Raccogliere i log di Cisco Prime

Supportato in:

Questo documento spiega come importare i log di Cisco Prime in Google Security Operations utilizzando Bindplane. Il parser utilizza i pattern Grok per estrarre i campi da vari formati di messaggi syslog, mappandoli a un modello UDM (Unified Data Model). Gestisce diverse strutture di log, incluse le coppie chiave-valore, e arricchisce i dati con informazioni su utente, entità, target e sicurezza in base a parole chiave e pattern specifici trovati nei messaggi di log.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Istanza Google SecOps
  • Windows 2016 o versioni successive oppure un host Linux con systemd
  • Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte.
  • Accesso privilegiato a Cisco Prime

Recuperare il file di autenticazione importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

  1. Accedi al file di configurazione:
    • Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'CISCO_PRIME'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart bindplane-agent

  • Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurare le notifiche di controllo delle modifiche e i ricevitori syslog

  1. Puoi configurare il sistema in modo che invii notifiche syslog per i controlli delle modifiche relativi ai seguenti eventi:

    • Aggiornamenti dell'inventario dispositivi
    • Modifiche alla configurazione
    • Modifiche ai modelli di configurazione
    • Operazioni correlate ai modelli
    • Attività utente, ad esempio accessi, uscite e modifiche all'account

  2. Accedi all'UI web di Cisco Prime.

  3. Vai ad Amministrazione > Impostazioni > Impostazioni di sistema.

  4. Seleziona Posta e notifiche > Modifica notifica di controllo.

  5. Fai clic sulla casella di controllo Attiva notifica di controllo delle modifiche.

  6. Fai clic sul pulsante + per specificare un server syslog.

  7. Fornisci i seguenti dettagli di configurazione:

    • Inserisci l'indirizzo IP dell'agente Bindplane.
    • Seleziona il protocollo UDP.
    • Inserisci il numero di porta dell'agente Bindplane.

  8. Fai clic su Salva.

Configura l'inoltro degli audit log del sistema come syslog

  1. Accedi all'UI web di Cisco Prime.
  2. Vai a Amministrazione > Impostazioni > Registrazione > Opzioni di registrazione Syslog.
  3. Fai clic sulla casella di controllo Enable Syslog (Attiva Syslog).
  4. Fornisci i seguenti dettagli di configurazione:
    • Inserisci l'indirizzo IP dell'agente Bindplane.
    • Seleziona il protocollo UDP.
    • Inserisci il numero di porta dell'agente Bindplane.
    • Seleziona una delle otto Strutture o local0.
  5. Fai clic su Salva.

