Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Raccogli i log del bilanciatore del carico Kemp

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di Progress Kemp LoadMaster in Google Security Operations utilizzando l'agente Bindplane.

Progress Kemp LoadMaster (in precedenza Kemp Load Balancer) è un controller di distribuzione delle applicazioni (ADC) che fornisce bilanciamento del carico, offload SSL e gestione del traffico per le applicazioni aziendali. Distribuisce il traffico in entrata su più server per garantire un'elevata affidabilità, ottimizzare le prestazioni e migliorare la sicurezza di applicazioni e servizi basati sul web.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

Un'istanza Google SecOps
Un host Windows 2016 o versioni successive o Linux con systemd
Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
Accesso con privilegi all'interfaccia utente web (WUI) di Progress Kemp LoadMaster

Recuperare il file di autenticazione dell'acquisizione di Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Agenti di raccolta.
Scarica il file di autenticazione dell'acquisizione.
Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Profilo.
Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

Apri il prompt dei comandi o PowerShell come amministratore.

Esegui questo comando:

  msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

Apri un terminale con privilegi root o sudo.

Esegui questo comando:

  sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

Accedi al file di configurazione:
- Individua il file config.yaml. In genere si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
- Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

Modifica il file config.yaml come segue:

  receivers:
  udplog:
     # Replace the port and IP address as required
     listen_address: "0.0.0.0:514"

  exporters:
  chronicle/chronicle_w_labels:
     compression: gzip
     # Adjust the path to the credentials file you downloaded in Step 1
     creds_file_path: '/path/to/ingestion-authentication-file.json'
     # Replace with your actual customer ID from Step 2
     customer_id: YOUR_CUSTOMER_ID_HERE
     endpoint: malachiteingestion-pa.googleapis.com
     # Add optional ingestion labels for better organization
     log_type: 'KEMP_LOADBALANCER'
     raw_log_field: body
     ingestion_labels:

  service:
  pipelines:
     logs/source0__chronicle_w_labels-0:
        receivers:
        - udplog
        exporters:
        - chronicle/chronicle_w_labels

Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
Sostituisci YOUR_CUSTOMER_ID_HERE con l'ID cliente effettivo.
Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file di autenticazione nel passaggio 1.
Aggiorna il valore endpoint in modo che corrisponda alla regione del tuo tenant.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux, esegui questo comando:
```
  sudo systemctl restart observiq-otel-collector
```
Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:
```
  net stop observiq-otel-collector && net start observiq-otel-collector
```

Configura l'inoltro di syslog di Progress Kemp LoadMaster

Accedi all'interfaccia utente web (WUI) di Progress Kemp LoadMaster.
Vai a Configurazione di sistema > Opzioni di registrazione > Opzioni Syslog.
Nel campo Host Syslog remoto, inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
Nel campo Porta Syslog remoto, inserisci 514 (o la porta configurata in Bindplane).
Imposta l'opzione Messaggi Syslog informativi su Sì per attivare i messaggi di log informativi.
Imposta l'opzione Messaggi Syslog di avviso su Sì per attivare i messaggi di avviso.
Imposta l'opzione Messaggi syslog di errore su Sì per attivare i messaggi di errore.
Imposta l'opzione Messaggi Syslog critici su Sì per attivare i messaggi critici.
Imposta l'opzione Messaggi syslog di emergenza su Sì per attivare i messaggi di emergenza.
Fai clic su Imposta parametri Syslog per salvare la configurazione.
Per attivare la registrazione syslog WAF, vai a Configurazione di sistema > Opzioni di registrazione > Opzioni syslog WAF.
Imposta l'opzione Syslog remoto su Sì.
Fai clic su Imposta parametri Syslog WAF per salvare.

Nota :per saperne di più, consulta la documentazione di Progress Kemp LoadMaster.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
`hlen_label`	`additional.fields`	Unita
`meta_sequenceId_label`	`additional.fields`	Unita
`nhdrs_label`	`additional.fields`	Unita
`intermediary`	`intermediary`	Unita
`inter_hostname`	`intermediary.hostname`	Mappato direttamente
`description`	`metadata.description`	Mappato direttamente
`event_type`	`metadata.event_type`	Rinominate/mappate
`log_event`	`metadata.product_event_type`	Mappato direttamente
`sequenceId`	`metadata.product_log_id`	Mappato direttamente
`ftpmethod`	`network.ftp.command`	Mappato direttamente
`http_method`	`network.http.method`	Mappato direttamente
`http_response_code`	`network.http.response_code`	Mappato direttamente
`process_name`	`principal.application`	Mappato direttamente
`src_ip`	`principal.ip`	Unita
`srcip`	`principal.ip`	Unita
`src_port`	`principal.port`	Mappato direttamente
`srcport`	`principal.port`	Mappato direttamente
`sec_result`	`security_result`	Unita
`sshd`	`target.application`	Mappato direttamente
`filename`	`target.file.full_path`	Mappato direttamente
`file_size`	`target.file.size`	Rinominate/mappate
`dest_ip`	`target.ip`	Unita
`dstip`	`target.ip`	Unita
`vs`	`target.ip`	Unita
`dest_port`	`target.port`	Mappato direttamente
`dstport`	`target.port`	Mappato direttamente
`vs_port`	`target.port`	Mappato direttamente
`pid`	`target.process.pid`	Mappato direttamente
`http_path`	`target.url`	Mappato direttamente
`resource`	`target.url`	Mappato direttamente
`user`	`target.user.userid`	Mappato direttamente
N/D	`additional.fields`	Costante: `meta_sequenceId_label`
N/D	`extensions.auth.type`	Costante: `AUTHTYPE_UNSPECIFIED`
N/D	`intermediary`	Costante: `intermediary`
N/D	`metadata.event_type`	Costante: `GENERIC_EVENT`
N/D	`metadata.product_name`	Costante: `KEMP_LOADBALANCER`
N/D	`metadata.vendor_name`	Costante: `KEMP`
N/D	`network.application_protocol`	Costante: `HTTP`
N/D	`principal.ip`	Costante: `src_ip`
N/D	`security_result`	Costante: `sec_result`
N/D	`target.ip`	Costante: `dest_ip`
`meta_sequenceId`	`event.idm.read_only_udm.additional.fields`	Mappato dal log delle modifiche
`event_type`	`USER_UNCATEGORIZED`	Mappato dal log delle modifiche

Per saperne di più sulla mappatura dei campi del parser, consulta il riferimento al parser KEMP_LOADBALANCER.

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.