Mengumpulkan log Aruba ClearPass

Dokumen ini menjelaskan cara mengumpulkan log Aruba ClearPass menggunakan Bindplane. Parser mencoba membersihkan dan menyusun log yang masuk dengan menghapus kolom yang tidak relevan dan menstandardisasi format pesan. Kemudian, bergantung pada apakah log mengikuti format CEF atau struktur yang berbeda, kode menggunakan kombinasi pola grok, ekstraksi key-value, dan logika bersyarat untuk memetakan kolom yang relevan ke model data terpadu (UDM), yang pada akhirnya mengategorikan setiap peristiwa ke dalam jenis peristiwa keamanan tertentu.

Sebelum memulai

• Pastikan Anda memiliki instance Google Security Operations.
• Pastikan Anda menggunakan Windows 2016 atau yang lebih baru, atau host Linux dengan systemd.
• Jika berjalan di belakang proxy, pastikan port firewall terbuka.
• Pastikan Anda memiliki akses istimewa ke Aruba ClearPass.

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Referensi penginstalan tambahan

• Untuk opsi penginstalan tambahan, lihat panduan penginstalan ini.

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

1. Akses file konfigurasi:

   1. Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
   2. Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

2. Edit file config.yaml sebagai berikut:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: CLEARPASS
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.

4. Ganti <customer_id> dengan ID pelanggan yang sebenarnya.

5. Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart bindplane-agent
  

• Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Mengonfigurasi server syslog Aruba ClearPass

1. Login ke konsol ClearPass Policy Manager.
2. Pilih Administration > External servers > Syslog targets.
3. Klik Tambahkan.
4. Di jendela Add syslog target yang muncul, tentukan detail berikut:
   • Alamat host: masukkan alamat IP Bindplane.
   • Server port: masukkan nomor port Bindplane.
   • Protocol: pilih UDP (Anda juga dapat memilih TCP, bergantung pada konfigurasi Bindplane Anda).
5. Klik Simpan.

Mengonfigurasi filter ekspor syslog

1. Buka Administrasi > Server eksternal > Filter ekspor syslog.
2. Klik Tambahkan.
3. Di jendela Add Syslog Filters yang muncul, tentukan hal berikut di tab General:
   • Nama: masukkan nama filter ekspor syslog berdasarkan tabel di Item template ekspor.
   • Template ekspor: pilih template ekspor yang sesuai berdasarkan tabel di Item template ekspor.
   • Jenis format acara ekspor: pilih Standar.
   • Server Syslog: pilih alamat IP Bindplane.
4. Dalam daftar Template ekspor, saat Anda memilih template ekspor Sesi atau Insight, tab Filter dan kolom akan diaktifkan. Selesaikan langkah-langkah berikut:
   • Klik tab Filter dan kolom.
   • Filter data: pastikan nilai default Semua permintaan dipilih.
   • Pemilihan kolom: pilih grup kolom standar berdasarkan tabel di Item template ekspor.
   • Kolom yang dipilih: verifikasi bahwa kolom yang diisi otomatis cocok dengan tabel di Item template ekspor.
   • Klik tab Ringkasan.
   • Klik Simpan.
5. Dalam daftar Template ekspor, saat Anda memilih template ekspor Peristiwa sistem dan Catatan audit, tab Filter dan kolom tidak diaktifkan. Lanjutkan ke tab Ringkasan, lalu klik Simpan.
6. Ulangi langkah-langkah untuk menambahkan filter ekspor syslog untuk semua template ekspor Sesi, Insight, Catatan audit, dan Peristiwa sistem berdasarkan detail dari tabel di Ringkasan item template ekspor.

Mengekspor item template

Tabel berikut menjelaskan item yang perlu Anda konfigurasi untuk setiap template ekspor. Kolom default yang tercantum di Kolom yang Dipilih didukung untuk parsing peristiwa. Pastikan semua kolom yang disebutkan dalam tabel di bagian Kolom yang dipilih (default) ada dan dalam urutan yang sama. Pastikan untuk membuat template filter ekspor syslog persis seperti yang disediakan dalam tabel, termasuk nama filter yang peka huruf besar/kecil.

Tabel Pemetaan UDM

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.