Dieser Parser extrahiert Felder aus Syslog-Nachrichten von Aruba-Switches mithilfe von Grok-Mustern und ordnet sie dem UDM-Modell zu. Sie verarbeitet verschiedene Felder, darunter Zeitstempel, Hostnamen, Anwendungsnamen, Prozess-IDs, Ereignis-IDs und Beschreibungen, und füllt die entsprechenden UDM-Felder aus. Der Ereignistyp wird anhand der vorhandenen Hauptinformationen festgelegt.
Hinweise
Prüfen Sie, ob Sie eine Google Security Operations-Instanz haben.
Achten Sie darauf, dass Sie einen Windows 2016-Host oder höher oder einen Linux-Host mit systemd haben.
Wenn Sie einen Proxy verwenden, müssen die Firewallports geöffnet sein.
Sie benötigen privilegierten Zugriff auf den Aruba-Switch.
Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen
Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen>Collection Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
Google SecOps-Kundennummer abrufen
Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen>Profil auf.
Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.
BindPlane-Agent installieren
Führen Sie für die Windows-Installation das folgende Skript aus: msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
Führen Sie für die Linux-Installation das folgende Skript aus: sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden
Greifen Sie auf den Computer zu, auf dem BindPlane installiert ist.
Bearbeiten Sie die Datei config.yamlso:
receivers:
tcplog:
# Replace the below port <54525> and IP <0.0.0.0> with your specific values
listen_address: "0.0.0.0:54525"
exporters:
chronicle/chronicle_w_labels:
compression: gzip
# Adjust the creds location below according the placement of the credentials file you downloaded
creds: '{ json file for creds }'
# Replace <customer_id> below with your actual ID that you copied
customer_id: <customer_id>
endpoint: malachiteingestion-pa.googleapis.com
# You can apply ingestion labels below as preferred
ingestion_labels:
log_type: SYSLOG
namespace: aruba_switch
raw_log_field: body
service:
pipelines:
logs/source0__chronicle_w_labels-0:
receivers:
- tcplog
exporters:
- chronicle/chronicle_w_labels
Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen:
sudosystemctlrestartbindplane
Syslog auf dem Aruba-Switch konfigurieren
Stellen Sie über die Konsole eine Verbindung zum Aruba-Switch her:
sshadmin@<switch-ip>
So stellen Sie über eine Weboberfläche eine Verbindung zum Aruba-Switch her:
Rufen Sie die Web-GUI des Aruba-Switches auf.
Authentifizieren Sie sich mit den Administratoranmeldedaten des Switches.
Aktivieren Sie Syslog mit der CLI-Konfiguration:
Rufen Sie den globalen Konfigurationsmodus auf:
configureterminal
Geben Sie den externen Syslog-Server an:
logging<bindplane-ip>:<bindplane-port>
Ersetzen Sie <bindplane-ip> und <bindplane-port> durch die Adresse Ihres Bindplane-Agents.
Optional: Legen Sie den Schweregrad für die Protokollierung fest:
loggingseverity<level>
Optional: Fügen Sie eine benutzerdefinierteKennung (Tag) für die Protokollquelle hinzu:
loggingfacilitylocal5
Konfiguration speichern:
writememory
Aktivieren Sie Syslog über die Web Interface Configuration:
Melden Sie sich in der Weboberfläche des Aruba-Switches an.
Gehen Sie zu System>Logs>Syslog.
Syslog-Serverparameter hinzufügen:
Geben Sie die Bindplane-IP-Adresse ein.
Geben Sie den Bindplane-Port ein.
Legen Sie die Severity Level (Schweregrad) fest, um die Ausführlichkeit der Logs zu steuern.
Klicken Sie auf Speichern.
UDM-Zuordnungstabelle
Logfeld
UDM-Zuordnung
Logik
app
principal.application
Der Wert des Felds app aus dem Rohlog wird direkt principal.application zugewiesen.
description
security_result.description
Der Wert des Felds description aus dem Rohlog wird direkt security_result.description zugewiesen.
event_id
additional.fields.key
Der String „event_id“ wird additional.fields.key zugewiesen.
event_id
additional.fields.value.string_value
Der Wert des Felds event_id aus dem Rohlog wird direkt additional.fields.value.string_value zugewiesen.
host
principal.asset.hostname
Der Wert des Felds host aus dem Rohlog wird direkt principal.asset.hostname zugewiesen.
host
principal.hostname
Der Wert des Felds host aus dem Rohlog wird direkt principal.hostname zugewiesen.
pid
principal.process.pid
Der Wert des Felds pid aus dem Rohlog wird direkt principal.process.pid zugewiesen.
