Coletar registros do switch Aruba

Compatível com:

Esse analisador extrai campos de mensagens syslog do switch Aruba usando padrões grok e os mapeia para o modelo UDM. Ele processa vários campos, incluindo carimbos de data/hora, nomes de host, nomes de aplicativos, IDs de processos, IDs de eventos e descrições, preenchendo os campos relevantes da UDM. O tipo de evento é definido com base na presença de informações principais.

Antes de começar

  • Verifique se você tem uma instância do Google Security Operations.
  • Verifique se você tem um host Windows 2016 ou mais recente ou Linux com systemd.
  • Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas.
  • Verifique se você tem acesso privilegiado ao switch Aruba.

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Baixe o arquivo de autenticação de ingestão.

Receber o ID do cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.
  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

  1. Para instalação no Windows, execute o seguinte script:
    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
  2. Para instalação no Linux, execute o seguinte script:
    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
  3. Outras opções de instalação estão disponíveis neste guia de instalação.

Configurar o agente do Bindplane para ingerir Syslog e enviar ao Google SecOps

  1. Acesse a máquina em que o Bindplane está instalado.

  2. Edite o arquivo config.yaml da seguinte forma:

      receivers:
      tcplog:
          # Replace the below port <54525> and IP <0.0.0.0> with your specific values
          listen_address: "0.0.0.0:54525" 

  exporters:
      chronicle/chronicle_w_labels:
          compression: gzip
          # Adjust the creds location below according the placement of the credentials file you downloaded
          creds: '{ json file for creds }'
          # Replace <customer_id> below with your actual ID that you copied
          customer_id: <customer_id>
          endpoint: malachiteingestion-pa.googleapis.com
          # You can apply ingestion labels below as preferred
          ingestion_labels:
          log_type: SYSLOG
          namespace: aruba_switch
          raw_log_field: body
  service:
      pipelines:
          logs/source0__chronicle_w_labels-0:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/chronicle_w_labels

  3. Reinicie o agente do Bindplane para aplicar as mudanças:

    sudo systemctl restart bindplane

Configurar o Syslog no switch Aruba

  1. Conecte-se ao switch Aruba pelo Console:

      ssh admin@<switch-ip>

  2. Conecte-se ao switch Aruba usando uma interface da Web:

    • Acesse a GUI da Web do switch Aruba.
    • Faça a autenticação com as credenciais de administrador do switch.

  3. Ative o Syslog usando a configuração da CLI:

    • Insira o modo de configuração global:

      configure terminal

    • Especifique o servidor syslog externo:

      logging <bindplane-ip>:<bindplane-port>

    • Substitua <bindplane-ip> e <bindplane-port> pelo endereço do seu agente do Bindplane.

  4. Opcional: defina o nível de gravidade do registro:

      logging severity <level>

  5. Opcional: adicione um identificador (tag) personalizado de origem de registros:

      logging facility local5

  6. Salve a configuração:

      write memory

  7. Ative o Syslog usando a configuração da interface da Web:

    • Faça login na interface da Web do switch Aruba.
    • Acesse Sistema > Registros > Syslog.
    • Adicione parâmetros do servidor syslog:
    • Insira o endereço IP do Bindplane.
    • Insira a porta do Bindplane.
    • Defina o Nível de gravidade para controlar a verbosidade dos registros.
    • Clique em Salvar.

Tabela de mapeamento do UDM

Campo de registro Mapeamento do UDM Lógica
app principal.application O valor do campo app do registro bruto é atribuído diretamente a principal.application.
description security_result.description O valor do campo description do registro bruto é atribuído diretamente a security_result.description.
event_id additional.fields.key A string "event_id" é atribuída a additional.fields.key.
event_id additional.fields.value.string_value O valor do campo event_id do registro bruto é atribuído diretamente a additional.fields.value.string_value.
host principal.asset.hostname O valor do campo host do registro bruto é atribuído diretamente a principal.asset.hostname.
host principal.hostname O valor do campo host do registro bruto é atribuído diretamente a principal.hostname.
pid principal.process.pid O valor do campo pid do registro bruto é atribuído diretamente a principal.process.pid.
ts metadata.event_timestamp O valor do campo ts do registro bruto é convertido em um carimbo de data/hora e atribuído a metadata.event_timestamp. O carimbo de data/hora também é usado para o campo timestamp de nível superior na UDM. O metadata.event_type é definido como "STATUS_UPDATE" porque a variável principal_mid_present é definida como "true" no analisador quando o campo host está presente no registro bruto. A string "ARUBA_SWITCH" é atribuída a metadata.product_name no analisador. A string "ARUBA SWITCH" é atribuída a metadata.vendor_name no analisador. O analisador tenta extrair e analisar o user agent do registro bruto usando client.userAgent.rawUserAgent. Se for bem-sucedido, o user agent analisado será atribuído a network.http.parsed_user_agent. No entanto, como os registros brutos fornecidos não contêm esse campo, é provável que ele fique vazio na UDM. O analisador tenta extrair o user agent bruto do registro bruto usando client.userAgent.rawUserAgent. Se for bem-sucedido, o user agent bruto será atribuído a network.http.user_agent. No entanto, como os registros brutos fornecidos não contêm esse campo, é provável que ele fique vazio na UDM.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.