Aruba Wireless 컨트롤러 및 액세스 포인트 로그 수집

다음에서 지원:

이 문서에서는 Bindplane을 사용하여 Aruba 무선 컨트롤러 및 액세스 포인트 로그를 수집하는 방법을 설명합니다. 파서는 SYSLOG 메시지를 처리하여 관찰자, 중개자, 액세스 포인트 세부정보와 관련된 필드를 추출합니다. 그런 다음 이러한 필드를 통합 데이터 모델 (UDM)에 매핑하여 보안 결과 심각도로 이벤트 데이터를 보강하고 프로세스 중에 다양한 오류 조건을 처리합니다.

시작하기 전에

  • Google Security Operations 인스턴스가 있는지 확인합니다.
  • Windows 2016 이상 또는 systemd를 사용하는 Linux 호스트를 사용하고 있는지 확인합니다.
  • 프록시 뒤에서 실행하는 경우 방화벽 포트가 열려 있는지 확인합니다.
  • Aruba 무선 컨트롤러에 대한 권한이 있는지 확인합니다.

Google SecOps 처리 인증 파일 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 수집 에이전트로 이동합니다.
  3. 처리 인증 파일을 다운로드합니다. Bindplane가 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 프로필로 이동합니다.
  3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

Bindplane 에이전트 설치

Windows 설치

  1. 관리자 권한으로 명령 프롬프트 또는 PowerShell을 엽니다.

  2. 다음 명령어를 실행합니다.

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 설치

  1. 루트 또는 sudo 권한으로 터미널을 엽니다.

  2. 다음 명령어를 실행합니다.

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

추가 설치 리소스

Syslog를 수집하고 Google SecOps로 전송하도록 Bindplane 에이전트 구성

  1. 구성 파일에 액세스합니다.

    1. config.yaml 파일을 찾습니다. 일반적으로 Linux의 /etc/bindplane-agent/ 디렉터리 또는 Windows의 설치 디렉터리에 있습니다.
    2. 텍스트 편집기 (예: nano, vi, 메모장)를 사용하여 파일을 엽니다.

  2. 다음과 같이 config.yaml 파일을 수정합니다.

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: ARUBA_WIRELESS
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. 인프라에서 필요에 따라 포트와 IP 주소를 바꿉니다.

  4. <customer_id>를 실제 고객 ID로 바꿉니다.

  5. /path/to/ingestion-authentication-file.json를 Google SecOps 처리 인증 파일 가져오기 섹션에서 인증 파일이 저장된 경로로 업데이트합니다.

Bindplane 에이전트를 다시 시작하여 변경사항 적용

  • Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

    sudo systemctl restart bindplane-agent

  • Windows에서 Bindplane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.

    net stop BindPlaneAgent && net start BindPlaneAgent

Aruba 무선 컨트롤러 및 액세스 포인트 구성

  1. Aruba 컨트롤러 웹 UI에 로그인합니다.
  2. 상단 메뉴로 이동하여 구성 > 시스템을 선택합니다.
  3. 로깅을 선택하여 로깅 구성 페이지를 엽니다.
  4. Syslog servers 섹션에서 + Add를 클릭하여 새 syslog 서버를 추가합니다.
  5. 새 양식이 표시되면 다음 세부정보를 입력해야 합니다.
    • 이름: 시스템로그 서버의 고유한 이름을 입력합니다(예: Google SecOps Syslog).
    • IP 주소: Bindplane IP 주소를 입력합니다.
    • 포트: Bindplane 포트 번호를 입력합니다 (일반적으로 UDP의 경우 514).
    • 로깅 시설: 메뉴에서 로컬 6을 선택합니다 (일반적으로 네트워크 기기에 사용됨).
    • 로깅 수준: 정보를 선택하여 정보 로그를 캡처합니다.
    • 형식: bsd-standard 형식 (Aruba 컨트롤러에서 사용하는 기본 syslog 형식)을 선택합니다.
  6. 제출을 클릭하여 설정을 저장합니다.
  7. 대기 중인 변경사항을 클릭합니다.

  8. 변경사항 배포를 클릭하여 새 syslog 서버 구성을 적용합니다.

  9. 로깅 수준 설정으로 이동하여 다음 카테고리별로 로깅 수준을 정보로 설정합니다.

