Collecter les journaux de l'équilibreur de charge Kemp

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux Progress Kemp LoadMaster dans Google Security Operations à l'aide de l'agent Bindplane.

Progress Kemp LoadMaster (anciennement Kemp Load Balancer) est un contrôleur de déploiement d'applications (ADC) qui fournit des services d'équilibrage de charge, de déchargement SSL et de gestion du trafic pour les applications d'entreprise. Il distribue le trafic entrant sur plusieurs serveurs pour assurer une haute disponibilité, optimiser les performances et renforcer la sécurité des applications et services Web.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Une instance Google SecOps
• Un hôte Windows 2016 ou version ultérieure, ou Linux avec systemd
• Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
• Accès privilégié à l'interface utilisateur Web (WUI) de Progress Kemp LoadMaster

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

• Nouveaux déploiements : utilisez l'API Chronicle (option 1).
• Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
2. Accédez à IAM et administration > Comptes de service.
3. Cliquez sur Créer un compte de service.
4. Fournissez les informations de configuration suivantes :
   • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
   • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
5. Cliquez sur Créer et continuer.
6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
7. Cliquez sur Continue (Continuer), puis sur Done (OK).
8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
9. Cliquez sur Ajouter une clé > Créer une clé.
10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour configurer l'exportateur.

Remarque : La clé JSON est un identifiant. Limitez l'accès au fichier sur l'hôte BindPlane et effectuez une rotation de la clé conformément aux règles de votre organisation.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres > Gestion des données > Agents de collecte. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion.
4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Remarque : Ce fichier authentifie l'agent auprès de l'ancienne API d'ingestion (malachiteingestion-pa.googleapis.com), dont Google a prévu la fin de vie le 20 juillet 2027. Prévoyez de passer à l'option 1 avant cette date.

Obtenir le numéro client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres > Administration > Profil. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Profil.
3. Copiez et enregistrez le numéro client qui figure dans la section Informations sur l'organisation.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

2. Exécutez la commande suivante :

     msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installation de Linux

1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

2. Exécutez la commande suivante :

     sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Ressources d'installation supplémentaires

Pour découvrir d'autres options d'installation, consultez ce guide d'installation.

Remarque : La configuration de l'exportateur de l'API Chronicle nécessite le collecteur Bindplane v1.106.0 ou une version ultérieure. Les commandes précédentes installent la dernière version. Si vous mettez à jour une installation existante, mettez à niveau le collecteur avant de modifier la configuration.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

1. Accédez au fichier de configuration :

   • Trouvez le fichier config.yaml. En général, il se trouve dans le répertoire /opt/observiq-otel-collector/ sous Linux ou dans le répertoire d'installation sous Windows.
   • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou Notepad).

2. Modifiez le fichier config.yaml comme suit :

     receivers:
       udplog:
         # Replace the port and IP address as required
         listen_address: "0.0.0.0:514"
   
     exporters:
       chronicle/chronicle_w_labels:
         protocol: https
         # Region of your instance, for example us, europe, asia-southeast1
         location: <LOCATION>
         # Project number of the Google Cloud project linked to the instance
         project: '<PROJECT_NUMBER>'
         compression: gzip
         # Adjust the path to the credentials file you downloaded in Step 1
         creds_file_path: '/path/to/ingestion-authentication-file.json'
         # Replace with your actual customer ID from Step 2
         customer_id: YOUR_CUSTOMER_ID_HERE
         endpoint: chronicle.googleapis.com
         # Add optional ingestion labels for better organization
         log_type: 'KEMP_LOADBALANCER'
         raw_log_field: body
         ingestion_labels:
   
     service:
       pipelines:
         logs/source0__chronicle_w_labels-0:
           receivers:
             - udplog
           exporters:
             - chronicle/chronicle_w_labels
   

3. Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.

4. Remplacez YOUR_CUSTOMER_ID_HERE par le numéro client réel.

5. Remplacez /path/to/ingestion-authentication-file.json par le chemin d'accès au fichier de clé du compte de service (option 1) enregistré à l'étape 1.

6. Remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.

7. Remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.

Ancien exportateur d'API d'ingestion

• Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: YOUR_CUSTOMER_ID_HERE
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'KEMP_LOADBALANCER'
      raw_log_field: body
      ingestion_labels:
  

Remarque : Cet exportateur cessera de fonctionner lorsque l'API Ingestion sera abandonnée le 20 juillet 2027.

