Raccogliere i log di Arbor Edge Defense

Supportato in:

Questo documento spiega come raccogliere i log di Netscout (Arbor Edge Defense) in Google Security Operations utilizzando un agente Bindplane. L'analizzatore sintattico estrae innanzitutto i campi dai messaggi syslog non elaborati utilizzando un pattern grok che corrisponde a formati specifici definiti dal fornitore. Poi, mappa i campi estratti e i relativi valori agli attributi corrispondenti nello schema UDM di Google SecOps, consentendo la rappresentazione e l'analisi standardizzate degli eventi di sicurezza.

Prima di iniziare

  • Assicurati di avere un'istanza Google SecOps.
  • Assicurati di utilizzare Windows 2016 o versioni successive oppure un host Linux con systemd.
  • Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte.
  • Assicurati di disporre dell'accesso con privilegi a Netscout.

Recuperare il file di autenticazione importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi di root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

  1. Accedi al file di configurazione:

    1. Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
    2. Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: ARBOR_EDGE_DEFENSE
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.

  4. Sostituisci <customer_id> con l'ID cliente effettivo.

  5. Aggiorna /path/to/ingestion-authentication-file.json al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart bindplane-agent

  • Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura l'esportazione Syslog su Netscout (Arbor Edge Defense)

  1. Accedi all'UI web di Netscout.
  2. Seleziona Amministrazione > Notifica > Gruppi.
  3. Nella finestra Gruppo di notifiche, fai clic su Aggiungi gruppo di notifiche.
  4. Fornisci i seguenti dettagli di configurazione:
    • Destinazione: inserisci l'indirizzo IP dell'agente Bindplane.
    • Porta: inserisci il numero di porta dell'agente Bindplane.
    • Struttura: seleziona la struttura Local0.
    • Gravità: seleziona Informativa.
  5. Fai clic su Salva.
  6. Vai ad Amministrazione > Gestione configurazione > Commit o seleziona Commit configurazione.

Tabella di mappatura UDM

Campo log Mappatura UDM Logic
cn2 principal.group.attribute.labels.value Mappato se non vuoto. Parte della logica condizionale che coinvolge cn2Label.
cn2Label principal.group.attribute.labels.key Mappato se cn2 non è vuoto.
cs2 principal.group.attribute.labels.value Mappato se non vuoto. Parte della logica condizionale che coinvolge cs2Label.
cs2Label principal.group.attribute.labels.key Mappato se cs2 non è vuoto.
cs3 security_result.detection_fields.value Mappato se non vuoto. Parte della logica condizionale che coinvolge cs3Label.
cs3Label security_result.detection_fields.key Mappato se cs3 non è vuoto.
cs6 security_result.threat_name Mappato se non vuoto.
cs7 security_result.category_details Concatenato con il prefisso Threat Category: se non è vuoto.
dpt target.port Convertito in numero intero e mappato se non è vuoto o 0.
dst target.ip Mappato se non vuoto.
msg metadata.description Mappato direttamente.
principal.group.attribute.labels.key Imposta su Traffic Level se traffic_level (estratto da msg) non è vuoto.
principal.group.attribute.labels.value Se non è vuoto, è impostato sul valore traffic_level estratto da msg.
principal.group.attribute.labels.key Imposta su Protection Group Name se group_name (estratto da msg) non è vuoto.
principal.group.attribute.labels.value Se non è vuoto, è impostato sul valore group_name estratto da msg.
proto network.ip_protocol Convertito in maiuscolo e mappato se il valore è TCP o UDP.
rt metadata.event_timestamp.seconds Convertito in timestamp utilizzando il filtro della data.
src principal.ip Mappato se non vuoto.
spt principal.port Convertito in numero intero e mappato se non è vuoto o 0.
metadata.log_type Codificato in modo permanente su ARBOR_EDGE_DEFENSE.
metadata.vendor_name Codificato in modo permanente su NETSCOUT.
metadata.product_name Codificato in modo permanente su ARBOR_EDGE_DEFENSE.
metadata.product_version Estratto dal campo device_version dell'intestazione CEF.
metadata.product_event_type Estratto dal campo event_name dell'intestazione CEF.
intermediary.hostname Estratto dal campo intermediary_hostname dell'intestazione CEF.
security_result.rule_name Estratto dal campo security_rule_name dell'intestazione CEF.
security_result.action Imposta su BLOCK se event_name è Blocked Host.
security_result.action_details Imposta il valore di event_name se event_name è Blocked Host.
security_result.severity Mappato dal campo severity in base alla logica predefinita e convertito in maiuscolo.
metadata.event_type Impostato su NETWORK_CONNECTION se sia dst che src non sono vuoti, impostato su STATUS_UPDATE se solo src non è vuoto, altrimenti il valore predefinito è GENERIC_EVENT.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.