收集 BlueCat Edge DNS Resolver 記錄
支援的國家/地區:
Google SecOps
SIEM
本文說明如何使用 Bindplane,將 BlueCat Edge DNS Resolver 擷取至 Google Security Operations。剖析器會先嘗試將輸入訊息剖析為 JSON。如果成功,系統會將各種欄位擷取並建構為 Unified Data Model (UDM) 結構定義,特別是與 DNS 相關的資訊。如果 JSON 剖析失敗,系統會嘗試其他剖析方法 (例如 grok 和鍵/值組合),擷取相關資料並對應至 UDM 架構。
事前準備
請確認您已完成下列事前準備事項:
- Google SecOps 執行個體
- Windows 2016 以上版本,或搭載
systemd
的 Linux 主機 - 如果透過 Proxy 執行,防火牆通訊埠已開啟
- BlueCat DNS/DHCP 的特殊存取權
取得 Google SecOps 擷取驗證檔案
- 登入 Google SecOps 控制台。
- 依序前往「SIEM 設定」>「收集代理程式」。
- 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。
取得 Google SecOps 客戶 ID
- 登入 Google SecOps 控制台。
- 依序前往「SIEM 設定」>「設定檔」。
- 複製並儲存「機構詳細資料」專區中的客戶 ID。
安裝 Bindplane 代理程式
請按照下列操作說明,在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。
Windows 安裝
- 以系統管理員身分開啟「命令提示字元」或「PowerShell」。
執行下列指令:
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
Linux 安裝
- 開啟具有根層級或 sudo 權限的終端機。
執行下列指令:
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
其他安裝資源
如需其他安裝選項,請參閱安裝指南。
設定 BindPlane 代理程式,擷取 Syslog 並傳送至 Google SecOps
- 存取設定檔:
- 找出
config.yaml
檔案。通常位於 Linux 的/etc/bindplane-agent/
目錄,或 Windows 的安裝目錄。 - 使用文字編輯器 (例如
nano
、vi
或記事本) 開啟檔案。
- 找出
按照下列方式編輯
config.yaml
檔案:receivers: udplog: # Replace the port and IP address as required listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the path to the credentials file you downloaded in Step 1 creds_file_path: '/path/to/ingestion-authentication-file.json' # Replace with your actual customer ID from Step 2 customer_id: <customer_id> endpoint: malachiteingestion-pa.googleapis.com # Add optional ingestion labels for better organization ingestion_labels: log_type: 'BLUECAT_EDGE' raw_log_field: body service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels
- 視基礎架構需求,替換通訊埠和 IP 位址。
- 將
<customer_id>
替換為實際的客戶 ID。 - 將
/path/to/ingestion-authentication-file.json
更新為「取得 Google SecOps 擷取驗證檔案」一節中驗證檔案的儲存路徑。
重新啟動 Bindplane 代理程式,以套用變更
如要在 Linux 中重新啟動 Bindplane 代理程式,請執行下列指令:
sudo systemctl restart bindplane-agent
如要在 Windows 中重新啟動 Bindplane 代理程式,可以使用「服務」控制台,或輸入下列指令:
net stop BindPlaneAgent && net start BindPlaneAgent
在 BlueCat Edge DNS Resolver 上設定 Syslog
- 登入 BDDS 網頁 UI。
- 前往「設定」>「伺服器」分頁。
- 選取 BDDS 的名稱,開啟伺服器的「詳細資料」分頁。
- 依序點選「伺服器名稱選單」>「服務設定」。
- 依序點選「服務類型」>「Syslog」。
- 提供下列設定詳細資料:
- 選取「ISO 8601 時間戳記」核取方塊,即可為本機記錄的訊息使用 ISO 8601 時間戳記格式。
- 伺服器:輸入 Bindplane 代理程式 IP 位址。
- 「Port」(通訊埠):輸入 Bindplane 代理程式通訊埠編號。
- 等級:選取「資訊型」。
- 選取「Use RFC5 424 Syslog Protocol」(使用 RFC5 424 系統記錄檔通訊協定) 核取方塊,即可為系統記錄檔訊息使用 RFC5 424 系統記錄檔通訊協定。
- 選取「ISO 8601 時間戳記」核取方塊,即可對重新導向至遠端系統記錄伺服器的系統記錄訊息,使用 ISO 8601 時間戳記格式。
- 在「服務類型」下方,選取「DNS」、「DHCP」和「所有其他服務」。
