Halaman ini diterjemahkan oleh Cloud Translation API.

Mengumpulkan log Aruba Wireless Controller dan Access Point

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara mengumpulkan log Aruba Wireless Controller dan Access Point menggunakan Bindplane. Parser memproses pesan SYSLOG, mengekstrak kolom yang terkait dengan detail pengamat, perantara, dan titik akses. Kemudian, kolom ini dipetakan ke Unified Data Model (UDM), yang memperkaya data peristiwa dengan tingkat keparahan hasil keamanan dan menangani berbagai kondisi error selama proses.

Sebelum memulai

Pastikan Anda memiliki instance Google Security Operations.
Pastikan Anda menggunakan Windows 2016 atau yang lebih baru, atau host Linux dengan systemd.
Jika berjalan di balik proxy, pastikan port firewall terbuka.
Pastikan Anda memiliki akses dengan hak istimewa ke Aruba Wireless Controller.

Mendapatkan file autentikasi penyerapan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Agen Pengumpulan.
Download File Autentikasi Proses Transfer. Simpan file dengan aman di sistem tempat Bindplane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Profil.
Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Penginstalan Windows

Buka Command Prompt atau PowerShell sebagai administrator.

Jalankan perintah berikut:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Penginstalan Linux

Buka terminal dengan hak istimewa root atau sudo.

Jalankan perintah berikut:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan ini.

Mengonfigurasi agen Bindplane untuk menyerap Syslog dan mengirim ke Google SecOps

Akses file konfigurasi:
1. Temukan file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
2. Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

Edit file config.yaml sebagai berikut:

receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: ARUBA_WIRELESS
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
Ganti <customer_id> dengan ID pelanggan yang sebenarnya.
Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Mendapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:
```
sudo systemctl restart bindplane-agent
```
Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

Mengonfigurasi Aruba Wireless Controller dan Access Point

Login ke UI web pengontrol Aruba.
Buka menu atas dan pilih Konfigurasi > Sistem.
Pilih Logging untuk membuka halaman konfigurasi logging.
Di bagian Syslog servers, klik + Add untuk menambahkan server syslog baru.
Formulir baru akan muncul tempat Anda perlu memasukkan detail berikut:
- Name: masukkan nama unik untuk server syslog; misalnya, Google SecOps Syslog.
- Alamat IP: masukkan alamat IP Bindplane.
- Port: masukkan nomor port Bindplane (biasanya 514 untuk UDP).
- Logging Facility: pilih local 6 dari menu (ini biasanya digunakan untuk perangkat jaringan).
- Logging Level: pilih Informational untuk mengambil log informasi.
- Format: pilih format bsd-standard (ini adalah format syslog default yang digunakan oleh pengontrol Aruba).
Klik Submit untuk menyimpan setelan Anda.
Klik Pending Changes.
Klik Deploy Changes untuk menerapkan konfigurasi server syslog baru.

Catatan: Setelah men-deploy perubahan, Anda harus mengonfigurasi tingkat logging untuk kategori log tertentu.
Buka setelan Logging Level dan tetapkan Logging Level ke Informational untuk setiap kategori berikut:
- Jaringan
- Semua
- Cluster
- DHCP
- GP
- Mobilitas
- Packet-Dump
- SDN

