Abbiamo riorganizzato la struttura di navigazione della documentazione per allinearla direttamente ai tuoi flussi di lavoro operativi. Per ulteriori informazioni, consulta le note di rilascio e il video dimostrativo.

Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Raccogli i log WAF di VMware Avi Load Balancer

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log WAF di VMware Avi Load Balancer in Google Security Operations utilizzando l'agente Bindplane.

VMware Avi Load Balancer (in precedenza Avi Networks) è un controller di distribuzione delle applicazioni che genera messaggi syslog per eventi WAF, log di connessione client e attività di servizi virtuali. Il parser estrae i campi dai log formattati in syslog e li mappa al modello Unified Data Model (UDM).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

Un'istanza Google SecOps
Windows Server 2016 o versioni successive oppure host Linux con systemd
Connettività di rete tra l'agente Bindplane e il controller AVI
Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
Accesso privilegiato a VMware AVI Load Balancer

Recuperare il file di autenticazione importazione di Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Agenti di raccolta.
Scarica il file di autenticazione importazione.
Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Nota :questo file JSON contiene le credenziali per l'autenticazione dell'agente Bindplane in Google SecOps.

Recuperare l'ID cliente Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Profilo.
Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Nota: l'ID cliente è necessario per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

Apri Prompt dei comandi o PowerShell come amministratore.

Esegui questo comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendi il completamento dell'installazione.
Verifica l'installazione eseguendo:
```
sc query observiq-otel-collector
```
Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

Apri un terminale con privilegi di root o sudo.

Esegui questo comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Attendi il completamento dell'installazione.
Verifica l'installazione eseguendo:
```
sudo systemctl status observiq-otel-collector
```
Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/vmware_avinetworks_iwaf:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: VMWARE_AVINETWORKS_IWAF
        raw_log_field: body

service:
    pipelines:
        logs/vmware_avinetworks_iwaf_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/vmware_avinetworks_iwaf

Parametri di configurazione

Sostituisci i seguenti segnaposto:

Configurazione del ricevitore:
- listen_address: Indirizzo IP e porta da ascoltare:
  - 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
  - La porta 514 è la porta syslog standard (richiede l'accesso root su Linux; utilizza 1514 per l'accesso non root)
Configurazione dell'esportatore:
- creds_file_path: percorso completo del file di autenticazione importazione:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: ID cliente copiato dalla console Google SecOps
- endpoint: URL endpoint regionale:
  - Stati Uniti: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Per un elenco completo, vedi Endpoint regionali.

Salvare il file di configurazione

Dopo la modifica, salva il file:
- Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
- Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux, esegui questo comando:
```
sudo systemctl restart observiq-otel-collector
```
1. Verifica che il servizio sia in esecuzione:
```
sudo systemctl status observiq-otel-collector
```
2. Controlla i log per individuare eventuali errori:
```
sudo journalctl -u observiq-otel-collector -f
```
Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:
- Prompt dei comandi o PowerShell come amministratore:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console Services:
  1. Premi Win+R, digita services.msc e premi Invio.
  2. Individua observIQ OpenTelemetry Collector.
  3. Fai clic con il tasto destro del mouse e seleziona Riavvia.
  4. Verifica che il servizio sia in esecuzione:
```
sc query observiq-otel-collector
```
  5. Controlla i log per individuare eventuali errori:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configura la registrazione esterna per VMware AVI WAF

