Coletar registros da Cambium Networks

Compatível com:

Este documento explica como ingerir registros da Cambium Networks no Google Security Operations usando o Bindplane. O analisador extrai pares de chave-valor das mensagens syslog do switch e do roteador da Cambium Networks, mapeando-os para um modelo de dados unificado (UDM). Ele usa o Grok para estruturar a mensagem inicial, o KV para separar pares de chave-valor e instruções condicionais para mapear campos extraídos a atributos específicos da UDM, categorizando eventos como "STATUS_UPDATE" ou "GENERIC_EVENT".

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Instância do Google SecOps
  • Windows 2016 ou mais recente ou um host Linux com systemd
  • Se estiver executando por trás de um proxy, as portas do firewall estarão abertas.
  • Acesso privilegiado a dispositivos da Cambium Networks

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Baixe o arquivo de autenticação de ingestão. Salve o arquivo de forma segura no sistema em que o Bindplane será instalado.

Receber o ID do cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.
  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instalação do Windows

  1. Abra o Prompt de Comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Outros recursos de instalação

Para mais opções de instalação, consulte o guia de instalação.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

  1. Acesse o arquivo de configuração:
    • Localize o arquivo config.yaml. Normalmente, ele fica no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
    • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

  2. Edite o arquivo config.yaml da seguinte forma:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'CAMBIUM_NETWORKS'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.

  4. Substitua <customer_id> pelo ID do cliente real.

  5. Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo na seção Receber arquivo de autenticação de ingestão do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças

  • Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar o agente do Bindplane no Windows, use o console Serviços ou insira o seguinte comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurar o Syslog no ePMP 1000/2000/Force 180/200 e no ePMP Elevate

  1. Faça login na GUI da Cambium Networks.
  2. Acesse Configurar > Sistema > Registro de syslog.
  3. Informe os seguintes detalhes de configuração:
    • Máscara de syslog: clique em Selecionar tudo.
    • Servidor 1: insira o endereço IP do agente do Bindplane.
  4. Clique em Salvar.

Configurar o Syslog no ePMP 1000 HS e no cnPilot E400/E500/E501

  1. Faça login na GUI da Cambium Networks.
  2. Acesse Configurar > Sistema > Registro de eventos.
  3. Informe os seguintes detalhes de configuração:
    • Servidor Syslog 1: insira o endereço IP do agente do Bindplane.
  4. Clique em Salvar.

  5. Faça login na CLI do dispositivo usando SSH e insira o seguinte comando para ativar o nível de depuração:

    logging  cnmaestro  7

  6. Salve e aplique as configurações.

  7. Insira o comando a seguir para verificar os registros do agente do dispositivo na CLI:

    service show debug-logs device-agent

Configurar o Syslog no cnPilot R200/R201/R190

  1. Faça login na GUI da Cambium Networks.
  2. Acesse Administração > Gerenciamento > Configurações de registro do sistema.
  3. Informe os seguintes detalhes de configuração:
    • Ativar Syslog: selecione Ativar.
    • Nível do Syslog: selecione INFO.
    • Ativar syslog remoto: selecione Ativar.
    • Servidor syslog remoto: insira o endereço IP do agente Bindplane.
  4. Clique em Salvar.

Configurar o Syslog no AP PMP 450/450i/450m

  1. Faça login na GUI da Cambium Networks.
  2. Acesse Configuração > cnMaestro.
  3. Informe os seguintes detalhes de configuração:
    • Nível de registro de depuração do agente cnMaestro: selecione INFO.
  4. Acesse Configuração > Syslog.
  5. Informe os seguintes detalhes de configuração:
    • Uso do servidor DNS Syslog: selecione Desativar nome de domínio DNS.
    • Servidor Syslog: insira o endereço IP do agente Bindplane.
    • Porta do servidor Syslog: insira o número da porta do agente Bindplane.
    • Transmissão de Syslog do AP: selecione Ativado.
    • SM Syslog Transmit: selecione Enabled.
    • Nível mínimo do Syslog: selecione info.
  6. Clique em Salvar.

Configurar o Syslog em um SM PMP 450/450i/450m

  1. Faça login na GUI da Cambium Networks.
  2. Acesse Configuração > cnMaestro.
  3. Informe os seguintes detalhes de configuração:
    • Nível de registro de depuração do agente cnMaestro: selecione INFO.
  4. Acesse Configuração > Syslog.
  5. Informe os seguintes detalhes de configuração:
    • Origem da configuração do Syslog: selecione AP Preferred.
    • Uso do servidor DNS Syslog: selecione Desativar nome de domínio DNS.
    • Servidor Syslog: insira o endereço IP do agente Bindplane.
    • Porta do servidor Syslog: insira o número da porta do agente Bindplane.
    • Transmissão de syslog: selecione Obter do AP.
    • Origem do nível mínimo do Syslog: selecione AP Preferred.
    • Nível mínimo do Syslog: selecione info.
  6. Clique em Salvar.

Tabela de mapeamento da UDM

Campo de registro Mapeamento do UDM Lógica
bssid read_only_udm.principal.mac Extraído do kv_fields usando a chave bssid.
canal read_only_udm.security_result.about.resource.attribute.labels.value Extraído do kv_fields usando a chave channel. Parte de um rótulo.
host_name read_only_udm.principal.hostname Extraído da mensagem de registro usando o padrão grok.
ids_event read_only_udm.security_result.summary Extraído do kv_fields usando a chave ids_event.
ids_status read_only_udm.security_result.description Extraído do kv_fields usando a chave ids_status. Usado como descrição quando presente.
iap read_only_udm.security_result.about.resource.attribute.labels.value Extraído do kv_fields usando a chave iap. Parte de um rótulo.
fabricante read_only_udm.security_result.about.resource.attribute.labels.value Extraído do kv_fields usando a chave manufacturer. Parte de um rótulo.
rssi read_only_udm.security_result.about.resource.attribute.labels.value Extraído do kv_fields usando a chave rssi. Parte de um rótulo.
segurança read_only_udm.security_result.about.resource.attribute.labels.value Extraído do kv_fields usando a chave security. Parte de um rótulo.
gravidade, read_only_udm.security_result.severity Mapeado da mensagem de registro usando o padrão grok. alert é mapeado para HIGH, warn é mapeado para MEDIUM e todo o resto é mapeado para LOW.
gravidade, read_only_udm.security_result.severity_details Mapeado da mensagem de registro usando o padrão grok. Preserva o valor de gravidade original.
ssid read_only_udm.principal.application Extraído do kv_fields usando a chave ssid.
timestamp read_only_udm.metadata.event_timestamp Extraído da mensagem de registro usando o padrão grok e convertido em um carimbo de data/hora.
read_only_udm.metadata.event_type Determinado com base na presença de valores nos campos security_result e host_name. Se os dois campos estiverem presentes, o tipo de evento será definido como STATUS_UPDATE. Caso contrário, será GENERIC_EVENT.
read_only_udm.security_result.about.resource.attribute.labels.key O valor desse campo é determinado pela lógica do analisador com base no par de chave-valor específico que está sendo processado. Os valores possíveis são: Internet_Access_Provider, manufacturer, channel, received_signal_strength_indicator e encryption_standard.
read_only_udm.security_result.description Se a gravidade for warn, esse campo vai receber o valor kv_fields. Caso contrário, ele vai receber o valor ids_status.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.