    • 네트워크
    • 전체
    • 클러스터
    • DHCP
    • GP
    • 이동성
    • Packet-Dump
    • SDN

UDM 매핑 표

로그 필드 UDM 매핑 논리
Additional Info read_only_udm.security_result.description 원시 로그의 Additional Info 값이 UDM 필드 security_result.description에 매핑됩니다.
AP read_only_udm.target.hostname 원시 로그에 있는 경우 AP: 뒤의 값이 추출되어 UDM 필드 target.hostname에 매핑됩니다.
BSSID read_only_udm.target.mac, read_only_udm.principal.resource.name (리소스 유형이 BSSID인 경우) 원시 로그의 BSSID 값은 target.mac에 매핑됩니다. principal.resource.type이 BSSID인 경우 리소스 이름으로도 사용됩니다.
COMMAND read_only_udm.principal.process.command_line 원시 로그의 명령어 값이 UDM 필드 principal.process.command_line에 매핑됩니다.
Dst-MAC read_only_udm.target.mac 이 필드가 있는 경우 원시 로그의 Dst-MAC 값이 UDM 필드 target.mac에 매핑됩니다.
SERVER read_only_udm.target.hostname 있는 경우 원시 로그의 서버 이름이 UDM 필드 target.hostname에 매핑됩니다.
SERVER-IP read_only_udm.target.ip 있는 경우 원시 로그의 서버 IP가 UDM 필드 target.ip에 매핑됩니다.
Src-MAC read_only_udm.principal.mac 있는 경우 원시 로그의 Src-MAC 값이 UDM 필드 principal.mac에 매핑됩니다.
SSID read_only_udm.target.resource.name (리소스 유형이 SSID인 경우) target.resource.type이 SSID인 경우 원시 로그의 SSID 값이 리소스 이름으로 사용됩니다.
USER read_only_udm.target.user.userid 있는 경우 원시 로그의 사용자 ID가 UDM 필드 target.user.userid에 매핑됩니다.
USERIP read_only_udm.principal.ip, read_only_udm.observer.ip 이 필드가 있는 경우 원시 로그의 사용자 IP가 UDM 필드 principal.ip 및 observer.ip에 매핑됩니다.
USERMAC read_only_udm.principal.mac 이 필드가 있으면 원시 로그의 사용자 MAC이 UDM 필드 principal.mac에 매핑됩니다.
USERNAME read_only_udm.principal.user.userid 이 필드가 있으면 원시 로그의 사용자 이름이 UDM 필드 principal.user.userid에 매핑됩니다.
action read_only_udm.security_result.action 원시 로그의 작업 값입니다 (예: permit, deny)는 UDM 필드 security_result.action에 매핑됩니다.
apname read_only_udm.target.hostname 이 필드가 있으면 원시 로그의 AP 이름이 UDM 필드 target.hostname에 매핑됩니다.
bssid read_only_udm.target.mac 있는 경우 원시 로그의 BSSID 값이 UDM 필드 target.mac에 매핑됩니다.
collection_time.seconds read_only_udm.metadata.event_timestamp.seconds 원시 로그의 수집 시간의 초 값이 UDM 필드 metadata.event_timestamp.seconds에 매핑됩니다.
device_ip read_only_udm.intermediary.ip 원시 로그 또는 logstash의 기기 IP가 UDM 필드 intermediary.ip에 매핑됩니다.
dstip read_only_udm.target.ip 있는 경우 원시 로그의 대상 IP가 UDM 필드 target.ip에 매핑됩니다.
dstport read_only_udm.target.port 이 필드가 있으면 원시 로그의 대상 포트가 UDM 필드 target.port에 매핑됩니다.
event_id read_only_udm.metadata.product_event_type 원시 로그의 이벤트 ID는 UDM의 metadata.product_event_type 필드를 생성하는 데 사용되며 접두사로 Event ID:가 추가됩니다.
event_message read_only_udm.security_result.summary 원시 로그의 이벤트 메시지가 UDM 필드 security_result.summary에 매핑됩니다.
log.source.address read_only_udm.observer.ip 로그 소스 주소는 UDM 필드 observer.ip에 매핑됩니다.
log_type read_only_udm.metadata.log_type 원시 로그의 로그 유형이 UDM 필드 metadata.log_type에 매핑됩니다.
logstash.collect.host read_only_udm.observer.ip 또는 read_only_udm.observer.hostname Logstash 수집 호스트는 IP 주소인 경우 observer.ip로, 호스트 이름인 경우 observer.hostname로 매핑됩니다.
logstash.ingest.host read_only_udm.intermediary.hostname Logstash 처리 호스트가 UDM 필드 intermediary.hostname에 매핑됩니다.
logstash.process.host read_only_udm.intermediary.hostname Logstash 프로세스 호스트가 UDM 필드 intermediary.hostname에 매핑됩니다.
program read_only_udm.target.application 원시 로그의 프로그램 이름이 UDM 필드 target.application에 매핑됩니다.
serverip read_only_udm.target.ip 있는 경우 원시 로그의 서버 IP가 UDM 필드 target.ip에 매핑됩니다.
servername read_only_udm.target.hostname 있는 경우 원시 로그의 서버 이름이 UDM 필드 target.hostname에 매핑됩니다.
srcip read_only_udm.principal.ip 있는 경우 원시 로그의 소스 IP가 UDM 필드 principal.ip에 매핑됩니다.
srcport read_only_udm.principal.port 이 필드가 있으면 원시 로그의 소스 포트가 UDM 필드 principal.port에 매핑됩니다.
syslog_host read_only_udm.intermediary.hostname 원시 로그의 syslog 호스트가 UDM 필드 intermediary.hostname에 매핑됩니다.
timestamp read_only_udm.metadata.event_timestamp 원시 로그의 타임스탬프가 파싱되어 UDM 필드 metadata.event_timestamp에 매핑됩니다.
userip read_only_udm.principal.ip, read_only_udm.observer.ip 이 필드가 있는 경우 원시 로그의 사용자 IP가 UDM 필드 principal.ip 및 observer.ip에 매핑됩니다.
usermac read_only_udm.principal.mac 이 필드가 있으면 원시 로그의 사용자 MAC이 UDM 필드 principal.mac에 매핑됩니다.
username read_only_udm.principal.user.userid 이 필드가 있으면 원시 로그의 사용자 이름이 UDM 필드 principal.user.userid에 매핑됩니다. 파서 내의 event_id 및 로직에서 파생됩니다. 이벤트 ID 및 로그 메시지 콘텐츠를 기반으로 파서에서 결정합니다. Wireless로 하드코딩되었습니다. Aruba로 하드코딩되었습니다. 이벤트 ID 및 로그 메시지 콘텐츠를 기반으로 파서에서 결정합니다. 이벤트 ID 및 로그 메시지 콘텐츠를 기반으로 파서에서 결정합니다. 정규식을 사용하여 원시 로그 메시지에서 추출됩니다. 이벤트 ID 및 로그 메시지 콘텐츠를 기반으로 파서에서 결정합니다. event_type이 USER_LOGIN 또는 관련 인증 이벤트인 경우 빈 객체가 추가됩니다. 이벤트에 사용된 네트워크 프로토콜 (예: TCP, UDP, ICMP, IGMP) 특정 조건에 따라 원시 로그에서 추출된 추가 필드가 포함됩니다. 예를 들어 ap_name는 있는 경우 키-값 쌍으로 추가됩니다. BSSID가 사용자 인증 정보의 컨텍스트에 있는 경우 BSSID로 설정합니다. 타겟 컨텍스트에 SSID가 있는 경우 SSID로 설정합니다. 원시 로그에서 추출된 관련 감지 정보의 키-값 쌍(예: BSSID 또는 SSID)이 포함됩니다.

