Collecter les journaux de commutateur Ubiquiti Unifi

Compatible avec :

Google SecOps SIEM

Remarque : Cette fonctionnalité est couverte par les Conditions des offres avant disponibilité générale des conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Instructions relatives aux services d'assistance technique Google SecOps et les Conditions spécifiques du service Google SecOps.

Ce document explique comment ingérer les journaux de commutateur Ubiquiti Unifi dans Google Security Operations à l'aide de Bindplane. L'analyseur extrait les champs des messages syslog à l'aide de modèles Grok, ce qui convertit les données de journal brutes en un format structuré conforme au modèle UDM (Unified Data Model). Il gère différents formats de journaux, extrait des informations clés telles que les codes temporels, les noms d'hôte, les descriptions et les détails du réseau, et enrichit les données avec un contexte supplémentaire avant de les fusionner dans l'événement UDM final.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Une instance Google SecOps
• Un hôte Windows 2016 ou version ultérieure, ou Linux avec systemd
• Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
• Accès privilégié à l'interface utilisateur du contrôleur Ubiquiti

Obtenir le fichier d'authentification d'ingestion Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres du SIEM > Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM> Profil.
3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de fenêtres

1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

2. Exécutez la commande suivante :

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installation de Linux

1. Ouvrez un terminal avec les droits root ou sudo.

2. Exécutez la commande suivante :

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Autres ressources d'installation

• Pour plus d'options d'installation, consultez ce guide d'installation.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

1. Accédez au fichier de configuration :

   1. Trouvez le fichier config.yaml. Il se trouve généralement dans le répertoire /etc/bindplane-agent/ sous Linux ou dans le répertoire d'installation sous Windows.
   2. Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou le Bloc-notes).

2. Modifiez le fichier config.yaml comme suit :

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <CUSTOMER_ID>
       endpoint: malachiteingestion-pa.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'UBIQUITI_SWITCH'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
   • Remplacez <CUSTOMER_ID par le numéro client réel.
   • Mettez à jour /path/to/ingestion-authentication-file.json en indiquant le chemin d'accès où le fichier d'authentification a été enregistré dans la section Obtenir le fichier d'authentification pour l'ingestion Google SecOps.

Redémarrez l'agent Bindplane pour appliquer les modifications.

• Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

  sudo systemctl restart bindplane-agent
  

• Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurer le commutateur Ubiquiti pour envoyer le syslog du plan de contrôle

1. Connectez-vous à l'interface utilisateur UniFi Controller.
2. Ouvrez Unifi Network.
3. Accédez à Paramètres> Plan de contrôle> onglet "Intégrations".
4. Accédez à la section Journalisation de l'activité (Syslog).
5. Activez l'option Serveur SIEM.
6. Fournissez les informations de configuration suivantes :
   • Cliquez sur Modifier les catégories et ajoutez les catégories de journaux requises.
   • Adresse du serveur : saisissez l'adresse IP de l'agent Bindplane.
   • Port : saisissez le numéro de port de l'agent Bindplane (le protocole UDP est obligatoire).
7. Cliquez sur Appliquer les modifications.

Configurer le commutateur Ubiquiti pour envoyer le syslog CyberSecure

1. Connectez-vous à l'interface utilisateur UniFi Controller.
2. Ouvrez Unifi Network.
3. Accédez à Paramètres> Cyber Secure> onglet "Journalisation du trafic".
4. Accédez à la section Journalisation de l'activité (Syslog).
5. Activez l'option Serveur SIEM.
6. Fournissez les informations de configuration suivantes :
   • Cliquez sur Modifier les catégories et ajoutez les catégories de journaux requises.
   • Adresse du serveur : saisissez l'adresse IP de l'agent Bindplane.
   • Port : saisissez le numéro de port de l'agent Bindplane (le protocole UDP est obligatoire).
   • Désactivez l'option Journaux de débogage.
7. Cliquez sur Appliquer les modifications.