- 傳輸:選取「UDP」。
- 按一下「新增」。
- 按一下「更新」。
UDM 對應表
記錄欄位 | UDM 對應 | 邏輯 |
---|---|---|
answer.domainName | network.dns.answers.name | DNS 回應 answer 區段中的網域名稱。移除結尾的 . 。 |
answer.recordTypeId | network.dns.answers.type | DNS 回應 answer 區段中的記錄類型 ID,已轉換為不帶正負號的整數。 |
answer.ttl | network.dns.answers.ttl | DNS 回應 answer 部分的存留時間 (TTL) 值,已轉換為不帶正負號的整數。 |
customerId | target.user.userid | 記錄中的客戶 ID,代表啟動 DNS 要求的使用者。 |
domain.domainName | network.dns.authority.data | DNS 回應的 authority 或 additional 區段中的網域名稱。移除結尾的 . 。 |
主機名稱 | principal.hostname | 從原始記錄檔的 Host 標頭擷取的主機名稱,前提是記錄檔不是 JSON 格式。 |
方法 | network.http.method | 從原始記錄擷取的 HTTP 方法,僅限記錄不是 JSON 格式時。 |
parentDomain | principal.administrative_domain | 所查詢 DNS 名稱的上層網域。移除結尾的 . 。 |
通訊埠 | principal.port | 從原始記錄的 Host 標頭擷取的連接埠號碼 (僅限記錄不是 JSON 格式時),並轉換為整數。 |
question.domainName | network.dns.questions.name | DNS 要求的 question 區段中的網域名稱。移除結尾的 . 。 |
question.questionTypeId | network.dns.questions.type | DNS 要求的 question 部分中的問題類型 ID,已轉換為不帶正負號的整數。 |
responseData.header.aa | network.dns.authoritative | DNS 回應是否為權威回應,從 responseData 區段擷取。 |
responseData.header.id | network.dns.id | 從 responseData 區段擷取的 DNS 訊息 ID,並轉換為不帶正負號的整數。 |
responseData.header.opcode | network.dns.opcode | 從 responseData 區段擷取的 DNS 訊息運算碼,轉換為不帶正負號的整數。 |
responseData.header.ra | network.dns.recursion_available | 是否提供遞迴,從 responseData 區段擷取。 |
responseData.header.rcode | network.dns.response_code | 從 responseData 區段擷取的 DNS 回應代碼,轉換為不帶正負號的整數。 |
responseData.header.rd | network.dns.recursion_desired | 是否選取遞迴,從 responseData 區段擷取。 |
responseData.header.tc | network.dns.truncated | DNS 訊息是否遭到截斷,或從 responseData 區段擷取。 |
servicePointId | additional.fields.value.string_value | 記錄中的服務點 ID。 |
siteId | additional.fields.value.string_value | 記錄中的網站 ID。 |
socketProtocol | network.ip_protocol | 用於 DNS 要求的網路通訊協定 (TCP 或 UDP)。 |
sourceAddress | principal.ip | DNS 用戶端的 IP 位址。 |
sourcePort | principal.port | DNS 用戶端的通訊埠號碼,轉換為整數。 |
threat.indicators | security_result.category_details | 與偵測到的威脅相關聯的指標。 |
threat.type | security_result.threat_name | 偵測到的威脅類型。 |
時間 | metadata.event_timestamp.seconds | 從 time 欄位擷取 DNS 事件的時間戳記,並將單位從毫秒轉換為秒。 |
使用者代理程式 | network.http.user_agent | 從原始記錄擷取的使用者代理程式字串 (僅限記錄不是 JSON 格式時)。 |
additional.fields.key | servicePointId 、siteId 、Content-Type 或 Content-Length ,視原始記錄的內容而定。 |
|
metadata.event_type | 事件類型,如有 DNS 問題,請設為 NETWORK_DNS ,否則請設為 GENERIC_EVENT 。 |
|
metadata.log_type | 記錄類型,一律設為 BLUECAT_EDGE 。 |
|
network.application_protocol | 應用程式通訊協定,如果存在 DNS 問題,則設為 DNS ;如果擷取 HTTP 方法,則設為 HTTP ;否則留空。 |
還有其他問題嗎?向社群成員和 Google SecOps 專業人員尋求答案。