변경사항

2024-12-27

개선사항:

  • syslog 로그의 새 패턴을 지원하는 Grok 패턴을 추가했습니다.

2024-09-04

개선사항:

  • 새로운 SYSLOG 로그 패턴에 대한 지원이 추가되었습니다.

2024-08-26

개선사항:

  • 파싱되지 않은 SYSLOG 로그를 처리하는 지원을 추가했습니다.
  • details를 metadata.description에 매핑했습니다.

2024-06-18

개선사항:

  • 파싱되지 않은 SYSLOG 로그를 처리하는 지원을 추가했습니다.

2024-04-18

개선사항:

  • ap_name에서 유효한 값을 추출하는 Grok 패턴을 추가했습니다.
  • ap_name를 additional.fields에 매핑했습니다.

2023-05-25

버그 수정:

  • 로그 패턴이 다르기 때문에 파싱된 로그가 실패합니다.

2022-09-15

버그 수정:

  • 로그의 타임스탬프에 날짜 필드가 있을 수 있고 특정 로그에는 로그에 키 userip가 없을 수 있는 로그를 파싱하도록 grok 패턴을 수정했습니다.
  • 가능한 경우 metadata.event_type를 GENERIC_EVENT에서 STATUS_UPDATE로 수정했습니다.

2022-08-23

개선사항:

  • 고객별 파서가 기본 파서로 마이그레이션되었습니다.
  • event_id가 '132053'인 경우 'metadata.event_type'의 매핑을 'GENERIC_EVENT'에서 'USER_RESOURCE_ACCESS'로 수정했습니다.

2022-03-30

개선사항:

  • 다음과 같은 새로운 이벤트 ID 124003, 126037, 126038, 199801, 235008, 235009, 304119, 306602, 326091, 326098, 326271, 326272, 326273, 326274, 326275, 326276, 326277, 326278, 326284, 341004, 350008, 351008, 358000, 393000, 399815, 520013, 522274, 541004를 추가했습니다.
  • Event Id이 126034, 126064, 127064, 132006, 132030, 132093, 132094, 132197인 metadata.event_type를 GENERIC_EVENT에서 SCAN_UNCATEGORIZED로 변경했습니다.
  • Event Id이 132207인 metadata.event_type를 GENERIC_EVENT에서 NETWORK_CONNECTION로 변경했습니다.
  • Event Id이 520002인 metadata.event_type를 GENERIC_EVENT에서 USER_UNCATEGORIZED로 변경했습니다.
  • intermediary.hostname, intermediary.mac, intermediary.ip, target.application, target.process.pid 매핑
  • logstash.irm_site, logstash.irm_environment, logstash.irm_region를 additional.fields에 매핑했습니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받으세요.