VMware VeloCloud SD-WAN-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie VMware VeloCloud SD-WAN-Logs mit Bindplane in Google Security Operations aufnehmen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Google SecOps-Instanz
  • Windows 2016 oder höher oder ein Linux-Host mit systemd
  • Wenn Sie einen Proxy verwenden, müssen die Firewall ports geöffnet sein.
  • Privilegierter Zugriff auf VMware VeloCloud SD-WAN
  • Ein Cloud Virtual Private Network (VPN von Zweigstelle zu Zweigstelle), das zwischen dem Edge und dem Syslog-Collector (Bindplane-Agent) konfiguriert ist

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie SIEM-Einstellungen > Erfassungs-Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie SIEM-Einstellungen > Profil auf.
  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Weitere Installationsressourcen

Weitere Installationsoptionen finden Sie in der Installationsanleitung.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

  1. Greifen Sie auf die Konfigurationsdatei zu:
    • Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /etc/bindplane-agent/ und unter Windows im Installationsverzeichnis.
    • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

  2. Bearbeiten Sie die Datei config.yaml so:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'VELO_FIREWALL'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
    • Ersetzen Sie <customer_id> durch die tatsächliche Kundennummer.
    • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen gespeichert wurde.

Bindplane-Agent neu starten, damit die Änderungen übernommen werden

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart bindplane-agent

  • Um den Bindplane-Agent unter Windows neu zu starten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

    net stop BindPlaneAgent && net start BindPlaneAgent

Syslog für VMware VeloCloud SD-WAN konfigurieren

  1. Melden Sie sich in der Web-UI des VeloCloud Enterprise-Portals an.
  2. Rufen Sie SD-WAN-Dienst > Konfigurieren > Profile auf.
  3. Klicken Sie auf den Link zum Profil , um ein Profil zu konfigurieren, oder klicken Sie in der Spalte Gerät des Profils auf den Link Ansehen.
  4. Wählen Sie Segmentmenü konfigurieren > Globales Segment aus, um die Syslog -Einstellungen zu konfigurieren.

  5. Rufen Sie unter Telemetrie den Bereich Syslog auf:

    1. Klicken Sie auf das Kästchen Syslog aktivieren.
    2. Klicken Sie auf + Hinzufügen.

    3. Geben Sie die folgenden Konfigurationsdetails an:

      • Einrichtung: Wählen Sie local0 aus.
      • IP: Geben Sie die Ziel-IP-Adresse des Syslog-Collectors ein.
      • Protokoll: Wählen Sie entweder TCP oder UDP als Syslog-Protokoll aus.
      • Port: Geben Sie die Portnummer des Syslog-Collectors ein (Standardwert ist 514).
      • Quellschnittstelle: Dieses Feld ist auf Profilebene auf Auto festgelegt. Der Edge wählt automatisch eine Schnittstelle aus, bei der das Feld Werben festgelegt ist.
      • Rollen: Wählen Sie entweder FIREWALL EVENT oder EDGE AND FIREWALL EVENT aus.
      • Syslog-Ebene: Wählen Sie INFO aus.

      • Alle Segmente: Klicken Sie auf das Kästchen Alle Segmente.

  6. Speichern Sie die Änderungen.

  7. Rufen Sie die Seite Firewall der Profil -Konfiguration auf.

  8. Klicken Sie auf Syslog-Weiterleitung , um Firewall-Logs, die vom Enterprise-Edge stammen, an die konfigurierten Syslog-Collectors weiterzuleiten.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten