Raccogliere i log di Aruba ClearPass

Questo documento spiega come raccogliere i log di Aruba ClearPass utilizzando Bindplane. Il parser tenta di pulire e strutturare i log in entrata rimuovendo i campi estranei e standardizzando il formato del messaggio. A seconda che il log segua il formato CEF o una struttura diversa, il codice utilizza una combinazione di pattern grok, estrazioni chiave-valore e logica condizionale per mappare i campi pertinenti al modello dei dati unificato (UDM), classificando in definitiva ogni evento in un tipo di evento di sicurezza specifico.

Prima di iniziare

• Assicurati di avere un'istanza Google Security Operations.
• Assicurati di utilizzare Windows 2016 o versioni successive oppure un host Linux con systemd.
• Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte.
• Assicurati di disporre dell'accesso con privilegi a un Aruba ClearPass.

Recuperare il file di autenticazione importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installazione di Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi di root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

• Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

1. Accedi al file di configurazione:

   1. Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
   2. Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: CLEARPASS
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.

4. Sostituisci <customer_id> con l'ID cliente effettivo.

5. Aggiorna /path/to/ingestion-authentication-file.json al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart bindplane-agent
  

• Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurare il server syslog Aruba ClearPass

1. Accedi alla console ClearPass Policy Manager.
2. Seleziona Amministrazione > Server esterni > Destinazioni Syslog.
3. Fai clic su Aggiungi.
4. Nella finestra Aggiungi destinazione syslog visualizzata, specifica i seguenti dettagli:
   • Indirizzo host: inserisci l'indirizzo IP di Bindplane.
   • Porta server: inserisci il numero di porta di Bindplane.
   • Protocollo: seleziona UDP (puoi selezionare anche TCP, a seconda della configurazione di Bindplane).
5. Fai clic su Salva.

Configurare i filtri di esportazione syslog

1. Vai a Amministrazione > Server esterni > Filtri di esportazione Syslog.
2. Fai clic su Aggiungi.
3. Nella finestra Aggiungi filtri Syslog visualizzata, specifica quanto segue nella scheda Generale:
   • Nome: inserisci il nome del filtro di esportazione syslog in base alla tabella in Elementi del modello di esportazione.
   • Esporta modello: seleziona il modello di esportazione appropriato in base alla tabella in Elementi del modello di esportazione.
   • Tipo di formato di esportazione evento: seleziona Standard.
   • Server Syslog: seleziona l'indirizzo IP di Bindplane.
4. Nell'elenco Modello di esportazione, quando selezioni i modelli di esportazione Sessione o Approfondimento, la scheda Filtro e colonne è attivata. Completa i seguenti passaggi:
   • Fai clic sulla scheda Filtro e colonne.
   • Filtro dati: assicurati che sia selezionato il valore predefinito Tutte le richieste.
   • Selezione delle colonne: seleziona il gruppo di campi predefinito in base alla tabella in Elementi del modello di esportazione.
   • Colonne selezionate: verifica che i campi compilati automaticamente corrispondano alla tabella in Elementi del modello di esportazione.
   • Fai clic sulla scheda Riepilogo.
   • Fai clic su Salva.
5. Nell'elenco Modello di esportazione, quando selezioni i modelli di esportazione Eventi di sistema e Record di controllo, la scheda Filtro e colonne non è attivata. Vai alla scheda Riepilogo e fai clic su Salva.
6. Ripeti i passaggi per aggiungere i filtri di esportazione syslog per tutti i modelli di esportazione Sessione, Approfondimento, Record di controllo ed Eventi di sistema in base ai dettagli della tabella in Riepilogo degli elementi del modello di esportazione.

Esportare gli elementi del modello

La tabella seguente descrive gli elementi che devi configurare per ogni modello di esportazione. I campi predefiniti elencati in Colonne selezionate sono supportati per l'analisi degli eventi. Assicurati che tutti i campi menzionati nella tabella in Colonne selezionate (predefinite) siano presenti e nello stesso ordine. Assicurati di creare i modelli di filtro di esportazione syslog esattamente come forniti nella tabella, incluso il nome del filtro sensibile alle maiuscole.

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.