收集 Blue Coat ProxySG 日志

本文档介绍了如何使用 Bindplane 将 Blue Coat ProxySG 日志注入到 Google Security Operations。解析器可处理 Blue Coat 网络代理日志，支持 SYSLOG+JSON 和 SYSLOG+KV 格式。它使用一系列条件检查和 grok 模式来识别日志格式，提取相关字段并将其映射到统一数据模型 (UDM)，从而处理各种日志结构和边缘情况。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• Windows 2016 或更高版本，或者具有 systemd 的 Linux 主机
• 如果在代理后运行，防火墙端口处于开放状态
• 对 Blue Coat ProxySG 的特权访问权限

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载注入身份验证文件。将该文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安装资源

如需了解其他安装选项，请参阅安装指南。

配置 Bindlane 代理以注入 Syslog 并将其发送到 Google SecOps

1. 访问配置文件：
   • 找到 config.yaml 文件。通常，它位于 Linux 上的 /etc/bindplane-agent/ 目录中或 Windows 上的安装目录中。
   • 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

2. 按如下方式修改 config.yaml 文件：

   receivers:
       tcplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:5145"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: 'BLUECOAT_WEBPROXY'
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 根据基础架构的需要替换端口和 IP 地址。

4. 将 <customer_id> 替换为实际的客户 ID。

5. 将 /path/to/ingestion-authentication-file.json 更新为获取 Google SecOps 提取身份验证文件部分中保存身份验证文件的路径。

重启 Bindplane 代理以应用更改

• 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

  sudo systemctl restart bindplane-agent
  

• 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

  net stop BindPlaneAgent && net start BindPlaneAgent
  

在 Blue Coat ProxySG 中配置 Syslog

1. 登录 Blue Coat ProxySG 管理控制台。
2. 依次前往维护 > 事件日志记录 > Syslog。
3. 点击 New（新建）。
4. 提供以下配置详细信息：
   • Loghost：输入 Bindplane 代理 IP 地址。
   • 点击确定。
5. 选中启用 Syslog 复选框。
6. 选择级别。
7. 选中详细复选框。
8. 点击应用。

在 Blue Coat ProxySG 中配置自定义客户端

1. 依次前往配置 > 访问日志记录 > 日志 > 上传客户端。
2. 在日志列表中选择流式传输。
3. 从“客户端类型”列表中选择自定义客户端。
4. 点击设置。
5. 从设置列表中选择要配置的主或备用自定义服务器。
6. 提供以下配置详细信息：
   • 主机：输入上传目的地的主机名或 IP 地址。
   • 端口：设置为 514。
   • 使用安全连接 (SSL)：设置为关闭。
   • 点击确定。
   • 点击应用，返回到上传客户端标签页。
7. 对于您要在主日志、即时通讯日志和流式传输日志中使用的每种日志格式，请完成以下步骤：
   • 选择日志。
   • 将上传客户端分配为自定义客户端。
   • 选择 <No Encryption> 和 <No Signing>。
   • 将日志文件保存为文本文件。
   • 依次点击上传时间表 > 上传类型。
   • 选择持续上传访问日志，以流式传输访问日志。
   • 点击确定。
8. 点击应用。

UDM 映射表

派生字段（来自解析器逻辑）：

• metadata.event_type：根据一组复杂的条件确定，这些条件涉及 network.application_protocol、network.http.method、principal.*、target.* 和 dst_user 等字段。
• metadata.vendor_name：静态值：Blue Coat Systems。
• metadata.product_name：静态值：ProxySG。
• metadata.log_type：静态值：BLUECOAT_WEBPROXY。
• principal.asset.platform_software.platform：如果 x-client-os 包含 Windows，则设置为 WINDOWS。
• network.application_protocol：使用基于 _uri_scheme 或 target.port 的查询表确定。默认值为 UNKNOWN_APPLICATION_PROTOCOL。
• network.ip_protocol：使用基于 _uri_scheme 的查询表确定。默认值为 UNKNOWN_IP_PROTOCOL。
• security_result.action：根据 _policy_action 确定（OBSERVED -> ALLOW，DENIED -> BLOCK）。
• security_result.about.labels：包含从各种字段（例如 rs_server、communication_type）以及 SSL 日志格式中的状态派生的标签。
• security_result.detection_fields：包含从 x_virus_id、x_rs_certificate_observed_errors、x_rs_connection_negotiated_cipher_strength 等字段派生的各种键值对。
• vulns.vulnerabilities：如果存在，则从 proxy_reverse_info 字段填充，包含 cve_id 和 about.labels 等漏洞信息。

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。