איסוף יומנים של Juniper Junos

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Juniper Junos ב-Google Security Operations באמצעות Bindplane.

‫Juniper Junos OS היא מערכת ההפעלה שמפעילה נתבים, מתגים ומכשירי אבטחה של Juniper Networks. הוא מספק פלטפורמה מאוחדת לניהול תשתית רשת, ניתוב, מיתוג ופונקציות אבטחה עם רישום מקיף ביומן של אירועי מערכת, אירועי אבטחה ותעבורת רשת. הכלי לניתוח מחלץ שדות מיומני מערכת של Juniper Junos ויומנים בפורמט של צמדי מפתח-ערך. הוא משתמש ב-grok או ב-kv כדי לנתח את הודעת היומן, ואז ממפה את הערכים האלה למודל הנתונים המאוחד (UDM). בנוסף, הוא מגדיר ערכי ברירת מחדל של מטא-נתונים למקור ולסוג האירוע.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• גישת הרשאות למכשיר Juniper שמריץ את מערכת ההפעלה Junos

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.
3. מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: מספר הלקוח נדרש להגדרת כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

איתור קובץ ההגדרות

• ‫Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ ההגדרות

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/chronicle_w_labels:
          compression: gzip
          creds_file_path: '/path/to/ingestion-authentication-file.json'
          customer_id: 'YOUR_CUSTOMER_ID'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: 'JUNIPER_JUNOS'
          raw_log_field: body
          ingestion_labels:
  
  service:
      pipelines:
          logs/source0__chronicle_w_labels-0:
              receivers:
                  - udplog
              exporters:
                  - chronicle/chronicle_w_labels
  

פרמטרים להגדרה

• מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫udplog: משתמשים ב-udplog עבור UDP syslog או ב-tcplog עבור TCP syslog
    • ‫0.0.0.0: כתובת ה-IP להאזנה (0.0.0.0 להאזנה בכל הממשקים)
    • ‫514: מספר היציאה להאזנה (יציאת syslog רגילה)

  • הגדרת כלי הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
      • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
      • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫YOUR_CUSTOMER_ID: מספר הלקוח מהקטע 'איך מאתרים את מספר הלקוח'
    • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
      • ארה"ב: malachiteingestion-pa.googleapis.com
      • אירופה: europe-malachiteingestion-pa.googleapis.com
      • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
      • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.
    • ‫log_type: סוג היומן בדיוק כמו שהוא מופיע ב-Chronicle‏ (JUNIPER_JUNOS)

שמירת קובץ ההגדרות

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

       sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

       sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מחפשים את observIQ OpenTelemetry Collector.

    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת העברה של Syslog ב-Juniper Junos

1. מתחברים למכשיר Juniper באמצעות SSH או מסוף.

2. נכנסים למצב הגדרה:

   configure
   

3. מגדירים את מארח ה-syslog באמצעות הפקודות הבאות:

   set system syslog host BINDPLANE_IP any info
   set system syslog host BINDPLANE_IP port 514
   set system syslog host BINDPLANE_IP facility-override local7
   set system syslog host BINDPLANE_IP log-prefix JUNOS
   

   • מחליפים את BINDPLANE_IP בכתובת ה-IP של המארח של סוכן Bindplane.

4. הגדרת מקורות נוספים של יומנים (אופציונלי, אבל מומלץ):

   set system syslog host BINDPLANE_IP authorization info
   set system syslog host BINDPLANE_IP daemon info
   set system syslog host BINDPLANE_IP kernel info
   set system syslog host BINDPLANE_IP firewall any
   set system syslog host BINDPLANE_IP interactive-commands info
   

5. הגדרת נתוני syslog מובְנים (אופציונלי לניתוח משופר):

   set system syslog host BINDPLANE_IP structured-data
   

6. מאשרים את ההגדרה:

   commit and-quit
   

7. בודקים את ההגדרות של syslog:

   show system syslog host BINDPLANE_IP
   

8. כדי לוודא שהודעות syslog נשלחות, בודקים את היומנים של סוכן Bindplane.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
DPT	target.port	יציאת היעד של חיבור הרשת, שהומר למספר שלם.
מס שירותים דיגיטליים (DTS)	target.ip	כתובת ה-IP של יעד החיבור לרשת.
FLAG	‪additional.fields{}.key: "FLAG", additional.fields{}.value.string_value: Value of FLAG	הדגל של TCP שמשויך לחיבור לרשת.
מזהה	‪additional.fields{}.key: "ID", additional.fields{}.value.string_value: Value of ID	שדה זיהוי כתובת ה-IP.
IN	additional.fields{}.key: "IN", additional.fields{}.value.string_value: Value of IN	ממשק הרשת הנכנס.
LEN	‪additional.fields{}.key: "LEN", additional.fields{}.value.string_value: Value of LEN	האורך של חבילת ה-IP.
MAC	principal.mac	כתובת ה-MAC שחולצה משדה ה-MAC.
OUT	‪additional.fields{}.key: "OUT", additional.fields{}.value.string_value: Value of OUT	ממשק הרשת היוצא.
PREC	additional.fields{}.key: "PREC", additional.fields{}.value.string_value: Value of PREC	השדה Precedence (עדיפות) בכותרת ה-IP.
PROTO	network.ip_protocol	פרוטוקול ה-IP שמשמש בחיבור לרשת.
RES	‪additional.fields{}.key: "RES", additional.fields{}.value.string_value: Value of RES	שדה שמור בכותרת ה-TCP.
SPT	principal.port	יציאת המקור של חיבור הרשת, שהומרה למספר שלם.
SRC	principal.ip	כתובת ה-IP של המקור של חיבור הרשת.
TOS	‪additional.fields{}.key: "TOS", additional.fields{}.value.string_value: Value of TOS	השדה Type of Service (סוג השירות) בכותרת ה-IP.
TTL	network.dns.additional.ttl	הערך של אורך חיים (TTL), שהומר למספר שלם לא מסומן.
URGP	additional.fields{}.key: "URGP", additional.fields{}.value.string_value: Value of URGP	שדה המצביע הדחוף בכותרת ה-TCP.
חלון	‪additional.fields{}.key: "WINDOW_SIZE", additional.fields{}.value.string_value: Value of WINDOW	גודל חלון ה-TCP.
פעולה	security_result.action	הפעולה שבוצעה על ידי חומת האש, שחולצה מהודעת ה-CEF.
agt	observer.ip	כתובת ה-IP של הסוכן.
amac	target.mac	כתובת ה-MAC של היעד, שהומרה לאותיות קטנות והמקפים הוחלפו בנקודתיים.
אפליקציה	target.application	האפליקציה שקשורה לאירוע.
artz	observer.zone	אזור הזמן של הצופה.
atz	target.location.country_or_region	אזור הזמן לטירגוט.
categoryBehavior	‪additional.fields{}.key: "Category Behavior", additional.fields{}.value.string_value: Value of categoryBehavior with slashes removed	התנהגות הקטגוריה.
categoryDeviceGroup	‫additional.fields{}.key: "Category Device Group", additional.fields{}.value.string_value: Value of categoryDeviceGroup with slashes removed	קבוצת המכשירים לפי קטגוריה.
categoryObject	‪additional.fields{}.key: "Category Object", additional.fields{}.value.string_value: Value of categoryObject with slashes removed	אובייקט הקטגוריה.
categoryOutcome	additional.fields{}.key: "Category Outcome", additional.fields{}.value.string_value: Value of categoryOutcome with slashes removed	תוצאת הסיווג לקטגוריה.
categorySignificance	‪additional.fields{}.key: "category Significance", additional.fields{}.value.string_value: Value of categorySignificance	מובהקות הקטגוריה.
פקודה	target.process.command_line	הפקודה הופעלה.
cs1Label	‫additional.fields{}.key: cs1Label, additional.fields{}.value.string_value: הערך של שדה CEF תואם	התווית והערך של שדה המחרוזת המותאם אישית 1 מהודעת ה-CEF.
cs2Label	‫additional.fields{}.key: cs2Label, ‏ additional.fields{}.value.string_value: הערך של שדה CEF תואם	התווית והערך של שדה המחרוזת המותאם אישית 2 מהודעת ה-CEF.
cs3Label	‪additional.fields{}.key: cs3Label, additional.fields{}.value.string_value: Value of corresponding CEF field	התווית והערך של שדה המחרוזת המותאם אישית 3 מהודעת ה-CEF.
cs4Label	‪additional.fields{}.key: cs4Label, additional.fields{}.value.string_value: Value of corresponding CEF field	התווית והערך של שדה המחרוזת המותאם אישית 4 מהודעת ה-CEF.
cs5Label	‪additional.fields{}.key: cs5Label, additional.fields{}.value.string_value: Value of corresponding CEF field	התווית והערך של שדה המחרוזת המותאם אישית 5 מהודעת ה-CEF.