Accedi all'interfaccia utente web del controller AVI.
Vai a Modelli > Profili > Analytics.
Crea un nuovo o seleziona un profilo Analytics preesistente da modificare.
Nella schermata Modifica profilo Analytics, seleziona la scheda Log client.
Scorri fino alla sezione Logging esterno e seleziona la casella di controllo Trasmetti log a un server esterno.
Fornisci i seguenti dettagli di configurazione:
- Protocollo di streaming dei log: seleziona UDP.
- Porta predefinita: inserisci 514.
- Tipi di log da trasmettere in streaming: seleziona Tutti i log.
- Fai clic sul pulsante Aggiungi nella sezione Server.
- Indirizzo IP: inserisci l'indirizzo IP dell'agente Bindplane.
- Porta: inserisci il numero di porta dell'agente Bindplane (ad esempio, 514).
Fai clic su Salva.
Applica le impostazioni ai servizi virtuali per i quali vuoi che i dati di log vengano trasmessi in streaming.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logic
`server_name`	`about.hostname`	Mappato direttamente
`_field`	`additional.fields`	Unita
`additional_field_label`	`additional.fields`	Unita
`cacheable_label`	`additional.fields`	Unita
`compression_label`	`additional.fields`	Unita
`host_label`	`additional.fields`	Unita
`http_version_label`	`additional.fields`	Unita
`is_internal_label`	`additional.fields`	Unita
`key`	`additional.fields`	Mappato: `"all_request_headers_pragma", "all_request_headers_accept", "all_request_headers_co...
`match_element_label`	`additional.fields`	Unita
`match_value_label`	`additional.fields`	Unita
`persistent_session_id_label`	`additional.fields`	Unita
`request_headers_label`	`additional.fields`	Unita
`request_id_label`	`additional.fields`	Unita
`response_content_type_label`	`additional.fields`	Unita
`response_headers_label`	`additional.fields`	Unita
`response_time_first_byte_label`	`additional.fields`	Unita
`response_time_last_byte_label`	`additional.fields`	Unita
`rule_log_msg_label`	`additional.fields`	Unita
`rule_log_phase_label`	`additional.fields`	Unita
`rule_log_rule_group_label`	`additional.fields`	Unita
`rule_log_rule_id_label`	`additional.fields`	Unita
`rule_log_rule_name_label`	`additional.fields`	Unita
`server_connection_reused_label`	`additional.fields`	Unita
`server_response_code_label`	`additional.fields`	Unita
`server_response_length_label`	`additional.fields`	Unita
`server_response_time_first_byte_label`	`additional.fields`	Unita
`server_response_time_last_byte_label`	`additional.fields`	Unita
`server_rtt_label`	`additional.fields`	Unita
`server_side_redirect_uri_label`	`additional.fields`	Unita
`server_ssl_session_id_label`	`additional.fields`	Unita
`servers_tried_label`	`additional.fields`	Unita
`ssl_cipher_label`	`additional.fields`	Unita
`ssl_session_id_label`	`additional.fields`	Unita
`ssl_version_label`	`additional.fields`	Unita
`tag_label`	`additional.fields`	Unita
`value_label`	`additional.fields`	Unita
`waf_log.latency_request_header_phase_label`	`additional.fields`	Unita
`waf_log_latency_request_body_phase_label`	`additional.fields`	Unita
`waf_log_latency_response_body_phase_label`	`additional.fields`	Unita
`waf_log_latency_response_header_phase_label`	`additional.fields`	Unita
`waf_log_rules_configured_label`	`additional.fields`	Unita
`waf_log_rules_executed_label`	`additional.fields`	Unita
`service_engine`	`intermediary.hostname`	Mappato direttamente
`intermediary_ip`	`intermediary.ip`	Unita
`server_src_port`	`intermediary.port`	Mappato direttamente
`report_timestamp`	`metadata.event_timestamp`	Analizzato come `ISO8601`
`timestamp`	`metadata.event_timestamp`	Analizzato come `ISO8601`
`has_principal`	`metadata.event_type`	Mappato: `true` → `NETWORK_HTTP`, `true` → `NETWORK_CONNECTION`, `true` → `STATUS_UPDATE`
`log_id`	`metadata.product_log_id`	Mappato direttamente
`log_id_syslog`	`metadata.product_log_id`	Mappato direttamente
`http_method`	`network.http.method`	Mappato direttamente
`method`	`network.http.method`	Mappato direttamente
`http_user_agent`	`network.http.parsed_user_agent`	Mappato direttamente
`http_referer`	`network.http.referral_url`	Mappato direttamente
`referer`	`network.http.referral_url`	Mappato direttamente
`http_status`	`network.http.response_code`	Mappato direttamente
`response_code`	`network.http.response_code`	Mappato direttamente
`http_user_agent`	`network.http.user_agent`	Mappato direttamente
`user_agent`	`network.http.user_agent`	Mappato direttamente
`http_bytes_received`	`network.received_bytes`	Mappato direttamente
`response_length`	`network.received_bytes`	Mappato direttamente
`http_bytes_sent`	`network.sent_bytes`	Mappato direttamente
`request_length`	`network.sent_bytes`	Mappato direttamente
`client_rtt`	`network.session_duration.seconds`	Mappato direttamente
`duration`	`network.session_duration.seconds`	Mappato direttamente
`server_conn_src_ip`	`observer.ip`	Unita
`client_ip`	`principal.asset.ip`	Unita
`source_ip`	`principal.asset.ip`	Mappato: `client_ip` → `source_ip`
`src_ip`	`principal.asset.ip`	Unita
`client_ip`	`principal.ip`	Unita
`source_ip`	`principal.ip`	Mappato: `client_ip` → `source_ip`
`src_ip`	`principal.ip`	Unita
`client_src_port`	`principal.port`	Mappato direttamente
`user`	`principal.user.userid`	Mappato direttamente
`request_state`	`security_result.description`	Mappato direttamente
`_field`	`security_result.detection_fields`	Unita
`waf_status_label`	`security_result.detection_fields`	Unita
`dest_ip`	`target.asset.ip`	Unita
`server_ip`	`target.asset.ip`	Unita
`vs_ip`	`target.asset.ip`	Unita
`vs_name_syslog`	`target.hostname`	Mappato direttamente
`dest_ip`	`target.ip`	Unita
`server_ip`	`target.ip`	Unita
`vs_ip`	`target.ip`	Unita
`client_dest_port`	`target.port`	Rinominate/mappate
`port`	`target.port`	Mappato direttamente
`server_dest_port`	`target.port`	Rinominate/mappate
`pool_label`	`target.resource.attribute.labels`	Unita
`pool_name_label`	`target.resource.attribute.labels`	Unita
`virtualservice_label`	`target.resource.attribute.labels`	Unita
`redirected_uri`	`target.url`	Mappato direttamente
`uri_query`	`target.url`	Mappato direttamente
`url`	`target.url`	Mappato direttamente
N/D	`metadata.event_type`	Costante: `NETWORK_HTTP`
N/D	`metadata.product_name`	Costante: `AVI Load Balancer`
N/D	`metadata.vendor_name`	Costante: `Vmware`
N/D	`network.direction`	Costante: `INBOUND`
N/D	`network.http.parsed_user_agent`	Costante: `parseduseragent`

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.