Mengumpulkan log DNS F5

Didukung di:

Dokumen ini menjelaskan cara menyerap log DNS F5 ke Google Security Operations menggunakan Bindplane. Parser mengekstrak kolom dari pesan syslog DNS F5 menggunakan pola grok berdasarkan kolom aplikasi, lalu memetakannya ke Model Data Terpadu (UDM). Aplikasi ini menangani berbagai aplikasi F5 seperti gtmd, mcpd, big3d, dan lainnya, mem-parsing kolom tertentu dan menetapkan jenis peristiwa UDM, tingkat keparahan, dan deskripsi yang sesuai berdasarkan tingkat log dan aplikasi.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

  • Instance Google SecOps
  • Host Windows 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Jika dijalankan di belakang proxy, port firewall terbuka
  • Akses istimewa ke F5 BIG-IP

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan.

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

  1. Akses file konfigurasi:
    • Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
    • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

  2. Edit file config.yaml sebagai berikut:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'F5_DNS'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
    • Ganti <customer_id> dengan ID pelanggan yang sebenarnya.
    • Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart bindplane-agent

  • Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

    net stop BindPlaneAgent && net start BindPlaneAgent

Mengonfigurasi kumpulan server logging jarak jauh

  1. Login ke UI web F5 BIG-IP.
  2. Pada tab Main, buka DNS > Delivery > Load Balancing > Pools or Local Traffic > Pools.
  3. Klik Buat.
  4. Berikan detail konfigurasi berikut:
    • Nama: Masukkan nama unik untuk pool.
    • Menggunakan setelan Anggota Baru:
      • Masukkan alamat IP agen Bindplane di kolom Address.
      • Masukkan nomor port agen Bindplane di kolom Service Port.
  5. Klik Tambahkan > Selesai.

Mengonfigurasi tujuan log jarak jauh

  1. Di tab Main, buka System > Logs > Configuration > Log Destinations.
  2. Klik Buat.
  3. Berikan detail konfigurasi berikut:
    • Nama: Masukkan nama unik untuk tujuan ini.
    • Jenis: Pilih Log Kecepatan Tinggi Jarak Jauh.
    • Pool Name: Pilih kumpulan server log jarak jauh yang ingin Anda kirimi pesan log oleh sistem BIG-IP.
    • Protokol: Pilih protokol yang digunakan.
  4. Klik Selesai.

Membuat tujuan log jarak jauh yang diformat

  1. Di tab Main, buka System > Logs > Configuration > Log Destinations.
  2. Klik Buat.
  3. Berikan detail konfigurasi berikut:
    • Nama: Masukkan nama unik untuk tujuan ini.
    • Jenis: Pilih Remote Syslog.
    • Format: Pilih format log.
    • Teruskan Ke: Pilih Tujuan Log Kecepatan Tinggi > tujuan yang mengarah ke kumpulan server Syslog jarak jauh.
  4. Klik Selesai.

Mengonfigurasi Log Publisher

  1. Di tab Main, buka System > Logs > Configuration > Log Publishers.
  2. Klik Buat.
  3. Berikan detail konfigurasi berikut:
    • Nama: Masukkan nama unik untuk penayang ini.
    • Tujuan: Pilih tujuan yang baru dibuat untuk Remote Syslog dari daftar Tersedia, lalu klik keyboard_double_arrow_left Pindahkan untuk memindahkan tujuan ke daftar Dipilih.
  4. Klik Selesai.

Mengonfigurasi profil logging DNS kustom

  1. Di tab Main, buka DNS > Delivery > Profiles > Other > DNS Logging atau Local Traffic > Profiles > Other > DNS Logging.
  2. Klik Buat.
  3. Berikan detail konfigurasi berikut:
    • Nama: Masukkan nama unik untuk profil ini.
    • Log Publisher: Pilih tujuan yang baru dibuat tempat sistem mengirim entri log DNS.
    • Log Kueri: Centang kotak Diaktifkan.
    • Log Respons: Centang kotak Diaktifkan.
    • Sertakan ID Kueri: Centang kotak Diaktifkan.
  4. Klik Selesai.

Tambahkan profil DNS ke DNS Listener

  1. Di tab Main, buka DNS > Delivery > Listeners > pilih DNS listener.
  2. Dari DNS profile di bagian Service, pilih DNS profile yang Anda konfigurasi sebelumnya.
  3. Klik Perbarui.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
application principal.application Dipetakan langsung dari kolom application.
cipher_name network.tls.cipher Dipetakan langsung dari kolom cipher_name.
command_line principal.process.command_line Dipetakan langsung dari kolom command_line.
desc security_result.description Dipetakan langsung dari kolom desc.
desc_icrd security_result.description Dipetakan langsung dari kolom desc_icrd.
dest_ip target.ip Dipetakan langsung dari kolom dest_ip.
dest_port target.port Dipetakan langsung dari kolom dest_port.
file_path principal.process.file.full_path Dipetakan langsung dari kolom file_path. Disetel ke true jika level adalah "alert", jika tidak, tidak ada. Disetel ke true jika level adalah "alert", jika tidak, tidak ada.
msg3 security_result.description Dipetakan langsung dari kolom msg3 saat application adalah "run-parts".
metadata.event_type Disetel ke GENERIC_EVENT jika event_type kosong, atau dipetakan dari event_type. Dikodekan secara permanen ke "DNS". Dikodekan secara permanen ke "F5".
principal_hostname principal.hostname Dipetakan langsung dari kolom principal_hostname.
proc_id principal.process.pid Dipetakan langsung dari kolom proc_id.
received_bytes network.received_bytes Dipetakan langsung dari kolom received_bytes.
resource_id target.resource.id Dipetakan langsung dari kolom resource_id.
resource_parent principal.resource.parent Dipetakan langsung dari kolom resource_parent.
response_code network.http.response_code Dipetakan langsung dari kolom response_code. Ditentukan berdasarkan kolom level.
src_ip principal.ip Dipetakan langsung dari kolom src_ip.
src_port principal.port Dipetakan langsung dari kolom src_port.
tls_version network.tls.version Dipetakan langsung dari kolom tls_version.
userName principal.user.userid Dipetakan langsung dari kolom userName.
when event.timestamp Dihitung dari datetime1 dan timezone atau datetime dan timezone.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.