of deviceCustomString4	Benutzerdefinierter String 4 für das Gerät.
deviceCustomString5	additional.fields{}.key: cs5Label, additional.fields{}.value.string_value: Value of deviceCustomString5	Benutzerdefinierter String 5 für Geräte.
deviceCustomString6	additional.fields{}.key: cs6Label, additional.fields{}.value.string_value: Value of deviceCustomString6	Benutzerdefinierter String 6 für Gerät.
deviceDirection	network.direction	Die Richtung des Netzwerkverkehrs.
deviceEventClassId	additional.fields{}.key: "eventId", additional.fields{}.value.string_value: Value of deviceEventClassId	Die Geräteereignisklassen-ID.
deviceFacility	observer.product.subproduct	Die Einrichtung des Geräts.
deviceProcessName	about.process.command_line	Der Name des Geräteprozesses.
deviceSeverity	security_result.severity	Der Schweregrad des Geräts.
deviceTimeZone	observer.zone	Die Zeitzone des Geräts.
deviceVendor	metadata.vendor_name	Der Geräteanbieter.
deviceVersion	metadata.product_version	Die Geräteversion.
dpt	target.port	Der Zielport.
dst	target.ip	Die Ziel-IP-Adresse.
duser	target.user.user_display_name	Der Zielnutzer.
eventId	additional.fields{}.key: "eventId", additional.fields{}.value.string_value: Value of eventId	Ereignis-ID.
event_time	metadata.event_timestamp	Der Zeitpunkt, zu dem das Ereignis aufgetreten ist, aus der Nachricht geparst.
firewall_action	security_result.action_details	Die ausgeführte Firewallaktion.
Host	principal.hostname, intermediary.hostname	Der Hostname des Geräts, das das Log generiert. Wird in verschiedenen Fällen sowohl für den Auftraggeber als auch für den Vermittler verwendet.
msg	security_result.summary	Die mit dem Ereignis verknüpfte Nachricht, die als Zusammenfassung für das Sicherheitsergebnis verwendet wird.
Name	metadata.product_event_type	Der Name des Ereignisses.
process_name	additional.fields{}.key: "process_name", additional.fields{}.value.string_value: Value of process_name	Der Name des Prozesses.
p_id	target.process.pid	Die Prozess-ID, in einen String umgewandelt.
sha256	principal.process.file.sha256	Der SHA256-Hash einer Datei, der aus den SSH2-Schlüsselinformationen extrahiert wurde.
shost	principal.hostname	Hostname der Quelle.
source_address	principal.ip	Die Quell-IP-Adresse.
source_port	principal.port	Der Quellport, in eine Ganzzahl konvertiert.
src	principal.ip	Die Quell-IP-Adresse.
src_ip	principal.ip	Die Quell-IP-Adresse.
src_port	principal.port	Der Quellport, in eine Ganzzahl konvertiert.
ssh2	security_result.detection_fields{}.key: "ssh2", security_result.detection_fields{}.value: Value of ssh2	SSH2-Schlüsselinformationen.
subtype	metadata.product_event_type	Der Untertyp des Ereignisses.
task_summary	security_result.description	Die Aufgabenzusammenfassung, die als Beschreibung für das Sicherheitsergebnis verwendet wird.
timestamp	metadata.event_timestamp	Der Zeitstempel des Ereignisses.
Nutzer	target.user.userid	Der Nutzer, der mit dem Ereignis verknüpft ist.
Nutzername	principal.user.userid	Der mit dem Ereignis verknüpfte Nutzername.
user_name	principal.user.userid	Der Nutzername.
	metadata.vendor_name	Fest codiert auf „Juniper Firewall“. Hartcodiert auf „Juniper Firewall“. Hartcodiert auf „JUNIPER_JUNOS“. Wird durch die Parserlogik basierend auf dem Loginhalten bestimmt. Der Standardwert ist „STATUS_UPDATE“, wenn es sich nicht um eine CEF-Nachricht handelt und kein anderer spezifischer Ereignistyp identifiziert wird. Legen Sie diesen Wert für CEF-Nachrichten auf „NETWORK_HTTP“ fest. Wenn kein „desc“-Feld vorhanden ist, wird dieses Feld mit der aus dem Roh-Logeintrag extrahierten „message_description“ gefüllt.
protocol-name	network.ip_protocol	Aus Änderungsprotokoll zugeordnet
application_name	target.application	Aus Änderungsprotokoll zugeordnet
desc	sec_result.summary	Aus Änderungsprotokoll zugeordnet
mac-address	principal.mac	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten