收集 Sophos DHCP 記錄
支援的國家/地區：
Google SecOps
SIEM
本文說明如何使用 Bindplane，將 Sophos 動態主機設定通訊協定 (DHCP) 記錄檔擷取至 Google Security Operations。剖析器會先將 Sophos DHCP syslog 訊息正規化為鍵/值結構，然後將擷取的欄位對應至 Unified Data Model (UDM) 結構定義。這個函式會處理不同類型的 DHCP 訊息 (DHCPREQUEST、DHCPACK、DHCPOFFER、DHCPNAK)，並擷取 IP 位址、MAC 位址和 DHCP 選項等相關資訊。
事前準備
請確認您已完成下列事前準備事項：
- Google SecOps 執行個體。
- 搭載
systemd的 Windows 2016 以上版本或 Linux 主機。 - 如果透過 Proxy 執行，請確認防火牆通訊埠已根據 Bindplane 代理程式需求開啟。
- Sophos UTM 管理控制台或 Sophos Firewall (SFOS) Web Admin 控制台的特殊存取權。
取得 Google SecOps 擷取驗證檔案
- 登入 Google SecOps 控制台。
- 依序前往「SIEM 設定」>「收集代理程式」。
- 下載擷取驗證檔案。
- 將檔案安全地儲存在要安裝 Bindplane 的系統上。
取得 Google SecOps 客戶 ID
- 登入 Google SecOps 控制台。
- 依序前往「SIEM 設定」>「設定檔」。
- 複製並儲存「機構詳細資料」專區中的客戶 ID。
安裝 Bindplane 代理程式
請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。
Windows 安裝
- 以管理員身分開啟「命令提示字元」或「PowerShell」。
執行下列指令：
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
Linux 安裝
- 開啟具有根層級或 sudo 權限的終端機。
執行下列指令：
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
其他安裝資源
如需其他安裝選項，請參閱安裝指南。
設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps
- 存取設定檔：
- 找出
config.yaml檔案。通常位於 Linux 的/etc/bindplane-agent/目錄，或 Windows 的安裝目錄。 - 使用文字編輯器 (例如
nano、vi或記事本) 開啟檔案。
- 找出
按照下列方式編輯
config.yaml檔案：receivers: udplog: # Replace the port and IP address as required listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the path to the credentials file you downloaded in Step 1 creds_file_path: '/path/to/ingestion-authentication-file.json' # Replace with your actual customer ID from Step 2 customer_id: <CUSTOMER_ID> endpoint: malachiteingestion-pa.googleapis.com # Add optional ingestion labels for better organization log_type: 'SOPHOS_DHCP' raw_log_field: body ingestion_labels: service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels
重新啟動 Bindplane 代理程式，以套用變更
如要在 Linux 中重新啟動 BindPlane 代理程式，請執行下列指令：
sudo systemctl restart observiq-otel-collector如要在 Windows 中重新啟動 BindPlane 代理程式，可以使用「服務」控制台，或輸入下列指令：
sc stop observiq-otel-collector && sc start observiq-otel-collector
選項 2：在 Sophos 防火牆上設定 Syslog 轉送功能
- 登入 Sophos Firewall Web 管理控制台。
- 依序前往「設定」>「系統服務」>「記錄設定」。
- 按一下「新增」，設定系統記錄檔伺服器。
- 提供下列設定詳細資料：
- 名稱：輸入 Google SecOps 收集器的專屬名稱 (例如
Google SecOps BindPlane DHCP)。 - IP 位址/網域：輸入 BindPlane IP 位址。
- 「Port」(通訊埠)：輸入 BindPlane 通訊埠編號 (例如
514)。 - 設施：選取「DAEMON」。
- 嚴重性等級：選取「資訊」。
- 格式：選取「裝置標準格式」。
- 名稱：輸入 Google SecOps 收集器的專屬名稱 (例如
- 按一下 [儲存]。
- 返回「記錄設定」頁面，然後選取要轉送至系統記錄伺服器的特定記錄類型。
- 選取包含 DHCP 事件的適當記錄類別。DHCP 記錄是由 dhcpd 服務產生，屬於網路或系統記錄的一部分，啟用對應的記錄類別時，系統會轉送這些記錄。
- 按一下「套用」，儲存設定。
方法 1：在 Sophos UTM 上設定 Syslog 轉送
- 登入 Sophos UTM 管理控制台。
- 依序前往「記錄與報表」>「記錄設定」>「遠端系統記錄伺服器」。
- 按一下切換按鈕，啟用遠端系統記錄。「遠端系統記錄設定」區域會變成可編輯狀態。
- 在「Syslog servers」(系統記錄伺服器) 欄位中，按一下「+ Add syslog server」(新增系統記錄伺服器)。
- 在「新增系統記錄伺服器」對話方塊中，提供下列設定詳細資料：
- 名稱：輸入描述性名稱 (例如
Google SecOps BindPlane DHCP)。 - 伺服器：按一下「伺服器」欄位旁的 + (加號) 圖示。從「網路定義」建立或選取「主機」，並輸入 BindPlane 代理程式 IP 位址，然後按一下「儲存」。
- 通訊埠：按一下「通訊埠」欄位旁的「+」 (加號) 圖示。建立或選取具有適當通訊協定和通訊埠的「服務定義」 (例如 UDP/514)，然後按一下「儲存」。
- 名稱：輸入描述性名稱 (例如
- 在「新增 Syslog 伺服器」對話方塊中，按一下「儲存」。
- 按一下「遠端系統記錄設定」部分中的「套用」。
- 選用：調整「遠端系統記錄緩衝區」設定 (預設為 1000 行)，然後按一下「套用」。
- 在「Remote Syslog Log Selection」(遠端系統記錄檔選取) 專區中，選取「DHCP Server」(DHCP 伺服器) 和所需記錄檔類別。
- 按一下「套用」，儲存記錄選取設定。
UDM 對應表
| 記錄欄位 | UDM 對應 | 邏輯 |
|---|---|---|
| 動作 | event.idm.read_only_udm.security_result.action_details | |
| attr_address | event.idm.read_only_udm.target.ip | |
| attr_addresses | event.idm.read_only_udm.target.ip | |
| call | event.idm.read_only_udm.security_result.summary | |
| 用戶端 | event.idm.read_only_udm.principal.hostname | |
| 用戶端 | event1.idm.read_only_udm.principal.hostname | |
| 資料 | ||
| dstip | event.idm.read_only_udm.target.ip | |
| dstmac | event.idm.read_only_udm.target.mac | |
| dstport | event.idm.read_only_udm.target.port | |
| fwrule | event.idm.read_only_udm.security_result.rule_id | |
| id | event.idm.read_only_udm.metadata.product_event_type | 與「ulogd -」串連 |
| id | event1.idm.read_only_udm.metadata.product_event_type | 與「ID -」串連 |
| 資訊 | event.idm.read_only_udm.security_result.description | |
| initf | event.idm.read_only_udm.security_result.about.labels.value | 金鑰已硬式編碼為 In Interface |
| msg | event.idm.read_only_udm.metadata.description | 當 process_type 不是 confd 或 ulogd 時 |
| 名稱 | event.idm.read_only_udm.security_result.description | |
| objname | event.idm.read_only_udm.principal.resource.name | |
| oldattr_address | event.idm.read_only_udm.principal.ip | |
| oldattr_addresses | event.idm.read_only_udm.principal.ip | |
| outitf | event.idm.read_only_udm.security_result.about.labels.value | 金鑰已硬式編碼為 Out Interface |
| pid | event.idm.read_only_udm.principal.process.pid | |
| proto | event.idm.read_only_udm.network.ip_protocol | |
| 嚴重性 | event.idm.read_only_udm.security_result.severity | 如果嚴重程度為 info 或 debug，則 security_result.severity 為 INFORMATIONAL。如果嚴重程度為 warn，則 security_result.severity 為 MEDIUM |
| 嚴重性 | event1.idm.read_only_udm.security_result.severity | 如果嚴重程度為 info 或 debug，則 security_result.severity 為 INFORMATIONAL。如果嚴重程度為 warn，則 security_result.severity 為 MEDIUM |
| sid | event.idm.read_only_udm.security_result.about.labels.value | 金鑰已硬式編碼為 sid |
| src_host | event.idm.read_only_udm.principal.hostname | 當 process_type 為 dhcpd，且 dhcp_type 為 DHCPREQUEST、DHCPACK 或 DHCPOFFER 時 |
| src_host | event.idm.read_only_udm.observer.hostname | 當 process_type 為 dhcpd 且 dhcp_type 為 DHCPREQUEST 時 |
| src_host | event.idm.read_only_udm.network.dhcp.client_hostname | 當 process_type 為 dhcpd，且 dhcp_type 為 DHCPACK 或 DHCPOFFER 時 |
