Collecter les journaux de l'équilibreur de charge Kemp

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer les journaux Progress Kemp LoadMaster dans Google Security Operations à l'aide de l'agent Bindplane.

Progress Kemp LoadMaster (anciennement Kemp Load Balancer) est un contrôleur de diffusion d'applications (ADC) qui fournit un équilibrage de charge, un déchargement SSL et une gestion du trafic pour les applications d'entreprise. Il répartit le trafic entrant sur plusieurs serveurs pour assurer une haute disponibilité, optimiser les performances et améliorer la sécurité des applications et services Web.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Une instance Google SecOps
• Un hôte Windows 2016 ou version ultérieure, ou Linux avec systemd
• Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
• Un accès privilégié à l'interface utilisateur Web (WUI) de Progress Kemp LoadMaster

Obtenir les identifiants Google SecOps pour l'agent Bindplane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

• Nouveaux déploiements : utilisez l'API Chronicle (option 1).
• Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API d'ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

1. Connectez-vous à la Google Cloud console, puis sélectionnez le Google Cloud projet associé à votre instance Google SecOps.
2. Accédez à IAM et administration > Comptes de service.
3. Cliquez sur Créer un compte de service.
4. Fournissez les informations de configuration suivantes :
   • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
   • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
5. Cliquez sur Créer et continuer.
6. Dans la section Autoriser ce compte de service à accéder au projet , cliquez sur Sélectionner un rôle , puis sélectionnez Éditeur Chronicle.
7. Cliquez sur Continuer, puis sur OK.
8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
9. Cliquez sur Ajouter une clé > Créer une clé.
10. Sélectionnez JSON , puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
12. Accédez à IAM et administration > Paramètres , puis copiez le numéro de projet. Vous en aurez besoin pour la configuration de l'exportateur.

Remarque : La clé JSON est un identifiant. Limitez l'accès au fichier sur l'hôte Bindplane et faites pivoter la clé conformément aux règles de votre organisation.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancienne version)

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM > Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion.
4. Enregistrez le fichier de manière sécurisée sur le système où l'agent Bindplane sera installé.

Remarque : Ce fichier authentifie l'agent auprès de l'ancienne API d'ingestion (malachiteingestion-pa.googleapis.com), dont Google a prévu l'arrêt le 20 juillet 2027. Prévoyez de passer à l'option 1 avant cette date.

Obtenir le numéro client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM > Profil.
3. Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation sous Windows

1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

2. Exécutez la commande suivante :

     msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installation sous Linux

1. Ouvrez un terminal avec des droits root ou sudo.

2. Exécutez la commande suivante :

     sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Ressources d'installation supplémentaires

Pour obtenir d'autres options d'installation, consultez ce guide d'installation.

Remarque : La configuration de l'exportateur de l'API Chronicle nécessite le collecteur Bindplane version 1.106.0 ou ultérieure. Les commandes précédentes installent la dernière version. Si vous mettez à jour une installation existante, mettez à niveau le collecteur avant de modifier la configuration.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

1. Accédez au fichier de configuration :

   • Recherchez le fichier config.yaml. Il se trouve généralement dans le répertoire /opt/observiq-otel-collector/ sous Linux ou dans le répertoire d'installation sous Windows.
   • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou le Bloc-notes).

2. Modifiez le fichier config.yaml comme suit :

     receivers:
       udplog:
         # Replace the port and IP address as required
         listen_address: "0.0.0.0:514"
   
     exporters:
       chronicle/chronicle_w_labels:
         protocol: https
         # Region of your instance, for example us, europe, asia-southeast1
         location: <LOCATION>
         # Project number of the Google Cloud project linked to the instance
         project: '<PROJECT_NUMBER>'
         compression: gzip
         # Adjust the path to the credentials file you downloaded in Step 1
         creds_file_path: '/path/to/ingestion-authentication-file.json'
         # Replace with your actual customer ID from Step 2
         customer_id: YOUR_CUSTOMER_ID_HERE
         endpoint: chronicle.googleapis.com
         # Add optional ingestion labels for better organization
         log_type: 'KEMP_LOADBALANCER'
         raw_log_field: body
         ingestion_labels:
   
     service:
       pipelines:
         logs/source0__chronicle_w_labels-0:
           receivers:
             - udplog
           exporters:
             - chronicle/chronicle_w_labels
   

3. Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.

4. Remplacez YOUR_CUSTOMER_ID_HERE par le numéro client réel.

5. Mettez à jour /path/to/ingestion-authentication-file.json avec le chemin d'accès au fichier de clé du compte de service (option 1) enregistré à l'étape 1.

6. Remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe, ou asia-southeast1). L'exportateur préfixe chronicle.googleapis.com avec cette valeur. Pour obtenir la liste complète, consultez la section Points de terminaison régionaux.