Redémarrez l'agent BindPlane pour appliquer les modifications.

1. Pour redémarrer l'agent BindPlane sous Linux, exécutez la commande suivante :

     sudo systemctl restart observiq-otel-collector
   

2. Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

     net stop observiq-otel-collector && net start observiq-otel-collector
   

Configurer le transfert Syslog Progress Kemp LoadMaster

1. Connectez-vous à l'interface utilisateur Web (WUI) de Progress Kemp LoadMaster.
2. Accédez à System Configuration > Logging Options > Syslog Options (Configuration du système > Options de journalisation > Options Syslog).
3. Dans le champ Hôte Syslog distant, saisissez l'adresse IP de l'hôte de l'agent BindPlane (par exemple, 192.168.1.100).
4. Dans le champ Remote Syslog Port (Port Syslog distant), saisissez 514 (ou le port configuré dans BindPlane).
5. Définissez l'option Info Syslog Messages (Messages d'information Syslog) sur Yes (Oui) pour activer les messages de journal d'information.
6. Définissez l'option Warning Syslog Messages (Messages d'avertissement Syslog) sur Yes (Oui) pour activer les messages d'avertissement.
7. Définissez l'option Error Syslog Messages (Messages d'erreur Syslog) sur Yes (Oui) pour activer les messages d'erreur.
8. Définissez l'option Critical Syslog Messages (Messages Syslog critiques) sur Yes (Oui) pour activer les messages critiques.
9. Définissez l'option Messages Syslog d'urgence sur Oui pour activer les messages d'urgence.
10. Cliquez sur Définir les paramètres Syslog pour enregistrer la configuration.
11. Pour activer la journalisation syslog WAF, accédez à System Configuration > Logging Options > WAF Syslog Options.
12. Définissez l'option Syslog distant sur Oui.

13. Cliquez sur Set WAF Syslog Parameters (Définir les paramètres Syslog du WAF) pour enregistrer.

    Remarque : Pour en savoir plus, consultez la documentation sur Progress Kemp LoadMaster.

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
hlen_label	additional.fields	Fusionné
meta_sequenceId_label	additional.fields	Fusionné
nhdrs_label	additional.fields	Fusionné
intermediary	intermediary	Fusionné
inter_hostname	intermediary.hostname	Mappage direct
description	metadata.description	Mappage direct
event_type	metadata.event_type	Renommé/Mappé
log_event	metadata.product_event_type	Mappage direct
sequenceId	metadata.product_log_id	Mappage direct
ftpmethod	network.ftp.command	Mappage direct
http_method	network.http.method	Mappage direct
http_response_code	network.http.response_code	Mappage direct
process_name	principal.application	Mappage direct
src_ip	principal.ip	Fusionné
srcip	principal.ip	Fusionné
src_port	principal.port	Mappage direct
srcport	principal.port	Mappage direct
sec_result	security_result	Fusionné
sshd	target.application	Mappage direct
filename	target.file.full_path	Mappage direct
file_size	target.file.size	Renommé/Mappé
dest_ip	target.ip	Fusionné
dstip	target.ip	Fusionné
vs	target.ip	Fusionné
dest_port	target.port	Mappage direct
dstport	target.port	Mappage direct
vs_port	target.port	Mappage direct
pid	target.process.pid	Mappage direct
http_path	target.url	Mappage direct
resource	target.url	Mappage direct
user	target.user.userid	Mappage direct
N/A	additional.fields	Constante : meta_sequenceId_label
N/A	extensions.auth.type	Constante : AUTHTYPE_UNSPECIFIED
N/A	intermediary	Constante : intermediary
N/A	metadata.event_type	Constante : GENERIC_EVENT
N/A	metadata.product_name	Constante : KEMP_LOADBALANCER
N/A	metadata.vendor_name	Constante : KEMP
N/A	network.application_protocol	Constante : HTTP
N/A	principal.ip	Constante : src_ip
N/A	security_result	Constante : sec_result
N/A	target.ip	Constante : dest_ip
meta_sequenceId	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
event_type	USER_UNCATEGORIZED	Mappé à partir du journal des modifications

Pour en savoir plus sur le mappage des champs de l'analyseur, consultez la documentation de référence sur l'analyseur KEMP_LOADBALANCER.

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.