Collecter les journaux Cisco PIX

Compatible avec :

Ce document explique comment ingérer des journaux Cisco PIX dans Google Security Operations à l'aide de Bindplane. L'analyseur extrait les champs des messages syslog du pare-feu à l'aide d'expressions régulières (modèles Grok) et d'une logique conditionnelle. Il mappe ensuite ces champs extraits au modèle de données unifié (UDM), en classant les événements comme des connexions réseau, des mises à jour d'état ou des événements génériques en fonction de la présence d'adresses IP source et de destination.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows 2016 ou version ultérieure, ou un hôte Linux avec systemd
  • Si vous exécutez le programme derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts.
  • Accès privilégié à l'appliance Cisco PIX Firewall

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
    • Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Profil.
  3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de fenêtres

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installation de Linux

  1. Ouvrez un terminal avec les droits root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Ressources d'installation supplémentaires

Pour plus d'options d'installation, consultez le guide d'installation.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

  1. Accédez au fichier de configuration :
    • Trouvez le fichier config.yaml. Il se trouve généralement dans le répertoire /etc/bindplane-agent/ sous Linux ou dans le répertoire d'installation sous Windows.
    • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou le Bloc-notes).

  2. Modifiez le fichier config.yaml comme suit :

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'CISCO_PIX_FIREWALL'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
    • Remplacez <customer_id> par le numéro client réel.
    • Mettez à jour /path/to/ingestion-authentication-file.json avec le chemin d'accès à l'emplacement où le fichier d'authentification a été enregistré dans la section Obtenir le fichier d'authentification pour l'ingestion Google SecOps.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart bindplane-agent

  • Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurer Syslog sur le pare-feu Cisco PIX

  1. Connectez-vous à votre appliance Cisco PIX à l'aide de SSH ou d'une connexion à la console.

  2. Saisissez les informations suivantes pour le mode privilégié :

    enable

  3. Saisissez la commande suivante pour le mode configuration :

    conf t

  4. Saisissez les commandes suivantes pour activer la journalisation et l'horodatage :

    logging on
logging timestamp

  5. Saisissez la commande suivante pour configurer le niveau de journalisation :

    logging trap information

  6. Saisissez la commande suivante pour configurer les informations syslog :

    logging host <interface> <bindplane_IP_address>
    • Remplacez <interface> par l'interface qui a accès à votre agent Bindplane.
    • Remplacez <bindplane_IP_address> par l'adresse IP réelle de votre agent Bindplane.

Table de mappage UDM

Champ de journal Mappage UDM Logique
Date/Heure metadata.event_timestamp.seconds Convertir le code temporel extrait en secondes epoch
Date/Heure metadata.event_timestamp.nanos Convertir le code temporel extrait en nanosecondes epoch
descrip metadata.description Mappé directement à partir du champ descrip extrait
observer_ip observer.ip Mappé directement à partir du champ observer_ip extrait
proto network.ip_protocol Mappé directement à partir du champ proto extrait après conversion en majuscules. Ne sera mappé que si la valeur est UDP, TCP ou ICMP.
src_ip principal.ip Mappé directement à partir du champ src_ip extrait
src_port principal.port Mappé directement à partir du champ src_port extrait après conversion en entier
établissement principal.resource.type Mappé directement à partir du champ facility extrait
action security_result.action_details Mappé directement à partir du champ action extrait
severity_level security_result.severity Mappé en fonction de la valeur de severity_level :
 – 7, 6 : INFORMATIONAL
 – 5 : LOW
 – 4 : MEDIUM
 – 3 : ERROR
 – 2 : HIGH
 – Autre : CRITICAL
dest_ip target.ip Mappé directement à partir du champ dest_ip extrait
dest_port target.port Mappé directement à partir du champ dest_port extrait après conversion en entier
direction network.direction Mappé à INBOUND si le champ direction est inbound
metadata.event_timestamp.seconds Valeur extraite du champ de premier niveau "create_time.seconds"
metadata.event_timestamp.nanos Valeur extraite du champ "create_time.nanos" de premier niveau
metadata.event_type Déterminé en fonction de la présence de src_ip et dest_ip :
 – Les deux sont présents : NETWORK_CONNECTION
 – Seul src_ip est présent : STATUS_UPDATE
 – Autre : GENERIC_EVENT
metadata.product_event_type Concaténation des champs facility, -, severity_level, - et mnemonic.
metadata.product_name Valeur codée en dur : CISCO_FWSM
metadata.vendor_name Valeur codée en dur : CISCO
security_result.action Mappé sur BLOCK si le champ action est défini sur Deny, Teardown, denied ou Denied.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.