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
`Additional Info`	`read_only_udm.security_result.description`	Nilai `Additional Info` dari log mentah dipetakan ke kolom UDM `security_result.description`.
`AP`	`read_only_udm.target.hostname`	Jika ada dalam log mentah, nilai setelah `AP:` akan diekstrak dan dipetakan ke kolom UDM `target.hostname`.
`BSSID`	`read_only_udm.target.mac`, `read_only_udm.principal.resource.name` (jika jenis resource adalah BSSID)	Nilai BSSID dari log mentah dipetakan ke `target.mac`. Nama ini juga digunakan sebagai nama resource saat `principal.resource.type` adalah `BSSID`.
`COMMAND`	`read_only_udm.principal.process.command_line`	Nilai perintah dari log mentah dipetakan ke kolom UDM `principal.process.command_line`.
`Dst-MAC`	`read_only_udm.target.mac`	Jika ada, nilai Dst-MAC dari log mentah akan dipetakan ke kolom UDM `target.mac`.
`SERVER`	`read_only_udm.target.hostname`	Jika ada, nama server dari log mentah akan dipetakan ke kolom UDM `target.hostname`.
`SERVER-IP`	`read_only_udm.target.ip`	Jika ada, IP server dari log mentah akan dipetakan ke kolom UDM `target.ip`.
`Src-MAC`	`read_only_udm.principal.mac`	Jika ada, nilai Src-MAC dari log mentah akan dipetakan ke kolom UDM `principal.mac`.
`SSID`	`read_only_udm.target.resource.name` (jika jenis resource adalah SSID)	Nilai SSID dari log mentah digunakan sebagai nama resource jika `target.resource.type` adalah `SSID`.
`USER`	`read_only_udm.target.user.userid`	Jika ada, ID pengguna dari log mentah akan dipetakan ke kolom UDM `target.user.userid`.
`USERIP`	`read_only_udm.principal.ip`, `read_only_udm.observer.ip`	Jika ada, IP pengguna dari log mentah akan dipetakan ke kolom UDM `principal.ip` dan `observer.ip`.
`USERMAC`	`read_only_udm.principal.mac`	Jika ada, MAC pengguna dari log mentah akan dipetakan ke kolom UDM `principal.mac`.
`USERNAME`	`read_only_udm.principal.user.userid`	Jika ada, nama pengguna dari log mentah akan dipetakan ke kolom UDM `principal.user.userid`.
`action`	`read_only_udm.security_result.action`	Nilai tindakan dari log mentah (mis., `permit`, `deny`) dipetakan ke kolom UDM `security_result.action`.
`apname`	`read_only_udm.target.hostname`	Jika ada, nama AP dari log mentah akan dipetakan ke kolom UDM `target.hostname`.
`bssid`	`read_only_udm.target.mac`	Jika ada, nilai BSSID dari log mentah akan dipetakan ke kolom UDM `target.mac`.
`collection_time.seconds`	`read_only_udm.metadata.event_timestamp.seconds`	Nilai detik waktu pengumpulan dari log mentah dipetakan ke kolom UDM `metadata.event_timestamp.seconds`.
`device_ip`	`read_only_udm.intermediary.ip`	IP perangkat dari log mentah atau dari `logstash` dipetakan ke kolom UDM `intermediary.ip`.
`dstip`	`read_only_udm.target.ip`	Jika ada, IP tujuan dari log mentah akan dipetakan ke kolom UDM `target.ip`.
`dstport`	`read_only_udm.target.port`	Jika ada, port tujuan dari log mentah akan dipetakan ke kolom UDM `target.port`.
`event_id`	`read_only_udm.metadata.product_event_type`	ID peristiwa dari log mentah digunakan untuk membuat kolom `metadata.product_event_type` di UDM, yang diawali dengan `Event ID:`.
`event_message`	`read_only_udm.security_result.summary`	Pesan peristiwa dari log mentah dipetakan ke kolom UDM `security_result.summary`.
`log.source.address`	`read_only_udm.observer.ip`	Alamat sumber log dipetakan ke kolom UDM `observer.ip`.
`log_type`	`read_only_udm.metadata.log_type`	Jenis log dari log mentah dipetakan ke kolom UDM `metadata.log_type`.
`logstash.collect.host`	`read_only_udm.observer.ip` atau `read_only_udm.observer.hostname`	Host pengumpulan logstash dipetakan ke `observer.ip` jika berupa alamat IP, atau `observer.hostname` jika berupa nama host.
`logstash.ingest.host`	`read_only_udm.intermediary.hostname`	Host transfer logstash dipetakan ke kolom UDM `intermediary.hostname`.
`logstash.process.host`	`read_only_udm.intermediary.hostname`	Host proses logstash dipetakan ke kolom UDM `intermediary.hostname`.
`program`	`read_only_udm.target.application`	Nama program dari log mentah dipetakan ke kolom UDM `target.application`.
`serverip`	`read_only_udm.target.ip`	Jika ada, IP server dari log mentah akan dipetakan ke kolom UDM `target.ip`.
`servername`	`read_only_udm.target.hostname`	Jika ada, nama server dari log mentah akan dipetakan ke kolom UDM `target.hostname`.
`srcip`	`read_only_udm.principal.ip`	Jika ada, IP sumber dari log mentah akan dipetakan ke kolom UDM `principal.ip`.
`srcport`	`read_only_udm.principal.port`	Jika ada, port sumber dari log mentah akan dipetakan ke kolom UDM `principal.port`.
`syslog_host`	`read_only_udm.intermediary.hostname`	Host syslog dari log mentah dipetakan ke kolom UDM `intermediary.hostname`.
`timestamp`	`read_only_udm.metadata.event_timestamp`	Stempel waktu dari log mentah diuraikan dan dipetakan ke kolom UDM `metadata.event_timestamp`.
`userip`	`read_only_udm.principal.ip`, `read_only_udm.observer.ip`	Jika ada, IP pengguna dari log mentah akan dipetakan ke kolom UDM `principal.ip` dan `observer.ip`.
`usermac`	`read_only_udm.principal.mac`	Jika ada, MAC pengguna dari log mentah akan dipetakan ke kolom UDM `principal.mac`.
`username`	`read_only_udm.principal.user.userid`	Jika ada, nama pengguna dari log mentah akan dipetakan ke kolom UDM `principal.user.userid`. Berasal dari `event_id` dan logika dalam parser. Ditentukan oleh parser berdasarkan ID peristiwa dan konten pesan log. Di-hardcode ke `Wireless`. Di-hardcode ke `Aruba`. Ditentukan oleh parser berdasarkan ID peristiwa dan konten pesan log. Ditentukan oleh parser berdasarkan ID peristiwa dan konten pesan log. Diekstrak dari pesan log mentah menggunakan ekspresi reguler. Ditentukan oleh parser berdasarkan ID peristiwa dan konten pesan log. Objek kosong ditambahkan jika event_type adalah USER_LOGIN atau peristiwa autentikasi terkait. Ditentukan oleh parser berdasarkan protokol jaringan yang digunakan dalam peristiwa (misalnya, TCP, UDP, ICMP, IGMP). Berisi kolom tambahan yang diekstrak dari log mentah berdasarkan kondisi tertentu. Misalnya, `ap_name` ditambahkan sebagai pasangan nilai kunci jika ada. Tetapkan ke `BSSID` jika BSSID ada dalam konteks akun utama. Tetapkan ke `SSID` saat SSID ada dalam konteks target. Berisi pasangan nilai kunci dari informasi deteksi yang relevan yang diekstrak dari log mentah, seperti BSSID atau SSID.

