Esta página se ha traducido con Cloud Translation API.

Recoger registros de balanceadores de carga de red A10

Disponible en:

SecOps de Google SIEM

En este documento se explica cómo exportar registros de balanceadores de carga de red de A10 a Google Security Operations mediante un agente de Bindplane. El analizador primero usa patrones grok para extraer los campos relevantes. A continuación, utiliza instrucciones condicionales (if) para asignar los campos extraídos al modelo de datos unificado (UDM) en función de su presencia y contenido, lo que permite categorizar el tipo de evento.

Antes de empezar

Asegúrate de que tienes una instancia de Google SecOps.
Asegúrate de usar Windows 2016 o una versión posterior, o un host Linux con systemd.
Si se ejecuta a través de un proxy, asegúrate de que los puertos del cortafuegos estén abiertos.
Asegúrate de tener acceso con privilegios a A10 Load Balancer.

Obtener el archivo de autenticación de ingestión de Google SecOps

Inicia sesión en la consola de Google SecOps.
Ve a Configuración de SIEM > Agentes de recogida.
Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

Inicia sesión en la consola de Google SecOps.
Ve a Configuración de SIEM > Perfil.
Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instalación de ventanas

Abre el símbolo del sistema o PowerShell como administrador.

Ejecuta el siguiente comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación de Linux

Abre un terminal con privilegios de superusuario o sudo.

Ejecuta el siguiente comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para ver otras opciones de instalación, consulta esta guía de instalación.

Configurar el agente de BindPlane para ingerir Syslog y enviarlo a Google SecOps

Accede al archivo de configuración:
1. Busca el archivo config.yaml. Normalmente, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
2. Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

Edita el archivo config.yaml de la siguiente manera:

receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: A10_LOAD_BALANCER
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Sustituye el puerto y la dirección IP según sea necesario en tu infraestructura.
Sustituye <customer_id> por el ID de cliente real.
Actualiza /path/to/ingestion-authentication-file.json a la ruta en la que se guardó el archivo de autenticación en la sección Obtener el archivo de autenticación de ingestión de Google SecOps.

Reinicia el agente de Bindplane para aplicar los cambios

Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:
```
sudo systemctl restart bindplane-agent
```
Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando:
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

Configurar el servidor Syslog en el balanceador de carga A10

Establece una conexión SSH con el balanceador de carga A10 mediante un cliente SSH.
Para acceder al modo de configuración, ejecuta el siguiente comando:
```
config
```
Configura el servidor syslog remoto con el siguiente comando:
```
logging host <bindplane-server-ip> <port-number>
```
- Sustituye <bindplane-server-ip> por la dirección IP de Bindplane y <port-number> por la configurada en Bindplane. Por ejemplo, 514.
Define el nivel de gravedad con el siguiente comando:
```
logging level information
```
- De esta forma, se enviarán mensajes informativos (como advertencias y errores) al agente de Bindplane.
Asegúrate de que el registro de syslog esté habilitado ejecutando el siguiente comando:
```
logging enable
```
Guarda la configuración para asegurarte de que se mantiene después de reiniciar:
```
write memory
```

Ejemplo de una configuración completa de la CLI:

config
logging host 192.168.1.100 514
logging level info
logging enable
write memory

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
dns	additional.fields.dns.value.string_value	El valor se toma del campo `dns` extraído por el patrón grok.
dns_server	additional.fields.dns_server.value.string_value	El valor se toma del campo `dns_server` extraído por el patrón grok.
gslb	additional.fields.gslb.value.string_value	El valor se toma del campo `gslb` extraído por el patrón grok.
host_name	principal.hostname principal.asset.hostname	El valor se toma del campo `host_name` extraído por el patrón grok.
httpmethod	network.http.method	El valor se toma del campo `httpmethod` extraído por el patrón grok.
partion_id	additional.fields.partion_id.value.string_value	El valor se toma del campo `partion_id` extraído por el patrón grok.
prin_ip	principal.ip principal.asset.ip	El valor se toma del campo `prin_ip` extraído por el patrón grok.
prin_mac	principal.mac	El valor se toma del campo `prin_mac` extraído por el patrón grok, con los puntos eliminados y los dos puntos insertados cada dos caracteres.
prin_port	principal.port	El valor se toma del campo `prin_port` extraído por el patrón grok y se convierte en un número entero.
proto	network.ip_protocol	El valor se toma del campo `proto` extraído por el patrón grok. Si el campo `message` contiene `UDP`, el valor se define como `UDP`.
sessionid	network.session_id	El valor se toma del campo `sessionid` extraído por el patrón grok.
status_code	network.http.response_code	El valor se toma del campo `status_code` extraído por el patrón grok y se convierte en un número entero.
tar_ip	target.ip target.asset.ip	El valor se toma del campo `tar_ip` extraído por el patrón grok.
tar_mac	target.mac	El valor se toma del campo `tar_mac` extraído por el patrón grok, con los puntos eliminados y los dos puntos insertados cada dos caracteres.
tar_port	target.port	El valor se toma del campo `tar_port` extraído por el patrón grok y se convierte en un número entero.
Tiempo	metadata.event_timestamp.seconds	El valor se analiza a partir del campo `time` extraído por el patrón grok, usando varios formatos de fecha posibles.
url	target.url	El valor se toma del campo `url` extraído por el patrón grok.
usuario	principal.user.userid	El valor se toma del campo `user` extraído por el patrón grok.
N/A	metadata.event_type	Determinado por la lógica del analizador en función de la presencia de información principal y de destino: - `NETWORK_CONNECTION`: si se incluye información principal y de destino. - `STATUS_UPDATE`: si solo se incluye la información principal. - `GENERIC_EVENT`: en cualquier otro caso.
N/A	metadata.log_type	Valor fijo establecido en el código fuente `A10_LOAD_BALANCER`.
N/A	network.application_protocol	Se asigna el valor `HTTP` si el campo `proto` es `HTTP`.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.