Raccogliere i log di Cisco IronPort

Supportato in:

Questo documento spiega come importare i log di Cisco IronPort in Google Security Operations utilizzando Bindplane. Il parser estrae i campi dai messaggi syslog, in particolare quelli relativi agli eventi AccessLogs_chron. Utilizza pattern grok per analizzare il messaggio, converte i tipi di dati e mappa i campi estratti al modello UDM (Unified Data Model), gestendo vari campi specifici di Cisco Ironport, come gruppi di policy e decisioni di accesso. Esegue anche la gestione di base degli errori e imposta i campi dei metadati come il nome del fornitore e del prodotto.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Istanza Google SecOps
  • Windows 2016 o versioni successive oppure un host Linux con systemd
  • Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte.
  • Accesso con privilegi a Cisco IronPort

Recuperare il file di autenticazione importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione importazione.
    • Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

  1. Accedi al file di configurazione:
    • Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'CISCO_IRONPORT'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart bindplane-agent

  • Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurare Syslog su Cisco IronPort

  1. Accedi all'UI web di Cisco IronPort.
  2. Fai clic su Amministrazione di sistema > Abbonamenti ai log.
  3. Fai clic su Aggiungi abbonamento ai log.
  4. Fornisci i seguenti dettagli di configurazione:
    • Tipo di log: seleziona Log di accesso o altri log che vuoi esportare.
    • Log Style (Stile log): seleziona Squid.
    • Nome file: fornisci un nome file se non viene fornito per impostazione predefinita.
    • Metodo di recupero: seleziona Syslog Push (utilizza la porta predefinita 514).
    • Nome host: inserisci l'indirizzo IP dell'agente Bindplane.
    • Protocollo: seleziona UDP.
    • Struttura: seleziona local0 o syslog.
  5. Fai clic su Invia.

Tabella di mappatura UDM

Campo log Mappatura UDM Logic
AccessLogs_chron metadata.product_event_type Mappato direttamente dal campo product_event estratto dal primo parser grok.
acl_decision_tag security_result.detection_fields.key Il valore è "ACL Decision Tag". La logica del parser imposta questo valore quando acl_decision_tag è presente nei log.
acl_decision_tag security_result.detection_fields.value Mappato direttamente dal campo acl_decision_tag estratto dal secondo parser grok.
access_or_decryption_policy_group security_result.detection_fields.key Il valore è "AccessOrDecryptionPolicyGroup". La logica del parser imposta questo valore quando access_or_decryption_policy_group è presente nei log.
access_or_decryption_policy_group security_result.detection_fields.value Mappato direttamente dal campo access_or_decryption_policy_group estratto dal secondo parser grok.
authenticated_user principal.user.userid Estratto dal campo authenticated_user utilizzando grok e gsub per rimuovere le barre rovesciate e le virgolette.
cache_hierarchy_retrieval security_result.detection_fields.key Il valore è "Cache Hierarchy Retrieval". La logica del parser imposta questo valore quando cache_hierarchy_retrieval è presente nei log.
cache_hierarchy_retrieval security_result.detection_fields.value Mappato direttamente dal campo cache_hierarchy_retrieval estratto dal secondo parser grok.
data_security_policy_group security_result.detection_fields.key Il valore è "DataSecurityPolicyGroup". La logica del parser imposta questo valore quando data_security_policy_group è presente nei log.
data_security_policy_group security_result.detection_fields.value Mappato direttamente dal campo data_security_policy_group estratto dal secondo parser grok.
external_dlp_policy_group security_result.detection_fields.key Il valore è "ExternalDlpPolicyGroup". La logica del parser imposta questo valore quando external_dlp_policy_group è presente nei log.
external_dlp_policy_group security_result.detection_fields.value Mappato direttamente dal campo external_dlp_policy_group estratto dal secondo parser grok.
hostname principal.asset.hostname Mappato direttamente dal campo hostname estratto dal primo parser grok.
hostname principal.hostname Mappato direttamente dal campo hostname estratto dal primo parser grok.
http_method network.http.method Mappato direttamente dal campo http_method estratto dal secondo parser grok.
http_response_code network.http.response_code Mappato direttamente dal campo http_response_code estratto dal secondo parser grok e convertito in numero intero.
identity_policy_group security_result.detection_fields.key Il valore è "IdentityPolicyGroup". La logica del parser imposta questo valore quando identity_policy_group è presente nei log.
identity_policy_group security_result.detection_fields.value Mappato direttamente dal campo identity_policy_group estratto dal secondo parser grok. Copiato dal campo timestamp dopo l'elaborazione del filtro per data. Impostato su "STATUS_UPDATE" se has_principal è true, altrimenti impostato su "GENERIC_EVENT". Valore costante: "Cisco Ironport". Valore costante: "Cisco".
outbound_malware_scanning_policy_group security_result.detection_fields.key Il valore è "OutboundMalwareScanningPolicyGroupS". La logica del parser imposta questo valore quando outbound_malware_scanning_policy_group è presente nei log.
outbound_malware_scanning_policy_group security_result.detection_fields.value Mappato direttamente dal campo outbound_malware_scanning_policy_group estratto dal secondo parser grok.
request_method_uri target.url Mappato direttamente dal campo request_method_uri estratto dal secondo parser grok.
result_code security_result.detection_fields.key Il valore è "Codice risultato". La logica del parser imposta questo valore quando result_code è presente nei log.
result_code security_result.detection_fields.value Mappato direttamente dal campo result_code estratto dal secondo parser grok.
routing_policy_group security_result.detection_fields.key Il valore è "RoutingPolicyGroup". La logica del parser imposta questo valore quando routing_policy_group è presente nei log.
routing_policy_group security_result.detection_fields.value Mappato direttamente dal campo routing_policy_group estratto dal secondo parser grok.
severity security_result.severity Mappato dal campo severity. Se il valore è "Info", viene impostato su "INFORMATIONAL".
source_ip principal.asset.ip Mappato direttamente dal campo source_ip estratto dal secondo parser grok.
source_ip principal.ip Mappato direttamente dal campo source_ip estratto dal secondo parser grok.
timestamp timestamp Estratto dal campo message utilizzando grok e poi analizzato utilizzando il filtro data.
total_bytes network.sent_bytes Mappato direttamente dal campo total_bytes estratto dal secondo parser grok e convertito in numero intero senza segno. Mappato solo se non è vuoto o "0".

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.