Coletar registros do VyOS

Compatível com:

Google SecOps SIEM

Observação: esse recurso é coberto pelos Termos de ofertas pré-GA dos Termos específicos do serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos do serviço do Google SecOps.

Neste documento, explicamos como ingerir registros do VyOS no Google Security Operations usando o Bindplane. O analisador extrai campos das mensagens do syslog, com foco principal em eventos DHCP. Ele usa padrões grok para identificar e categorizar mensagens com base no processo (dhcpd, kernel etc.) e mapeia informações relevantes para campos da UDM, processando solicitações, confirmações, ofertas de DHCP e outros tipos de eventos de maneira diferente. Ele também preenche detalhes genéricos de eventos para registros não DHCP e mapeia informações de conexão de rede quando disponíveis.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Instância do Google SecOps
• Windows 2016 ou mais recente ou um host Linux com systemd
• Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas.
• Acesso privilegiado ao VyOS

Receber o arquivo de autenticação de ingestão do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Baixe o arquivo de autenticação de ingestão. Salve o arquivo de forma segura no sistema em que o Bindplane será instalado.

Receber o ID do cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.
3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instale o agente do Bindplane no sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

1. Abra o Prompt de Comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de root ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Outros recursos de instalação

Para mais opções de instalação, consulte o guia de instalação.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

1. Acesse o arquivo de configuração:
   • Localize o arquivo config.yaml. Normalmente, ele fica no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

2. Edite o arquivo config.yaml da seguinte forma:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'VYOS'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
   • Substitua <customer_id> pelo ID do cliente real.
   • Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo na seção Receber arquivo de autenticação de ingestão do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças

• Para reiniciar o agente do Bindplane em Linux, execute o seguinte comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar o agente do Bindplane no Windows, use o console Serviços ou insira o seguinte comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurar o Syslog no VyOS

1. Faça login no roteador VyOS usando a CLI.

2. Digite os seguintes comandos:

   set system syslog marker interval 1200
   set system syslog remote <bindplane-address> facility local0 level info port <bindolane-port> protocol <udp-or-tcp> format include-timezone
   

3. Substitua os seguintes campos pelos seus detalhes:

   • <bindplane-address>: insira o endereço IP do agente do Bindplane.
   • <bindolane-port>: insira o número da porta do agente do Bindplane (por exemplo, 514).
   • <udp-or-tcp>: insira UDP ou TCP, dependendo da configuração do Bindplane (por exemplo, UDP).

Tabela de mapeamento da UDM

Campo de registro	Mapeamento do UDM	Lógica
clientIp	principal.ip	Endereço IP do cliente extraído da mensagem DHCP.
clientMac	principal.mac	Endereço MAC do cliente extraído da mensagem DHCP.
datetime	metadata.event_timestamp	O carimbo de data/hora extraído da mensagem de registro.
dst_ipaddress	target.ip	Endereço IP de destino extraído da mensagem de registro.
hostname	observer.hostname	Nome do host extraído da mensagem de registro. Determinado pelo analisador com base no process e em outros campos. Pode ser GENERIC_EVENT, NETWORK_CONNECTION, NETWORK_DHCP ou STATUS_UPDATE. Codificado como "VYOS".
msg	metadata.description	A mensagem original do registro ou uma parte dela, dependendo da lógica de análise. Definido como "DHCP Event" se process for "dhcpd". Codificado como "VYOS DHCP". Codificado como "VYOS".
network.dhcp.chaddr	network.dhcp.chaddr	Endereço MAC do cliente extraído de mensagens DHCP.
network.dhcp.ciaddr	network.dhcp.ciaddr	Endereço IP do cliente em uma mensagem DHCPREQUEST. Opcode da mensagem DHCP. Definido como "BOOTREQUEST" para DHCPREQUEST e DHCPINFORM, "BOOTREPLY" para DHCPACK e DHCPNAK. Tipo de mensagem DHCP. Derivado de eventType e pode ser REQUEST, ACK, INFORM, NAK ou OFFER.
network.dhcp.yiaddr	network.dhcp.yiaddr	Seu endereço IP (cliente) em uma mensagem DHCPACK ou DHCPOFFER. Defina como "DHCP" se o process for "dhcpd".
pri_host	principal.hostname	Nome do host associado a um cliente em mensagens DHCP.
rem_msg	metadata.description	Parte restante da mensagem após a análise inicial, usada para descrição em alguns casos.
src_ipaddress	principal.ip	Endereço IP de origem extraído da mensagem de registro.
timestamp	event.timestamp	O carimbo de data/hora da entrada de registro.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.