收集 Barracuda CloudGen 防火墙日志

支持的语言：

本文档介绍了如何使用 Bindplane 将 Barracuda CloudGen 防火墙日志注入到 Google Security Operations。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例
  • Windows 2016 或更高版本，或者具有 systemd 的 Linux 主机
  • 如果在代理后运行，防火墙端口处于开放状态
  • 运行固件 8.3 或更高版本的 Barracuda CloudGen 防火墙
  • 对 Barracuda 防火墙的特权访问权限

获取 Google SecOps 注入身份验证文件

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。
  3. 下载注入身份验证文件。将该文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 配置文件。
  3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安装资源

如需了解其他安装选项，请参阅安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

  1. 访问配置文件：
    • 找到 config.yaml 文件。通常，它位于 Linux 上的 /etc/bindplane-agent/ 目录中或 Windows 上的安装目录中。
    • 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

  2. 按如下方式修改 config.yaml 文件：

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'BARRACUDA_CLOUDGEN_FIREWALL'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • 根据基础架构的需要替换端口和 IP 地址。
    • 将 <customer_id> 替换为实际的客户 ID。
    • 将 /path/to/ingestion-authentication-file.json 更新为获取 Google SecOps 提取身份验证文件部分中保存身份验证文件的路径。

重启 Bindplane 代理以应用更改

  • 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

    sudo systemctl restart bindplane-agent

  • 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

    net stop BindPlaneAgent && net start BindPlaneAgent

为 Barracuda CloudGen 防火墙启用 Syslog

  1. 在盒子级别登录 Barracuda Firewall Control Center。
  2. 依次前往配置 > 完整配置 > 盒子 > 基础架构服务 > Syslog 流式传输。
  3. 点击锁定图标以启用修改功能。
  4. 将启用 Syslog 流式传输切换为是。
  5. 依次点击发送更改> 启用。

为 Barracuda CloudGen 防火墙配置日志数据过滤器

  1. 依次前往配置 > 完整配置 > 盒子 > 基础架构服务 > Syslog 流式传输。
  2. 选择 Logdata Filters。
  3. 点击配置模式菜单，然后选择切换到高级视图。
  4. 点击锁定图标以启用修改功能。
  5. 点击 添加 图标 添加以添加新条目。
  6. 在过滤条件对话框中提供一个唯一名称。
  7. 点击确定。
  8. 在受影响的 Box Logdata 部分，选择通过 syslog 发送的日志。
  9. 点击数据选择旁边的 添加 图标 添加。
  10. 为群组提供一个唯一的名称。
  11. 点击确定。
  12. 从数据选择或您要记录的特定类别中选择以下项：
    • Auth-All
    • Config-All
    • Control-All
    • Event-All
    • Firewall-All
    • Network-All
    • Settings-All
    • SSH-All
    • System-All
  13. 从消息类型或您指定的日志记录严重程度中选择以下项：
    • Panic
    • Security
    • Fatal
    • Error
    • Warning
    • Notice
  14. 点击确定。
  15. 依次点击发送更改> 启用。

为 Barracuda CloudGen 防火墙配置 Logstream 目标

  1. 依次前往配置 > 完整配置 > 盒子 > 基础架构服务 > Syslog 流式传输。
  2. 选择 Logstream 目的地。
  3. 点击配置模式菜单，然后选择切换到高级视图。
  4. 点击锁定图标以启用修改功能。
  5. 点击 添加 图标 添加以添加新条目。
  6. 为目的地提供一个唯一的名称。
  7. 点击确定。
  8. 选择新创建的 Logstream 目标位置。
  9. 点击明确的 IP。
  10. 提供以下配置详细信息：
    • 目标 IP 地址：输入 Bindplane 代理 IP 地址。
    • 目标端口：输入 Bindplane 代理端口号。
    • 传输模式：选择 UDP。
  11. 点击确定。
  12. 依次点击发送更改> 启用。

为 Barracuda CloudGen 防火墙配置日志数据流

  1. 依次前往配置 > 完整配置 > 盒子 > 基础架构服务 > Syslog 流式传输。
  2. 选择 Logdata Streams。
  3. 点击配置模式菜单，然后选择切换到高级视图。
  4. 点击锁定图标以启用修改功能。
  5. 点击 添加 图标 添加以添加新条目。
  6. 为配置提供一个唯一的名称。
  7. 点击确定。
  8. 将有效数据流设置为是。
  9. 将日志目标位置设置为之前创建的目标位置。
  10. 将日志过滤条件设置为之前创建的过滤条件。
  11. 点击确定。
  12. 依次点击发送更改> 启用。

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。