Raccogliere i log dello switch Ubiquiti Unifi

Supportato in:

Google secops SIEM

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini di servizio specifici del servizio Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per saperne di più, consulta le linee guida per i servizi di assistenza tecnica di Google SecOps e i Termini di servizio specifici di Google SecOps.

Questo documento spiega come importare i log dello switch Ubiquiti Unifi in Google Security Operations utilizzando Bindplane. Il parser estrae i campi dai messaggi syslog utilizzando i pattern grok, convertendo i dati di log non elaborati in un formato strutturato conforme a Unified Data Model (UDM). Gestisce vari formati di log, estrae informazioni chiave come timestamp, nomi host, descrizioni e dettagli di rete e arricchisce i dati con un contesto aggiuntivo prima di unirli all'evento UDM finale.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Un host Windows 2016 o versioni successive o Linux con systemd
• Se l'agente viene eseguito dietro un proxy, assicurati che le porte firewall siano aperte in base ai requisiti dell'agente BindPlane
• Accesso privilegiato alla UI del controller Ubiquiti

Recuperare il file di autenticazione importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi di root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

• Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:

   1. Individua il file config.yaml. In genere si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
   2. Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <CUSTOMER_ID>
       endpoint: malachiteingestion-pa.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'UBIQUITI_SWITCH'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.
   • Sostituisci <CUSTOMER_ID con l'ID cliente effettivo.
   • Aggiorna /path/to/ingestion-authentication-file.json al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart bindplane-agent
  

• Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configura lo switch Ubiquiti per inviare il syslog del control plane

1. Accedi all'interfaccia utente di Unifi Controller.
2. Apri Unifi Network.
3. Vai a Impostazioni > Control Plane > scheda Integrazioni.
4. Trova la sezione Registrazione attività (Syslog).
5. Attiva l'opzione SIEM Server.
6. Fornisci i seguenti dettagli di configurazione:
   • Fai clic su Modifica categorie e aggiungi le categorie di log richieste.
   • Indirizzo server: inserisci l'indirizzo IP dell'agente Bindplane.
   • Porta: inserisci il numero di porta dell'agente Bindplane (è richiesto UDP).
7. Fai clic su Applica modifiche.

