In diesem Dokument wird beschrieben, wie Sie Cisco Application Control Engine (ACE)-Logs mit Bindplane in Google Security Operations aufnehmen. Der Parser extrahiert sicherheitsrelevante Informationen aus den SYSLOG-Nachrichten. Dabei werden reguläre Ausdrücke verwendet, um bestimmte Ereignistypen zu identifizieren. Außerdem werden wichtige Datenpunkte wie Quell- oder Ziel-IP-Adressen und Ports extrahiert und in einem einheitlichen Datenmodell (Unified Data Model, UDM) für eine konsistente Analyse strukturiert.
Hinweise
Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:
Google SecOps-Instanz
Windows 2016 oder höher oder ein Linux-Host mit systemd
Wenn die Ausführung hinter einem Proxy erfolgt, müssen die Firewallports geöffnet sein.
Privilegierter Zugriff auf die Cisco Application Control Engine
Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen
Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie SIEM-Einstellungen > Collection Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.
Google SecOps-Kundennummer abrufen
Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > „Profil“ auf.
Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.
BindPlane-Agent installieren
Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.
Fenstereinbau
Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.
BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren
Rufen Sie die Konfigurationsdatei auf:
Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).
Bearbeiten Sie die Datei config.yamlso:
receivers:udplog:# Replace the port and IP address as requiredlisten_address:"0.0.0.0:514"exporters:chronicle/chronicle_w_labels:compression:gzip# Adjust the path to the credentials file you downloaded in Step 1creds_file_path:'/path/to/ingestion-authentication-file.json'# Replace with your actual customer ID from Step 2customer_id:<customer_id>
endpoint:malachiteingestion-pa.googleapis.com# Add optional ingestion labels for better organizationlog_type:'CISCO_ACE'raw_log_field:bodyingestion_labels:service:pipelines:logs/source0__chronicle_w_labels-0:receivers:-udplogexporters:-chronicle/chronicle_w_labels
Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
Ersetzen Sie <customer_id> durch die tatsächliche Kunden-ID.
Bindplane-Agent neu starten, um die Änderungen zu übernehmen
Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:
sudosystemctlrestartbindplane-agent
Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:
net stop BindPlaneAgent && net start BindPlaneAgent
Syslog auf Cisco Application Control Engine (ACE) konfigurieren
Melden Sie sich auf dem Cisco ACE-Gerät an.
Gehen Sie zum Hauptmenü > Erweiterte Optionen > Syslog-Konfiguration.
Klicken Sie auf Add First Server (Ersten Server hinzufügen) und dann auf OK.
Geben Sie die IP-Adresse und die Portnummer des Bindplane-Agents in das Feld „First Syslog Server“ (Erster Syslog-Server) ein.
Klicken Sie auf OK. Das System wird mit den neuen Einstellungen neu gestartet.
Klicken Sie noch einmal auf OK.
Klicken Sie auf Zurückgeben.
UDM-Zuordnungstabelle
Logfeld
UDM-Zuordnung
Logik
Aktion
security_result.action_details
Wert aus dem Feld action nach der Kleinschreibung.
Aktion
security_result.action
Wenn actionbuilt ist, legen Sie ALLOW fest. Wenn actionteardown ist, legen Sie BLOCK fest.
Byte
network.sent_bytes
Nur für event_id 302025 ausgefüllt.
dst_interface
target.resource.attribute.labels.value
dst_ip
target.ip
dst_port
target.port
event_id
metadata.product_event_type
icmp_code_laddr
additional.fields.value.string_value
Der Schlüssel ist icmp_code_laddr.
icmp_code_xlated
additional.fields.value.string_value
Der Schlüssel ist icmp_code_xlated.
icmp_seq_num
additional.fields.value.string_value
Der Schlüssel ist icmp_seq_num.
Protokoll
network.ip_protocol
Protokoll
metadata.description
Wird verwendet, um die Beschreibung für bestimmte Ereignistypen zu generieren.
src_interface
principal.resource.attribute.labels.value
src_ip
principal.ip
src_port
principal.port
timestamp
metadata.event_timestamp.seconds
In Sekunden seit der UNIX-Epoche umgerechnet.
metadata.log_type
Hartcodiert auf CISCO_ACE.