Perubahan

2024-12-27

Peningkatan:

Menambahkan pola Grok untuk mendukung pola log syslog baru.

2024-09-04

Peningkatan:

Menambahkan dukungan untuk pola log SYSLOG baru.

2024-08-26

Peningkatan:

Menambahkan dukungan untuk menangani log SYSLOG yang tidak diuraikan.
Memetakan details ke metadata.description.

2024-06-18

Peningkatan:

Menambahkan dukungan untuk menangani log SYSLOG yang tidak diuraikan.

2024-04-18

Peningkatan:

Menambahkan pola Grok untuk mengekstrak nilai yang valid dari ap_name.
Memetakan ap_name ke additional.fields.

2023-05-25

Perbaikan bug:

Log yang diuraikan gagal karena pola log yang berbeda.

2022-09-15

Perbaikan bug:

Mengubah pola grok untuk mengurai log yang mungkin memiliki kolom tanggal dalam stempel waktu log dan juga log tertentu mungkin tidak memiliki kunci userip dalam log.
Mengubah metadata.event_type dari GENERIC_EVENT menjadi STATUS_UPDATE jika memungkinkan.

2022-08-23

Peningkatan:

Memigrasikan parser khusus pelanggan ke parser default.
Pemetaan yang diubah untuk 'metadata.event_type' dari 'GENERIC_EVENT' menjadi 'USER_RESOURCE_ACCESS' dengan event_id adalah '132053'.

2022-03-30

Peningkatan:

Menambahkan ID Peristiwa baru berikut 124003, 126037, 126038, 199801, 235008, 235009, 304119, 306602, 326091, 326098, 326271, 326272, 326273, 326274, 326275, 326276, 326277, 326278, 326284, 341004, 350008, 351008, 358000, 393000, 399815, 520013, 522274, 541004
Mengubah metadata.event_type dengan Event Id adalah 126034, 126064, 127064, 132006, 132030, 132093, 132094, 132197 dari GENERIC_EVENT menjadi SCAN_UNCATEGORIZED
Mengubah metadata.event_type dengan Event Id 132207 dari GENERIC_EVENT menjadi NETWORK_CONNECTION
Mengubah metadata.event_type dengan Event Id 520002 dari GENERIC_EVENT menjadi USER_UNCATEGORIZED
Memetakan intermediary.hostname, intermediary.mac, intermediary.ip, target.application, target.process.pid
Memetakan logstash.irm_site, logstash.irm_environment, logstash.irm_region ke additional.fields

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.