| src_ip | event.idm.read_only_udm.network.dhcp.ciaddr | 當 process_type 為 dhcpd 且 dhcp_type 為 DHCPREQUEST 時 |
| src_ip | event.idm.read_only_udm.network.dhcp.yiaddr | 當 process_type 為 dhcpd，且 dhcp_type 為 DHCPACK、DHCPOFFER 或 DHCPNAK 時 |
| src_ip | event.idm.read_only_udm.principal.ip | 當 process_type 為 dhcpd，且 dhcp_type 為 DHCPREQUEST、DHCPACK、DHCPOFFER 或 DHCPNAK 時 |
| src_ip | event.idm.read_only_udm.observer.ip | 當 process_type 為 dhcpd，且 dhcp_type 為 DHCPREQUEST、DHCPACK 或 DHCPOFFER 時 |
| src_mac | event.idm.read_only_udm.network.dhcp.chaddr | 當 process_type 為 dhcpd，且 dhcp_type 為 DHCPREQUEST、DHCPACK、DHCPOFFER 或 DHCPNAK 時 |
| src_mac | event.idm.read_only_udm.principal.mac | 當 process_type 為 dhcpd，且 dhcp_type 為 DHCPREQUEST、DHCPACK、DHCPOFFER 或 DHCPNAK 時 |
| srcip | event.idm.read_only_udm.principal.ip | |
| srcip | event1.idm.read_only_udm.principal.ip | |
| srcmac | event.idm.read_only_udm.principal.mac | |
| srcport | event.idm.read_only_udm.principal.port | |
| sub | event.idm.read_only_udm.metadata.description | |
| sub | event1.idm.read_only_udm.metadata.description | |
| tcpflags | event.idm.read_only_udm.security_result.about.labels.value | 金鑰已硬式編碼為 TCP Flags |
| 使用者 | event.idm.read_only_udm.principal.user.userid | |
| 使用者 | event1.idm.read_only_udm.principal.user.userid | |
| event.idm.read_only_udm.metadata.event_type | 如果未設定其他 event_type，則為 GENERIC_EVENT。如果 srcip 和 dstip 不是空白，則為 NETWORK_CONNECTION。RESOURCE_WRITTEN (如果名稱為 object changed)。如果 process_type 為 dhcpd，則為 NETWORK_DHCP |
|
| event.idm.read_only_udm.metadata.log_type | 硬式編碼為 SOPHOS_DHCP |
|
| event.idm.read_only_udm.metadata.product_name | 硬式編碼為 SOPHOS_DHCP |
|
| event.idm.read_only_udm.metadata.vendor_name | 硬式編碼為 SOPHOS |
|
| event.idm.read_only_udm.network.application_protocol | 如果 process_type 為 dhcpd，則硬式編碼為 DHCP |
|
| event.idm.read_only_udm.network.dhcp.opcode | 當 process_type 為 dhcpd 且 dhcp_type 為 DHCPREQUEST 時，會硬式編碼為 BOOTREQUEST。當 process_type 為 dhcpd，且 dhcp_type 為 DHCPACK、DHCPOFFER 或 DHCPNAK 時，會硬式編碼為 BOOTREPLY |
|
| event.idm.read_only_udm.network.dhcp.type | 如果 process_type 為 dhcpd，且 dhcp_type 為 DHCPREQUEST，則為必填欄位。REQUEST如果 process_type 為 dhcpd，且 dhcp_type 為 DHCPACK，則為必填欄位。ACK如果 process_type 為 dhcpd，且 dhcp_type 為 DHCPOFFER，則為必填欄位。OFFERNAK when process_type is dhcpd and dhcp_type is DHCPNAK |
|
| event1.idm.read_only_udm.metadata.event_type | 硬式編碼為 GENERIC_EVENT |
|
| event1.idm.read_only_udm.metadata.log_type | 硬式編碼為 SOPHOS_DHCP |
|
| event1.idm.read_only_udm.metadata.product_name | 硬式編碼為 SOPHOS_DHCP |
|
| event1.idm.read_only_udm.metadata.vendor_name | 硬式編碼為 SOPHOS |
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。