Configura lo switch Ubiquiti per inviare Syslog di CyberSecure

1. Accedi all'interfaccia utente di Unifi Controller.
2. Apri Unifi Network.
3. Vai a Impostazioni > CyberSecure > scheda Registrazione traffico.
4. Trova la sezione Registrazione attività (Syslog).
5. Attiva l'opzione SIEM Server.
6. Fornisci i seguenti dettagli di configurazione:
   • Fai clic su Modifica categorie e aggiungi le categorie di log richieste.
   • Indirizzo server: inserisci l'indirizzo IP dell'agente Bindplane.
   • Porta: inserisci il numero di porta dell'agente Bindplane (è richiesto UDP).
   • Disattiva Log di debug.
7. Fai clic su Applica modifiche.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logic
anomalies	security_result.detection_fields[].key: "anomalie" security_result.detection_fields[].value: valore anomalies dal log	Mappato direttamente dal campo anomalies nel log non elaborato.
application	observer.application	Mappato direttamente dal campo application nel log non elaborato.
assoc_status	security_result.detection_fields[].key: "assoc_status" security_result.detection_fields[].value: assoc_status value from the log	Mappato direttamente dal campo assoc_status nel log non elaborato.
asset_details	observer.asset.product_object_id: estratto utilizzando il pattern Grok %{GREEDYDATA:asset_id},%{GREEDYDATA:asset_version} asset_software.version: estratto utilizzando il pattern Grok %{GREEDYDATA:asset_id},%{GREEDYDATA:asset_version}	Il campo asset_details viene analizzato utilizzando un pattern grok per estrarre asset_id e asset_version.
asset_id	observer.asset.product_object_id	Mappato direttamente dal campo asset_id estratto da asset_details.
asset_version	observer.asset.software.version	Mappato direttamente dal campo asset_version estratto da asset_details.
bssid	principal.mac	Mappato direttamente dal campo bssid nel log non elaborato.
description	metadata.description	Mappato direttamente dal campo description nel log non elaborato.
device	metadata.product_name	Mappato direttamente dal campo device nel log non elaborato. Se device non è presente, viene utilizzato il valore "UBIQUITI_SWITCH".
dns_resp_seen	security_result.detection_fields[].key: "dns_resp_seen" security_result.detection_fields[].value: valore dns_resp_seen dal log	Mappato direttamente dal campo dns_resp_seen nel log non elaborato.
DST	target.ip	Mappato direttamente dal campo DST nel log non elaborato.
DPT	principal.port	Mappato direttamente dal campo DPT nel log non elaborato dopo la conversione in un numero intero.
event_type	security_result.detection_fields[].key: "event_type" security_result.detection_fields[].value: valore event_type del log	Mappato direttamente dal campo event_type nel log non elaborato.
host	principal.hostname	Mappato direttamente dal campo host nel log non elaborato.
ID	additional.fields[].key: "ID" additional.fields[].value.string_value: valore ID del log	Mappato direttamente dal campo ID nel log non elaborato.
IN	additional.fields[].key: "IN" additional.fields[].value.string_value: valore IN del log	Mappato direttamente dal campo IN nel log non elaborato.
interface	additional.fields[].key: "interface" additional.fields[].value.string_value: interface value from the log	Mappato direttamente dal campo interface nel log non elaborato.
LEN	additional.fields[].key: "LEN" additional.fields[].value.string_value: valore LEN del log	Mappato direttamente dal campo LEN nel log non elaborato.
mac	principal.mac	Mappato direttamente dal campo mac nel log non elaborato.
metadata.event_type	metadata.event_type	Derivato dalla logica del parser. Impostato su "STATUS_SHUTDOWN" se state è "Down", "STATUS_STARTUP" se state è "Up", "STATUS_UPDATE" se kv_msg e DST sono presenti o principal_present è true e "GENERIC_EVENT" in caso contrario.
metadata.log_type	metadata.log_type: "UBIQUITI_SWITCH"	Valore costante impostato dal parser.
metadata.vendor_name	metadata.vendor_name: "UBIQUITI"	Valore costante impostato dal parser.
principal_ip	principal.ip	Mappato direttamente dal campo principal_ip nel log non elaborato.
process_id	observer.process.pid	Mappato direttamente dal campo process_id nel log non elaborato.
product_event_type	metadata.product_event_type	Mappato direttamente dal campo product_event_type nel log non elaborato.
PROTO	network.ip_protocol	Mappato direttamente dal campo PROTO nel log non elaborato. Se PROTO è "ICMPv6", il valore viene modificato in "ICMP".
query_1	target.administrative_domain	Mappato direttamente dal campo query_1 nel log non elaborato.
query_server_1	target.ip	Mappato direttamente dal campo query_server_1 nel log non elaborato.
radio	security_result.detection_fields[].key: "radio" security_result.detection_fields[].value: valore radio dal log	Mappato direttamente dal campo radio nel log non elaborato.
satisfaction_now	security_result.detection_fields[].key: "satisfaction_now" security_result.detection_fields[].value: satisfaction_now value from the log	Mappato direttamente dal campo satisfaction_now nel log non elaborato.
source_port	principal.port	Mappato direttamente dal campo source_port nel log non elaborato dopo la conversione in un numero intero.
SPT	target.port	Mappato direttamente dal campo SPT nel log non elaborato dopo la conversione in un numero intero.
SRC	principal.ip, principal.hostname	Mappato direttamente dal campo SRC nel log non elaborato.
sta	principal.mac	Mappato direttamente dal campo sta nel log non elaborato.
state	additional.fields[].key: "state" additional.fields[].value.string_value: state value from the log	Mappato direttamente dal campo state nel log non elaborato.
timestamp	metadata.event_timestamp	Mappato direttamente dal campo timestamp nel log non elaborato dopo l'analisi del filtro per data.
TTL	additional.fields[].key: "TTL" additional.fields[].value.string_value: valore TTL del log	Mappato direttamente dal campo TTL nel log non elaborato.
vap	metadata.ingestion_labels[].key: "Vap" metadata.ingestion_labels[].value: valore vap del log	Mappato direttamente dal campo vap nel log non elaborato.
version	metadata.product_version	Mappato direttamente dal campo version nel log non elaborato.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.