收集 BlueCat Edge DNS Resolver 記錄

支援的國家/地區:

本文說明如何使用 Bindplane,將 BlueCat Edge DNS Resolver 擷取至 Google Security Operations。剖析器會先嘗試將輸入訊息剖析為 JSON。如果成功,系統會將各種欄位擷取並建構為 Unified Data Model (UDM) 結構定義,特別是與 DNS 相關的資訊。如果 JSON 剖析失敗,系統會嘗試其他剖析方法 (例如 grok 和鍵/值組合),擷取相關資料並對應至 UDM 架構。

事前準備

請確認您已完成下列事前準備事項:

  • Google SecOps 執行個體
  • Windows 2016 以上版本,或搭載 systemd 的 Linux 主機
  • 如果透過 Proxy 執行,防火牆通訊埠已開啟
  • BlueCat DNS/DHCP 的特殊存取權

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」
  3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」
  3. 複製並儲存「機構詳細資料」專區中的客戶 ID

安裝 Bindplane 代理程式

請按照下列操作說明,在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以系統管理員身分開啟「命令提示字元」或「PowerShell」
  2. 執行下列指令:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
    

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。
  2. 執行下列指令:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
    

其他安裝資源

如需其他安裝選項,請參閱安裝指南

設定 BindPlane 代理程式,擷取 Syslog 並傳送至 Google SecOps

  1. 存取設定檔:
    • 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄,或 Windows 的安裝目錄。
    • 使用文字編輯器 (例如 nanovi 或記事本) 開啟檔案。
  2. 按照下列方式編輯 config.yaml 檔案:

    receivers:
        udplog:
            # Replace the port and IP address as required
            listen_address: "0.0.0.0:514"
    
    exporters:
        chronicle/chronicle_w_labels:
            compression: gzip
            # Adjust the path to the credentials file you downloaded in Step 1
            creds_file_path: '/path/to/ingestion-authentication-file.json'
            # Replace with your actual customer ID from Step 2
            customer_id: <customer_id>
            endpoint: malachiteingestion-pa.googleapis.com
            # Add optional ingestion labels for better organization
            ingestion_labels:
                log_type: 'BLUECAT_EDGE'
                raw_log_field: body
    
    service:
        pipelines:
            logs/source0__chronicle_w_labels-0:
                receivers:
                    - udplog
                exporters:
                    - chronicle/chronicle_w_labels
    
    • 視基礎架構需求,替換通訊埠和 IP 位址。
    • <customer_id> 替換為實際的客戶 ID。
    • /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」一節中驗證檔案的儲存路徑。

重新啟動 Bindplane 代理程式,以套用變更

  • 如要在 Linux 中重新啟動 Bindplane 代理程式,請執行下列指令:

    sudo systemctl restart bindplane-agent
    
  • 如要在 Windows 中重新啟動 Bindplane 代理程式,可以使用「服務」控制台,或輸入下列指令:

    net stop BindPlaneAgent && net start BindPlaneAgent
    

在 BlueCat Edge DNS Resolver 上設定 Syslog

  1. 登入 BDDS 網頁 UI。
  2. 前往「設定」>「伺服器」分頁
  3. 選取 BDDS名稱,開啟伺服器的「詳細資料」分頁
  4. 依序點選「伺服器名稱選單」>「服務設定」
  5. 依序點選「服務類型」>「Syslog」
  6. 提供下列設定詳細資料:
    • 選取「ISO 8601 時間戳記」核取方塊,即可為本機記錄的訊息使用 ISO 8601 時間戳記格式。
    • 伺服器:輸入 Bindplane 代理程式 IP 位址。
    • 「Port」(通訊埠):輸入 Bindplane 代理程式通訊埠編號。
    • 等級:選取「資訊型」
    • 選取「Use RFC5 424 Syslog Protocol」(使用 RFC5 424 系統記錄檔通訊協定) 核取方塊,即可為系統記錄檔訊息使用 RFC5 424 系統記錄檔通訊協定。
    • 選取「ISO 8601 時間戳記」核取方塊,即可對重新導向至遠端系統記錄伺服器的系統記錄訊息,使用 ISO 8601 時間戳記格式。
    • 在「服務類型」下方,選取「DNS」、「DHCP」和「所有其他服務」
    • 傳輸:選取「UDP」
    • 按一下「新增」
  7. 按一下「更新」