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
anomalies	security_result.detection_fields[].key : "anomalies" security_result.detection_fields[].value : valeur anomalies du journal	Directement mappé à partir du champ anomalies dans le journal brut.
application	observer.application	Directement mappé à partir du champ application dans le journal brut.
assoc_status	security_result.detection_fields[].key : "assoc_status" security_result.detection_fields[].value : valeur assoc_status du journal	Directement mappé à partir du champ assoc_status dans le journal brut.
asset_details	observer.asset.product_object_id : extrait à l'aide du modèle Grok %{GREEDYDATA:asset_id},%{GREEDYDATA:asset_version} asset_software.version : extrait à l'aide du modèle Grok %{GREEDYDATA:asset_id},%{GREEDYDATA:asset_version}	Le champ asset_details est analysé à l'aide d'un modèle Grok pour extraire asset_id et asset_version.
asset_id	observer.asset.product_object_id	Mappé directement à partir du champ asset_id extrait de asset_details.
asset_version	observer.asset.software.version	Mappé directement à partir du champ asset_version extrait de asset_details.
bssid	principal.mac	Directement mappé à partir du champ bssid dans le journal brut.
description	metadata.description	Directement mappé à partir du champ description dans le journal brut.
device	metadata.product_name	Directement mappé à partir du champ device dans le journal brut. Si device n'est pas présent, la valeur "UBIQUITI_SWITCH" est utilisée.
dns_resp_seen	security_result.detection_fields[].key : "dns_resp_seen" security_result.detection_fields[].value : valeur dns_resp_seen du journal	Directement mappé à partir du champ dns_resp_seen dans le journal brut.
DST	target.ip	Directement mappé à partir du champ DST dans le journal brut.
DPT	principal.port	Directement mappé à partir du champ DPT du journal brut après conversion en entier.
event_type	security_result.detection_fields[].key : "event_type" security_result.detection_fields[].value : valeur event_type du journal	Directement mappé à partir du champ event_type dans le journal brut.
host	principal.hostname	Directement mappé à partir du champ host dans le journal brut.
ID	additional.fields[].key : "ID" additional.fields[].value.string_value : valeur ID du journal	Directement mappé à partir du champ ID dans le journal brut.
IN	additional.fields[].key : "IN" additional.fields[].value.string_value : valeur IN du journal	Directement mappé à partir du champ IN dans le journal brut.
interface	additional.fields[].key : "interface" additional.fields[].value.string_value : valeur interface du journal	Directement mappé à partir du champ interface dans le journal brut.
LEN	additional.fields[].key : "LEN" additional.fields[].value.string_value : valeur LEN du journal	Directement mappé à partir du champ LEN dans le journal brut.
mac	principal.mac	Directement mappé à partir du champ mac dans le journal brut.
metadata.event_type	metadata.event_type	D'après la logique de l'analyseur. Défini sur "STATUS_SHUTDOWN" si state est "Down", "STATUS_STARTUP" si state est "Up", "STATUS_UPDATE" si kv_msg et DST sont présents ou si principal_present est défini sur "true", et "GENERIC_EVENT" dans le cas contraire.
metadata.log_type	metadata.log_type : "UBIQUITI_SWITCH"	Valeur constante définie par l'analyseur.
metadata.vendor_name	metadata.vendor_name : "UBIQUITI"	Valeur constante définie par l'analyseur.
principal_ip	principal.ip	Directement mappé à partir du champ principal_ip dans le journal brut.
process_id	observer.process.pid	Directement mappé à partir du champ process_id dans le journal brut.
product_event_type	metadata.product_event_type	Directement mappé à partir du champ product_event_type dans le journal brut.
PROTO	network.ip_protocol	Directement mappé à partir du champ PROTO dans le journal brut. Si PROTO est défini sur "ICMPv6", la valeur est remplacée par "ICMP".
query_1	target.administrative_domain	Directement mappé à partir du champ query_1 dans le journal brut.
query_server_1	target.ip	Directement mappé à partir du champ query_server_1 dans le journal brut.
radio	security_result.detection_fields[].key : "radio" security_result.detection_fields[].value : valeur radio du journal	Directement mappé à partir du champ radio dans le journal brut.
satisfaction_now	security_result.detection_fields[].key : "satisfaction_now" security_result.detection_fields[].value : valeur satisfaction_now du journal	Directement mappé à partir du champ satisfaction_now dans le journal brut.
source_port	principal.port	Directement mappé à partir du champ source_port du journal brut après conversion en entier.
SPT	target.port	Directement mappé à partir du champ SPT du journal brut après conversion en entier.
SRC	principal.ip, principal.hostname	Directement mappé à partir du champ SRC dans le journal brut.
sta	principal.mac	Directement mappé à partir du champ sta dans le journal brut.
state	additional.fields[].key : "state" additional.fields[].value.string_value : valeur state du journal	Directement mappé à partir du champ state dans le journal brut.
timestamp	metadata.event_timestamp	Mappé directement à partir du champ timestamp du journal brut après avoir été analysé par le filtre de date.
TTL	additional.fields[].key : "TTL" additional.fields[].value.string_value : valeur TTL du journal	Directement mappé à partir du champ TTL dans le journal brut.
vap	metadata.ingestion_labels[].key : "Vap" metadata.ingestion_labels[].value : valeur vap du journal	Directement mappé à partir du champ vap dans le journal brut.
version	metadata.product_version	Directement mappé à partir du champ version dans le journal brut.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.