Recopila registros de SAN de NetApp ONTAP

Se admite en los siguientes sistemas operativos:

En este documento, se explica cómo transferir registros de SAN de NetApp ONTAP a Google Security Operations con Bindplane. NetApp ONTAP es una plataforma de software de administración de datos para sistemas de almacenamiento que proporciona servicios de SAN (red de área de almacenamiento), incluido el almacenamiento a nivel de bloque con los protocolos iSCSI, Fibre Channel y NVMe over Fabrics. Los registros de la SAN de ONTAP capturan eventos relacionados con las operaciones de LUN, la administración de grupos de iniciadores, los cambios de estado de los puertos y las actividades de acceso al almacenamiento.

Para obtener más información, consulta Cómo recopilar registros de SAN de NetApp.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Es una instancia de Google SecOps.
  • Un host de Windows 2016 o posterior, o Linux con systemd
  • Conectividad de red: Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
  • Tiene acceso privilegiado a la interfaz de administración de clústeres de NetApp ONTAP (ONTAP System Manager o CLI).
  • ONTAP 9.x o versiones posteriores que se ejecutan en el sistema de almacenamiento

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agente de recopilación.
  3. Descarga el archivo de autenticación de transferencia.
    • Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el comando siguiente:

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el comando siguiente:

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta esta guía de instalación.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:

    • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /opt/observiq-otel-collector/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/netapp_san:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: NETAPP_SAN
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/netapp_san_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/netapp_san
  • Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.
  • Reemplaza <CUSTOMER_ID> por el ID de cliente real.
  • Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso en la que se guardó el archivo de autenticación.

Reinicia el agente de Bindplane para aplicar los cambios

  1. Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart observiq-otel-collector

  2. Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

    net stop observiq-otel-collector && net start observiq-otel-collector

Configura el reenvío de Syslog en NetApp ONTAP

Configura Syslog con la CLI de ONTAP

  1. Conéctate a la LIF de administración del clúster de NetApp ONTAP con SSH.

  2. Ingresa el siguiente comando para ver los destinos actuales de las notificaciones de eventos:

    cluster1::> event notification destination show

  3. Crea un destino de notificación de syslog que apunte al agente de Bindplane:

    cluster1::> event notification destination create -name bindplane-syslog -syslog <BINDPLANE_IP_ADDRESS> -syslog-port 514 -syslog-transport udp-unencrypted
    • Reemplaza <BINDPLANE_IP_ADDRESS> por la dirección IP del host del agente de Bindplane.

  4. Crea una notificación de eventos para reenviar los eventos del EMS al destino de syslog:

    cluster1::> event notification create -filter-name default-trap-events -destinations bindplane-syslog

  5. (Opcional) Crea un filtro personalizado para incluir todos los eventos:

    cluster1::> event filter create -filter-name all-events
cluster1::> event filter rule add -filter-name all-events -type include -message-name * -severity <=NOTICE
cluster1::> event notification create -filter-name all-events -destinations bindplane-syslog

  6. Verifica la configuración:

    cluster1::> event notification destination show
cluster1::> event notification show

Configura syslog con ONTAP System Manager

  1. Accede a ONTAP System Manager.
  2. Ve a Eventos y trabajos > Eventos > Notificaciones de eventos de EMS.
  3. Haz clic en Agregar para crear un destino de notificación.
  4. Proporciona los siguientes detalles de configuración:
    • Nombre: Ingresa bindplane-syslog.
    • Tipo: Selecciona Syslog.
    • Servidor Syslog: Ingresa la dirección IP del host del agente de Bindplane.
    • Puerto: Ingresa 514.
    • Protocolo de transporte: Selecciona UDP.
  5. Haz clic en Guardar.
  6. Crea una regla de notificación de eventos y asóciala con el destino bindplane-syslog.
  7. Selecciona el filtro de eventos (por ejemplo, default-trap-events o un filtro personalizado).
  8. Haz clic en Guardar.

Para obtener más información, consulta la documentación de configuración de EMS de NetApp ONTAP.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
desc metadata.description Asignado directamente
datetime metadata.event_timestamp Se analizó como MMM d HH:mm:ss
ip principal.ip Combinado
port principal.port Asignado directamente
userid principal.user.userid Asignado directamente
sr security_result Combinado
N/A metadata.event_type Constante: STATUS_UPDATE
N/A metadata.product_name Constante: Storage Area Network
N/A metadata.vendor_name Constante: NetApp

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.