收集 F5 DNS 記錄

支援的國家/地區：

本文說明如何使用 Bindplane，將 F5 DNS 記錄擷取至 Google Security Operations。剖析器會根據應用程式欄位，使用 grok 模式從 F5 DNS syslog 訊息中擷取欄位，然後將這些欄位對應至統合式資料模型 (UDM)。這項服務會處理各種 F5 應用程式，例如 gtmd、mcpd、big3d 等，並剖析特定欄位，以及根據記錄層級和應用程式設定適當的 UDM 事件類型、嚴重程度和說明。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • Windows 2016 以上版本，或搭載 systemd 的 Linux 主機
  • 如果透過 Proxy 執行，防火牆通訊埠已開啟
  • F5 BIG-IP 的特殊存取權

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。
  3. 複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以系統管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

  1. 存取設定檔：
    • 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄，或 Windows 的安裝目錄。
    • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

  2. 按照下列方式編輯 config.yaml 檔案：

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'F5_DNS'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • 視基礎架構需求，替換通訊埠和 IP 位址。
    • 將 <customer_id> 替換為實際的客戶 ID。
    • 將 /path/to/ingestion-authentication-file.json 更新為您在「取得 Google SecOps 擷取驗證檔案」部分儲存驗證檔案的路徑。

重新啟動 Bindplane 代理程式，以套用變更

  • 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

    sudo systemctl restart bindplane-agent

  • 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，也可以輸入下列指令：

    net stop BindPlaneAgent && net start BindPlaneAgent

設定遠端記錄伺服器集區

  1. 登入 F5 BIG-IP 網頁版 UI。
  2. 在「主要」分頁中，依序前往「DNS」>「傳送」>「負載平衡」>「集區」或「本機流量」>「集區」。
  3. 點選「建立」。
  4. 提供下列設定詳細資料：
    • 名稱：輸入集區的專屬名稱。
    • 使用「新成員」設定：
      • 在「位址」欄位中輸入 Bindplane 代理程式 IP 位址。
      • 在「Service Port」(服務通訊埠) 欄位中，輸入 Bindplane 代理程式通訊埠號碼。
  5. 依序點選「新增」>「完成」。

設定遠端記錄目的地

  1. 在「Main」(主要) 分頁中，依序前往「System」(系統) >「Logs」(記錄) >「Configuration」(設定) >「Log Destinations」(記錄目的地)。
  2. 點選「建立」。
  3. 提供下列設定詳細資料：
    • 名稱：輸入這個目的地的專屬名稱。
    • 類型：選取「遠端高速記錄」。
    • 集區名稱：選取要讓 BIG-IP 系統傳送記錄訊息的遠端記錄伺服器集區。
    • 「通訊協定」：選取使用的通訊協定。
  4. 按一下「完成」。

建立格式化遠端記錄目的地

  1. 在「Main」(主要) 分頁中，依序前往「System」(系統) >「Logs」(記錄) >「Configuration」(設定) >「Log Destinations」(記錄目的地)。
  2. 點選「建立」。
  3. 提供下列設定詳細資料：
    • 名稱：輸入這個目的地的專屬名稱。
    • 類型：選取「遠端系統記錄檔」。
    • 格式：選取記錄格式。
    • 轉送至：依序選取「高速記錄目的地」> 指向遠端 Syslog 伺服器集區的目的地。
  4. 按一下「完成」。

設定記錄發布者

  1. 在「Main」分頁中，依序前往「System」>「Logs」>「Configuration」>「Log Publishers」。
  2. 點選「建立」。
  3. 提供下列設定詳細資料：
    • 名稱：輸入這個發布商的專屬名稱。
    • 目的地：從「可用」清單中選取新建立的「遠端系統記錄」目的地，然後按一下 keyboard_double_arrow_left 「移動」，將目的地移至「已選取」清單。
  4. 按一下「完成」。

設定自訂 DNS 記錄設定檔

  1. 在「Main」(主要) 分頁中，依序前往「DNS」>「Delivery」(傳送) >「Profiles」(設定檔) >「Other」(其他) >「DNS Logging」(DNS 記錄) 或「Local Traffic」(本機流量) >「Profiles」(設定檔) >「Other」(其他) >「DNS Logging」(DNS 記錄)。
  2. 點選「建立」。
  3. 提供下列設定詳細資料：
    • 名稱：輸入這個設定檔的不重複名稱。
    • 記錄發布者：選取新建立的目的地，系統會將 DNS 記錄項目傳送至該目的地。
    • 記錄查詢：勾選「已啟用」核取方塊。
    • 記錄回應：勾選「已啟用」核取方塊。
    • 包含查詢 ID：勾選「已啟用」核取方塊。
  4. 按一下「完成」。

將 DNS 設定檔新增至 DNS 接聽程式

  1. 在「Main」分頁中，依序前往「DNS」>「Delivery」>「Listeners」> 選取 DNS 監聽器。
  2. 在「服務」部分的「DNS 設定檔」中，選取您先前設定的「DNS 設定檔」。
  3. 按一下「更新」。

UDM 對應表

記錄欄位 UDM 對應 邏輯
application principal.application 直接從「application」欄位對應。
cipher_name network.tls.cipher 直接從「cipher_name」欄位對應。
command_line principal.process.command_line 直接從「command_line」欄位對應。
desc security_result.description 直接從「desc」欄位對應。
desc_icrd security_result.description 直接從「desc_icrd」欄位對應。
dest_ip target.ip 直接從「dest_ip」欄位對應。
dest_port target.port 直接從「dest_port」欄位對應。
file_path principal.process.file.full_path 直接從「file_path」欄位對應。如果 level 為「alert」，則設為 true，否則不顯示。如果 level 為「alert」，則設為 true，否則不顯示。
msg3 security_result.description 當 application 為「run-parts」時，直接從 msg3 欄位對應。
metadata.event_type 如果 event_type 為空，則設為 GENERIC_EVENT，否則會從 event_type 對應。硬式編碼為「DNS」。硬式編碼為「F5」。
principal_hostname principal.hostname 直接從「principal_hostname」欄位對應。
proc_id principal.process.pid 直接從「proc_id」欄位對應。
received_bytes network.received_bytes 直接從「received_bytes」欄位對應。
resource_id target.resource.id 直接從「resource_id」欄位對應。
resource_parent principal.resource.parent 直接從「resource_parent」欄位對應。
response_code network.http.response_code 直接從「response_code」欄位對應。根據 level 欄位判斷。
src_ip principal.ip 直接從「src_ip」欄位對應。
src_port principal.port 直接從「src_port」欄位對應。
tls_version network.tls.version 直接從「tls_version」欄位對應。
userName principal.user.userid 直接從「userName」欄位對應。
when event.timestamp 根據 datetime1 和 timezone 或 datetime 和 timezone 計算。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。