ts
metadata.event_timestamp
Der Wert des Felds ts aus dem Rohlog wird in einen Zeitstempel konvertiert und metadata.event_timestamp zugewiesen. Der Zeitstempel wird auch für das timestamp-Feld der obersten Ebene im UDM verwendet. metadata.event_type ist auf „STATUS_UPDATE“ festgelegt, da die Variable principal_mid_present im Parser auf „true“ gesetzt ist, wenn das Feld host im Rohlog vorhanden ist. Der String „ARUBA_SWITCH“ wird im Parser metadata.product_name zugewiesen. Der String „ARUBA SWITCH“ wird im Parser metadata.vendor_name zugewiesen. Der Parser versucht, den User-Agent aus dem Rohprotokoll zu extrahieren und zu parsen. Dazu wird client.userAgent.rawUserAgent verwendet. Bei Erfolg wird der geparste User-Agent network.http.parsed_user_agent zugewiesen. Da die bereitgestellten Rohlogs dieses Feld jedoch nicht enthalten, ist dieses UDM-Feld wahrscheinlich leer. Der Parser versucht, den Roh-User-Agent aus dem Rohlog mithilfe von client.userAgent.rawUserAgent zu extrahieren. Bei Erfolg wird der Roh-User-Agent network.http.user_agent zugewiesen. Da die bereitgestellten Rohlogs dieses Feld jedoch nicht enthalten, ist dieses UDM-Feld wahrscheinlich leer.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-02 (UTC)."],[[["\u003cp\u003eThis guide provides instructions on how to collect and ingest Aruba switch syslog messages into Google SecOps using the Bindplane Agent.\u003c/p\u003e\n"],["\u003cp\u003eThe process involves installing and configuring the Bindplane Agent on a Windows or Linux host to receive syslog data from the Aruba switch.\u003c/p\u003e\n"],["\u003cp\u003eYou must obtain a Google SecOps ingestion authentication file and customer ID to configure the Bindplane Agent for data transfer.\u003c/p\u003e\n"],["\u003cp\u003eThe Aruba switch must be configured to send syslog messages to the Bindplane Agent's IP address and port, which can be done through the command-line interface (CLI) or the web interface.\u003c/p\u003e\n"],["\u003cp\u003eThe parser extracts fields from the Aruba switch syslog messages and maps them to the Unified Data Model (UDM), assigning fields such as hostname, application, and description to their respective UDM counterparts.\u003c/p\u003e\n"]]],[],null,["# Collect Aruba switch logs\n=========================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis parser extracts fields from Aruba switch syslog messages using grok patterns and maps them to the UDM model. It handles various fields, including timestamps, hostnames, application names, process IDs, event IDs, and descriptions, populating the relevant UDM fields. The event type is set based on the presence of principal information.\n\nBefore you begin\n----------------\n\n- Ensure that you have a Google Security Operations instance.\n- Ensure that you have a Windows 2016 or later or a Linux host with systemd.\n- If running behind a proxy, ensure firewall [ports](/chronicle/docs/ingestion/use-bindplane-agent#verify_the_firewall_configuration) are open.\n- Ensure that you privileged access to the Aruba switch.\n\nGet Google SecOps ingestion authentication file\n-----------------------------------------------\n\n1. Sign in to the Google SecOps console.\n2. Go to **SIEM Settings** \\\u003e **Collection Agents**.\n3. Download the **Ingestion Authentication File**.\n\nGet Google SecOps customer ID\n-----------------------------\n\n1. Sign in to the Google SecOps console.\n2. Go to **SIEM Settings** \\\u003e **Profile**.\n3. Copy and save the **Customer ID** from the **Organization Details** section.\n\nInstall Bindplane Agent\n-----------------------\n\n1. For **Windows installation** , run the following script: \n `msiexec /i \"https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi\" /quiet`\n2. For **Linux installation** , run the following script: \n `sudo sh -c \"$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)\" install_unix.sh`\n3. Additional installation options can be found in this [installation guide](/chronicle/docs/ingestion/use-bindplane-agent#install_the_bindplane_agent).\n\nConfigure Bindplane Agent to ingest Syslog and send to Google SecOps\n--------------------------------------------------------------------\n\n1. Access the machine where Bindplane is installed.\n2. Edit the `config.yaml` file as follows:\n\n receivers:\n tcplog:\n # Replace the below port \u003c54525\u003e and IP \u003c0.0.0.0\u003e with your specific values\n listen_address: \"0.0.0.0:54525\" \n\n exporters:\n chronicle/chronicle_w_labels:\n compression: gzip\n # Adjust the creds location below according the placement of the credentials file you downloaded\n creds: '{ json file for creds }'\n # Replace \u003ccustomer_id\u003e below with your actual ID that you copied\n customer_id: \u003ccustomer_id\u003e\n endpoint: malachiteingestion-pa.googleapis.com\n # You can apply ingestion labels below as preferred\n ingestion_labels:\n log_type: SYSLOG\n namespace: aruba_switch\n raw_log_field: body\n service:\n pipelines:\n logs/source0__chronicle_w_labels-0:\n receivers:\n - tcplog\n exporters:\n - chronicle/chronicle_w_labels\n\n3. Restart the Bindplane Agent to apply the changes:\n\n sudo systemctl restart bindplane\n\nConfigure Syslog on the Aruba Switch\n------------------------------------\n\n1. Connect to the **Aruba** switch through the **Console**:\n\n ssh admin@\u003cswitch-ip\u003e\n\n2. Connect to the **Aruba** switch through a **Web Interface**:\n\n - Go to the Aruba switch web GUI.\n - Authenticate with the switch's administrator credentials.\n3. Enable **Syslog** using the **CLI** configuration:\n\n - Enter global configuration mode:\n\n configure terminal\n\n - Specify the external syslog server:\n\n logging \u003cbindplane-ip\u003e:\u003cbindplane-port\u003e\n\n - Replace `\u003cbindplane-ip\u003e` and `\u003cbindplane-port\u003e` with the address of your Bindplane agent.\n\n4. Optional: Set the logging **severity level**:\n\n logging severity \u003clevel\u003e\n\n | **Note:** Severity levels range from 0 (emergency) to 7 (debug).\n5. Optional: Add a **custom** log source **identifier** (tag):\n\n logging facility local5\n\n6. Save the configuration:\n\n write memory\n\n7. Enable **Syslog** using Web Interface Configuration:\n\n - Log in to the Aruba switch web interface.\n - Go to **System** \\\u003e **Logs** \\\u003e **Syslog**.\n - Add syslog server parameters:\n - Enter the **Bindplane IP** address.\n - Enter the **Bindplane Port**.\n - Set the **Severity Level** to control the verbosity of logs.\n - Click **Save**.\n\nUDM Mapping Table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