metadata.event_type
Auf NETWORK_CONNECTION für die Ereignis-IDs 302024, 302025, 302022, 302023, 302026 und 302027 festgelegt. Legen Sie für die Ereignis-ID 400000 SCAN_UNCATEGORIZED fest.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-02 (UTC)."],[],[],null,["# Collect Cisco Application Control Engine (ACE) logs\n===================================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis document explains how to ingest Cisco Application Control Engine (ACE) logs\nto Google Security Operations using Bindplane. The parser extracts security-relevant\ninformation from the SYSLOG messages. It uses regular expressions to identify\nspecific event types, extracts key data points like source or destination IP\naddresses and ports, and structures them into a Unified Data Model (UDM) for\nconsistent analysis.\n\nBefore you begin\n----------------\n\nMake sure you have the following prerequisites:\n\n- Google SecOps instance\n- Windows 2016 or later or a Linux host with `systemd`\n- If running behind a proxy, ensure firewall [ports](/chronicle/docs/ingestion/use-bindplane-agent#verify_the_firewall_configuration) are open\n- Privileged access to Cisco Application Control Engine\n\nGet Google SecOps ingestion authentication file\n-----------------------------------------------\n\n1. Sign in to the Google SecOps console.\n2. Go to **SIEM Settings \\\u003e Collection Agents**.\n3. Download the **ingestion authentication file**. Save the file securely on the system where Bindplane will be installed.\n\nGet Google SecOps customer ID\n-----------------------------\n\n1. Sign in to the Google SecOps console.\n2. Go to **SIEM Settings \\\u003e Profile**.\n3. Copy and save the **Customer ID** from the **Organization Details** section.\n\nInstall the Bindplane agent\n---------------------------\n\nInstall the Bindplane agent on your Windows or Linux operating system according\nto the following instructions.\n\n### Windows installation\n\n1. Open the **Command Prompt** or **PowerShell** as an administrator.\n2. Run the following command:\n\n msiexec /i \"https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi\" /quiet\n\n### Linux installation\n\n1. Open a terminal with root or sudo privileges.\n2. Run the following command:\n\n sudo sh -c \"$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)\" install_unix.sh\n\n### Additional installation resources\n\nFor additional installation options, consult the [installation guide](/chronicle/docs/ingestion/use-bindplane-agent#install_the_bindplane_agent).\n\nConfigure the Bindplane agent to ingest Syslog and send to Google SecOps\n------------------------------------------------------------------------\n\n1. Access the configuration file:\n - Locate the `config.yaml` file. Typically, it's in the `/etc/bindplane-agent/` directory on Linux or in the installation directory on Windows.\n - Open the file using a text editor (for example, `nano`, `vi`, or Notepad).\n2. Edit the `config.yaml` file as follows:\n\n receivers:\n udplog:\n # Replace the port and IP address as required\n listen_address: \"0.0.0.0:514\"\n\n exporters:\n chronicle/chronicle_w_labels:\n compression: gzip\n # Adjust the path to the credentials file you downloaded in Step 1\n creds_file_path: '/path/to/ingestion-authentication-file.json'\n # Replace with your actual customer ID from Step 2\n customer_id: \u003ccustomer_id\u003e\n endpoint: malachiteingestion-pa.googleapis.com\n # Add optional ingestion labels for better organization\n log_type: 'CISCO_ACE'\n raw_log_field: body\n ingestion_labels:\n\n service:\n pipelines:\n logs/source0__chronicle_w_labels-0:\n receivers:\n - udplog\n exporters:\n - chronicle/chronicle_w_labels\n\n - Replace the port and IP address as required in your infrastructure.\n - Replace `\u003ccustomer_id\u003e` with the actual customer ID.\n - Update `/path/to/ingestion-authentication-file.json` to the path where the authentication file was saved in the [Get Google SecOps ingestion authentication file](/chronicle/docs/ingestion/default-parsers/cisco-ace#get-auth-file) section.\n\nRestart the Bindplane agent to apply the changes\n------------------------------------------------\n\n- To restart the Bindplane agent in **Linux**, run the following command:\n\n sudo systemctl restart bindplane-agent\n\n- To restart the Bindplane agent in **Windows** , you can either use the\n **Services** console or enter the following command:\n\n net stop BindPlaneAgent && net start BindPlaneAgent\n\nConfigure the syslog on Cisco Application Control Engine (ACE)\n--------------------------------------------------------------\n\n1. Sign in to the Cisco ACE device.\n2. Go to the **Main Menu \\\u003e Advanced Options \\\u003e Syslog Configuration**.\n3. Click **Add First Server** and then click **OK**.\n4. Enter the Bindplane agent IP address and port number in the First Syslog Server field.\n5. Click **OK**; the system will restart with new settings.\n6. Click **OK** again.\n7. Click **Return**.\n\nUDM mapping table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