cs6Label	‪additional.fields{}.key: cs6Label, additional.fields{}.value.string_value: Value of corresponding CEF field	התווית והערך של שדה המחרוזת המותאם אישית 6 מהודעת ה-CEF.
dhost	target.hostname	שם המארח של היעד.
deviceCustomString1	additional.fields{}.key: cs1Label, additional.fields{}.value.string_value: Value of deviceCustomString1	מחרוזת מותאמת אישית של מכשיר 1.
deviceCustomString2	additional.fields{}.key: cs2Label, additional.fields{}.value.string_value: Value of deviceCustomString2	מחרוזת מותאמת אישית של מכשיר 2.
deviceCustomString3	additional.fields{}.key: cs3Label, additional.fields{}.value.string_value: Value of deviceCustomString3	מחרוזת מותאמת אישית של מכשיר 3.
deviceCustomString4	additional.fields{}.key: cs4Label, additional.fields{}.value.string_value: Value of deviceCustomString4	מחרוזת מותאמת אישית של מכשיר 4.
deviceCustomString5	additional.fields{}.key: cs5Label, additional.fields{}.value.string_value: Value of deviceCustomString5	מחרוזת מותאמת אישית של מכשיר 5.
deviceCustomString6	additional.fields{}.key: cs6Label, additional.fields{}.value.string_value: Value of deviceCustomString6	מחרוזת מותאמת אישית של מכשיר 6.
deviceDirection	network.direction	כיוון התנועה ברשת.
deviceEventClassId	additional.fields{}.key: "eventId", additional.fields{}.value.string_value: Value of deviceEventClassId	המזהה של סיווג אירועי המכשיר.
deviceFacility	observer.product.subproduct	המתקן של המכשיר.
deviceProcessName	about.process.command_line	שם התהליך של המכשיר.
deviceSeverity	security_result.severity	רמת החומרה של המכשיר.
deviceTimeZone	observer.zone	אזור הזמן של המכשיר.
deviceVendor	metadata.vendor_name	ספק המכשיר.
deviceVersion	metadata.product_version	גרסת המכשיר.
dpt	target.port	יציאת היעד.
dst	target.ip	כתובת ה-IP של היעד.
duser	target.user.user_display_name	משתמש היעד.
eventId	additional.fields{}.key: "eventId", additional.fields{}.value.string_value: Value of eventId	מזהה האירוע.
event_time	metadata.event_timestamp	השעה שבה האירוע התרחש, אחרי ניתוח ההודעה.
firewall_action	security_result.action_details	פעולת חומת האש שבוצעה.
מארח	principal.hostname, intermediary.hostname	שם המארח של המכשיר שמייצר את היומן. משמש גם כגורם ראשי וגם כגורם מתווך במקרים שונים.
msg	security_result.summary	ההודעה שמשויכת לאירוע, שמשמשת כסיכום של תוצאת האבטחה.
name	metadata.product_event_type	שם האירוע.
process_name	additional.fields{}.key: "process_name", additional.fields{}.value.string_value: Value of process_name	שם התהליך.
p_id	target.process.pid	מזהה התהליך, שהומר למחרוזת.
sha256	principal.process.file.sha256	גיבוב SHA256 של קובץ, שחולץ מפרטי מפתח SSH2.
shost	principal.hostname	שם המארח של המקור.
source_address	principal.ip	כתובת ה-IP של המקור.
source_port	principal.port	יציאת המקור, שהומרה למספר שלם.
src	principal.ip	כתובת ה-IP של המקור.
src_ip	principal.ip	כתובת ה-IP של המקור.
src_port	principal.port	יציאת המקור, שהומרה למספר שלם.
ssh2	security_result.detection_fields{}.key: "ssh2", security_result.detection_fields{}.value: Value of ssh2	מידע על מפתח SSH2.
subtype	metadata.product_event_type	סוג המשנה של האירוע.
task_summary	security_result.description	סיכום המשימה, שמשמש כתיאור של תוצאת האבטחה.
חותמת זמן	metadata.event_timestamp	חותמת הזמן של האירוע.
משתמש	target.user.userid	המשתמש שמשויך לאירוע.
שם משתמש	principal.user.userid	שם המשתמש שמשויך לאירוע.
user_name	principal.user.userid	שם המשתמש.
	metadata.vendor_name	הערך מוטמע בקוד כ-Juniper Firewall. הערך מוטמע בקוד כ-Juniper Firewall. הערך מוטמע בקוד כ-JUNIPER_JUNOS. נקבע על ידי לוגיקת המנתח על סמך תוכן היומן. ברירת המחדל היא STATUS_UPDATE אם ההודעה היא לא הודעת CEF ולא זוהה סוג אירוע ספציפי אחר. הערך צריך להיות NETWORK_HTTP עבור הודעות CEF. אם לא קיים שדה desc, השדה הזה יאוכלס ב-message_description שחולץ מהודעת היומן הגולמית.
protocol-name	network.ip_protocol	מופה מיומן השינויים
application_name	target.application	מופה מיומן השינויים
desc	sec_result.summary	מופה מיומן השינויים
mac-address	principal.mac	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.