Mengumpulkan log Arbor Edge Defense

Didukung di:

Dokumen ini menjelaskan cara mengumpulkan log Netscout (Arbor Edge Defense) ke Google Security Operations menggunakan agen Bindplane. Parser pertama-tama mengekstrak kolom dari pesan syslog mentah menggunakan pola grok yang cocok dengan format yang ditentukan vendor tertentu. Kemudian, kolom yang diekstrak dan nilainya dipetakan ke atribut yang sesuai dalam skema UDM Google SecOps, sehingga memungkinkan representasi dan analisis peristiwa keamanan yang standar.

Sebelum memulai

  • Pastikan Anda memiliki instance Google SecOps.
  • Pastikan Anda menggunakan Windows 2016 atau yang lebih baru, atau host Linux dengan systemd.
  • Jika berjalan di belakang proxy, pastikan port firewall terbuka.
  • Pastikan Anda memiliki akses istimewa ke Netscout.

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi penginstalan tambahan

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

  1. Akses file konfigurasi:

    1. Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
    2. Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

  2. Edit file config.yaml sebagai berikut:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: ARBOR_EDGE_DEFENSE
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.

  4. Ganti <customer_id> dengan ID pelanggan yang sebenarnya.

  5. Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart bindplane-agent

  • Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

    net stop BindPlaneAgent && net start BindPlaneAgent

Mengonfigurasi ekspor Syslog di Netscout (Arbor Edge Defense)

  1. Login ke UI web Netscout.
  2. Pilih Administrasi > Notifikasi > Grup.
  3. Di jendela Grup notifikasi, klik Tambahkan grup notifikasi.
  4. Berikan detail konfigurasi berikut:
    • Tujuan: masukkan alamat IP agen Bindplane.
    • Port: masukkan nomor port agen Bindplane.
    • Fasilitas: pilih fasilitas Local0.
    • Tingkat Keparahan: pilih Informasional.
  5. Klik Simpan.
  6. Buka Administration > Configuration Management > Commit, atau pilih Config Commit.

Tabel Pemetaan UDM

Kolom Log Pemetaan UDM Logika
cn2 principal.group.attribute.labels.value Dipetakan jika tidak kosong. Bagian dari logika bersyarat yang melibatkan cn2Label.
cn2Label principal.group.attribute.labels.key Dipetakan jika cn2 tidak kosong.
cs2 principal.group.attribute.labels.value Dipetakan jika tidak kosong. Bagian dari logika bersyarat yang melibatkan cs2Label.
cs2Label principal.group.attribute.labels.key Dipetakan jika cs2 tidak kosong.
cs3 security_result.detection_fields.value Dipetakan jika tidak kosong. Bagian dari logika bersyarat yang melibatkan cs3Label.
cs3Label security_result.detection_fields.key Dipetakan jika cs3 tidak kosong.
cs6 security_result.threat_name Dipetakan jika tidak kosong.
cs7 security_result.category_details Digabungkan dengan awalan Threat Category: jika tidak kosong.
dpt target.port Dikonversi menjadi bilangan bulat dan dipetakan jika tidak kosong atau 0.
dst target.ip Dipetakan jika tidak kosong.
msg metadata.description Dipetakan secara langsung.
principal.group.attribute.labels.key Ditetapkan ke Traffic Level jika traffic_level (diekstrak dari msg) tidak kosong.
principal.group.attribute.labels.value Disetel ke traffic_level yang diekstrak dari msg jika tidak kosong.
principal.group.attribute.labels.key Ditetapkan ke Protection Group Name jika group_name (diekstrak dari msg) tidak kosong.
principal.group.attribute.labels.value Disetel ke group_name yang diekstrak dari msg jika tidak kosong.
proto network.ip_protocol Dikonversi menjadi huruf besar dan dipetakan jika nilainya adalah TCP atau UDP.
rt metadata.event_timestamp.seconds Dikonversi menjadi stempel waktu menggunakan filter tanggal.
src principal.ip Dipetakan jika tidak kosong.
spt principal.port Dikonversi menjadi bilangan bulat dan dipetakan jika tidak kosong atau 0.
metadata.log_type Hardcode ke ARBOR_EDGE_DEFENSE.
metadata.vendor_name Hardcode ke NETSCOUT.
metadata.product_name Hardcode ke ARBOR_EDGE_DEFENSE.
metadata.product_version Diekstrak dari kolom device_version dari header CEF.
metadata.product_event_type Diekstrak dari kolom event_name dari header CEF.
intermediary.hostname Diekstrak dari kolom intermediary_hostname dari header CEF.
security_result.rule_name Diekstrak dari kolom security_rule_name dari header CEF.
security_result.action Tetapkan ke BLOCK jika event_name adalah Blocked Host.
security_result.action_details Tetapkan ke nilai event_name jika event_name adalah Blocked Host.
security_result.severity Dipetakan dari kolom severity berdasarkan logika yang telah ditentukan dan dikonversi menjadi huruf besar.
metadata.event_type Ditetapkan ke NETWORK_CONNECTION jika dst dan src tidak kosong, ditetapkan ke STATUS_UPDATE jika hanya src yang tidak kosong, jika tidak, defaultnya adalah GENERIC_EVENT.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.