7. Remplacez <PROJECT_NUMBER> par le numéro de projet dans IAM et administration > Paramètres.

Ancien exportateur d'API d'ingestion

• Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: YOUR_CUSTOMER_ID_HERE
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'KEMP_LOADBALANCER'
      raw_log_field: body
      ingestion_labels:
  

Remarque : Cet exportateur cessera de fonctionner lorsque l'API d'ingestion sera arrêtée le 20 juillet 2027.

Redémarrer l'agent Bindplane pour appliquer les modifications

1. Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

     sudo systemctl restart observiq-otel-collector
   

2. Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

     net stop observiq-otel-collector && net start observiq-otel-collector
   

Configurer le transfert Syslog de Progress Kemp LoadMaster

1. Connectez-vous à l'interface utilisateur Web (WUI) de Progress Kemp LoadMaster.
2. Accédez à System Configuration > Logging Options > Syslog Options (Configuration système > Options de journalisation > Options Syslog).
3. Dans le champ Remote Syslog Host (Hôte Syslog distant), saisissez l'adresse IP de l'hôte de l'agent Bindplane (par exemple, 192.168.1.100).
4. Dans le champ Remote Syslog Port (Port Syslog distant), saisissez 514 (ou le port configuré dans Bindplane).
5. Définissez l'option Info Syslog Messages (Messages Syslog d'informations) sur Yes (Oui) pour activer les messages de journalisation d'informations.
6. Définissez l'option Warning Syslog Messages (Messages Syslog d'avertissement) sur Yes (Oui) pour activer les messages d'avertissement.
7. Définissez l'option Error Syslog Messages (Messages Syslog d'erreur) sur Yes (Oui) pour activer les messages d'erreur.
8. Définissez l'option Critical Syslog Messages (Messages Syslog critiques) sur Yes (Oui) pour activer les messages critiques.
9. Définissez l'option Emergency Syslog Messages (Messages Syslog d'urgence) sur Yes (Oui) pour activer les messages d'urgence.
10. Cliquez sur Set Syslog Parameters (Définir les paramètres Syslog) pour enregistrer la configuration.
11. Pour activer la journalisation Syslog WAF, accédez à System Configuration > Logging Options > WAF Syslog Options (Configuration système > Options de journalisation > Options Syslog WAF).
12. Définissez l'option Remote Syslog (Syslog distant) sur Yes (Oui).

13. Cliquez sur Set WAF Syslog Parameters (Définir les paramètres Syslog WAF) pour enregistrer.

    **Remarque**: Pour en savoir plus, consultez la documentation de Progress Kemp LoadMaster.

Tableau de mappage UDM

Champ du journal	Mappage UDM	Logique
hlen_label	additional.fields	Fusionné
meta_sequenceId_label	additional.fields	Fusionné
nhdrs_label	additional.fields	Fusionné
intermediary	intermediary	Fusionné
inter_hostname	intermediary.hostname	Mappé directement
description	metadata.description	Mappé directement
event_type	metadata.event_type	Renommé/mappé
log_event	metadata.product_event_type	Mappé directement
sequenceId	metadata.product_log_id	Mappé directement
ftpmethod	network.ftp.command	Mappé directement
http_method	network.http.method	Mappé directement
http_response_code	network.http.response_code	Mappé directement
process_name	principal.application	Mappé directement
src_ip	principal.ip	Fusionné
srcip	principal.ip	Fusionné
src_port	principal.port	Mappé directement
srcport	principal.port	Mappé directement
sec_result	security_result	Fusionné
sshd	target.application	Mappé directement
filename	target.file.full_path	Mappé directement
file_size	target.file.size	Renommé/mappé
dest_ip	target.ip	Fusionné
dstip	target.ip	Fusionné
vs	target.ip	Fusionné
dest_port	target.port	Mappé directement
dstport	target.port	Mappé directement
vs_port	target.port	Mappé directement
pid	target.process.pid	Mappé directement
http_path	target.url	Mappé directement
resource	target.url	Mappé directement
user	target.user.userid	Mappé directement
N/A	additional.fields	Constante : meta_sequenceId_label
N/A	extensions.auth.type	Constante : AUTHTYPE_UNSPECIFIED
N/A	intermediary	Constante : intermediary
N/A	metadata.event_type	Constante : GENERIC_EVENT
N/A	metadata.product_name	Constante : KEMP_LOADBALANCER
N/A	metadata.vendor_name	Constante : KEMP
N/A	network.application_protocol	Constante : HTTP
N/A	principal.ip	Constante : src_ip
N/A	security_result	Constante : sec_result
N/A	target.ip	Constante : dest_ip
meta_sequenceId	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
event_type	USER_UNCATEGORIZED	Mappé à partir du journal des modifications

Pour en savoir plus sur le mappage des champs de l'analyseur, consultez la documentation de référence de l'analyseur KEMP_LOADBALANCER.

Journal des modifications

Consulter le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.