UDM 對應表

記錄欄位 UDM 對應 邏輯
answer.domainName network.dns.answers.name DNS 回應 answer 區段中的網域名稱。移除結尾的 .
answer.recordTypeId network.dns.answers.type DNS 回應 answer 區段中的記錄類型 ID,已轉換為不帶正負號的整數。
answer.ttl network.dns.answers.ttl DNS 回應 answer 部分的存留時間 (TTL) 值,已轉換為不帶正負號的整數。
customerId target.user.userid 記錄中的客戶 ID,代表啟動 DNS 要求的使用者。
domain.domainName network.dns.authority.data DNS 回應的 authorityadditional 區段中的網域名稱。移除結尾的 .
主機名稱 principal.hostname 從原始記錄檔的 Host 標頭擷取的主機名稱,前提是記錄檔不是 JSON 格式。
方法 network.http.method 從原始記錄擷取的 HTTP 方法,僅限記錄不是 JSON 格式時。
parentDomain principal.administrative_domain 所查詢 DNS 名稱的上層網域。移除結尾的 .
通訊埠 principal.port 從原始記錄的 Host 標頭擷取的連接埠號碼 (僅限記錄不是 JSON 格式時),並轉換為整數。
question.domainName network.dns.questions.name DNS 要求的 question 區段中的網域名稱。移除結尾的 .
question.questionTypeId network.dns.questions.type DNS 要求的 question 部分中的問題類型 ID,已轉換為不帶正負號的整數。
responseData.header.aa network.dns.authoritative DNS 回應是否為權威回應,從 responseData 區段擷取。
responseData.header.id network.dns.id responseData 區段擷取的 DNS 訊息 ID,並轉換為不帶正負號的整數。
responseData.header.opcode network.dns.opcode responseData 區段擷取的 DNS 訊息運算碼,轉換為不帶正負號的整數。
responseData.header.ra network.dns.recursion_available 是否提供遞迴,從 responseData 區段擷取。
responseData.header.rcode network.dns.response_code responseData 區段擷取的 DNS 回應代碼,轉換為不帶正負號的整數。
responseData.header.rd network.dns.recursion_desired 是否選取遞迴,從 responseData 區段擷取。
responseData.header.tc network.dns.truncated DNS 訊息是否遭到截斷,或從 responseData 區段擷取。
servicePointId additional.fields.value.string_value 記錄中的服務點 ID。
siteId additional.fields.value.string_value 記錄中的網站 ID。
socketProtocol network.ip_protocol 用於 DNS 要求的網路通訊協定 (TCP 或 UDP)。
sourceAddress principal.ip DNS 用戶端的 IP 位址。
sourcePort principal.port DNS 用戶端的通訊埠號碼,轉換為整數。
threat.indicators security_result.category_details 與偵測到的威脅相關聯的指標。
threat.type security_result.threat_name 偵測到的威脅類型。
時間 metadata.event_timestamp.seconds time 欄位擷取 DNS 事件的時間戳記,並將單位從毫秒轉換為秒。
使用者代理程式 network.http.user_agent 從原始記錄擷取的使用者代理程式字串 (僅限記錄不是 JSON 格式時)。
additional.fields.key servicePointIdsiteIdContent-TypeContent-Length,視原始記錄的內容而定。
metadata.event_type 事件類型,如有 DNS 問題,請設為 NETWORK_DNS,否則請設為 GENERIC_EVENT
metadata.log_type 記錄類型,一律設為 BLUECAT_EDGE
network.application_protocol 應用程式通訊協定,如果存在 DNS 問題,則設為 DNS;如果擷取 HTTP 方法,則設為 HTTP;否則留空。

還有其他問題嗎?向社群成員和 Google SecOps 專業人員尋求答案。