Tabella di mappatura UDM

Campo log Mappatura UDM Logic
client_ip_address principal.ip, principal.asset.ip Il valore viene estratto dal campo client_ip_address, che viene estratto dal log non elaborato utilizzando il filtro kv.
data metadata.event_timestamp Il valore viene estratto dal campo date, che viene estratto dal log non elaborato utilizzando i pattern grok e poi convertito in un timestamp utilizzando il filtro della data.
description security_result.description Il valore viene estratto dal campo description, che viene estratto dal log non elaborato utilizzando i pattern grok.
dest_mac target.mac Il valore viene estratto dal campo dest_mac, che viene estratto dal log non elaborato utilizzando i pattern grok e convertito in minuscolo.
device_id principal.asset_id Il valore viene estratto dal campo device_id, che viene estratto dal log non elaborato utilizzando i pattern grok. Il valore finale è formattato come "ID dispositivo:".
device_ip principal.ip, principal.asset.ip Il valore viene estratto dal campo device_ip, che viene estratto dal log non elaborato utilizzando il filtro kv. Il valore viene quindi analizzato come una matrice JSON e ogni indirizzo IP nella matrice viene aggiunto ai campi UDM.
device_type target.resource.attribute.labels.value Il valore viene estratto dal campo device_type, che viene estratto dal log non elaborato utilizzando i pattern grok.
dst_user target.user.userid Il valore viene estratto dal campo dst_user, che viene estratto dal log non elaborato utilizzando i pattern grok.
email src.hostname Il valore viene estratto dal campo email, che viene estratto dal log non elaborato utilizzando i pattern grok.
file_path principal.process.file.full_path Il valore viene estratto dal campo file_path, che viene estratto dal log non elaborato utilizzando i pattern grok.
nome host target.resource.attribute.labels.value Il valore viene estratto dal campo hostname, che viene estratto dal log non elaborato utilizzando i pattern grok.
ID principal.asset_id Il valore viene estratto dal campo id, che viene estratto dal log non elaborato utilizzando i pattern grok. Il valore finale è formattato come "ID entità:".
ip_address principal.ip, principal.asset.ip Il valore viene estratto dal campo ip_address, che viene estratto dal log non elaborato utilizzando i pattern grok.
log_level security_result.severity Il valore viene estratto dal campo log_level, che viene estratto dal log non elaborato utilizzando i pattern grok. Viene utilizzato per determinare il livello di gravità se severity non è presente.
mac_address principal.mac, source_mac Il valore viene estratto dal campo mac_address, che viene estratto dal log non elaborato utilizzando i pattern grok e convertito in minuscolo. Viene utilizzato anche come valore per source_mac se source_mac è vuoto.
oid principal.asset.product_object_id Il valore viene estratto dal campo oid, che viene estratto dal log non elaborato utilizzando i pattern grok.
principal_ip principal.ip, principal.asset.ip Il valore viene estratto dal campo principal_ip, che viene estratto dal log non elaborato utilizzando i pattern grok.
principal_port principal.port Il valore viene estratto dal campo principal_port, che viene estratto dal log non elaborato utilizzando i pattern grok e convertito in un numero intero.
process_name principal.resource.name Il valore viene estratto dal campo process_name, che viene estratto dal log non elaborato utilizzando i pattern grok.
sec_description security_result.description Il valore viene estratto dal campo sec_description, che viene estratto dal log non elaborato utilizzando i pattern grok.
session_id network.session_id Il valore viene estratto dal campo session_id, che viene estratto dal log non elaborato utilizzando i pattern grok.
gravità security_result.severity Il valore viene estratto dal campo severity, che viene estratto dal log non elaborato utilizzando i pattern grok. Viene utilizzato per determinare il livello di gravità, se presente.
source_mac principal.mac Il valore viene estratto dal campo source_mac, che viene estratto dal log non elaborato utilizzando i pattern grok e convertito in minuscolo. Se è vuoto, assume il valore di mac_address.
riepilogo security_result.summary Il valore viene estratto dal campo summary, che viene estratto dal log non elaborato utilizzando i pattern grok.
target_ip target.ip, target.asset.ip Il valore viene estratto dal campo target_ip, che viene estratto dal log non elaborato utilizzando i pattern grok.
thread_pool metadata.product_event_type Il valore viene estratto dal campo thread_pool, che viene estratto dal log non elaborato utilizzando i pattern grok.
timestamp metadata.event_timestamp Il valore viene estratto dal campo timestamp, che viene estratto dal log non elaborato utilizzando i pattern grok e poi convertito in un timestamp utilizzando il filtro della data.
Tipo metadata.product_event_type Il valore viene estratto dal campo Type, che viene estratto dal log non elaborato utilizzando il filtro kv.
user_name principal.user.userid Il valore viene estratto dal campo user_name, che viene estratto dal log non elaborato utilizzando i pattern grok o il filtro kv.
metadata.event_type metadata.event_type Il valore viene determinato in base alla presenza di campi e pattern specifici nel log non elaborato. La logica include:
- Valore predefinito: GENERIC_EVENT
- Se thread_pool è "EmailAlertHelper": EMAIL_TRANSACTION
- Se application_name è "aesSystem" e desc contiene "HealthMonitorHelper": STATUS_HEARTBEAT
- Se user_present e target_resource_present sono entrambi true: USER_RESOURCE_ACCESS
- Se user_present è true: USER_UNCATEGORIZED
- Se principal_present e target_present sono entrambi true: NETWORK_CONNECTION
- Se principal_present è true: STATUS_UPDATE
- Se dst_user è presente e description contiene "logout": USER_LOGOUT
- Se dst_user è presente e description non contiene "logout": USER_LOGIN
metadata.vendor_name metadata.vendor_name Il valore è impostato su "CISCO".
metadata.product_name metadata.product_name Il valore è impostato su "CISCO_PRIME".
metadata.log_type metadata.log_type Il valore è impostato su "CISCO_PRIME".
network.session_id network.session_id Il valore viene estratto dal campo session_id, che viene estratto dal log non elaborato utilizzando i pattern grok.
principal.application principal.application Il valore viene estratto dal campo application_name, che viene estratto dal log non elaborato utilizzando i pattern grok.
principal.asset.ip principal.asset.ip Il valore può provenire dai seguenti campi: client_ip_address, device_ip, ip_address, principal_ip, target_ip.
principal.asset.product_object_id principal.asset.product_object_id Il valore viene estratto dal campo oid, che viene estratto dal log non elaborato utilizzando i pattern grok.
principal.asset_id principal.asset_id Il valore può provenire dai seguenti campi: device_id, id.
principal.ip principal.ip Il valore può provenire dai seguenti campi: client_ip_address, device_ip, ip_address, principal_ip.
principal.mac principal.mac Il valore può provenire dai seguenti campi: mac_address, source_mac.
principal.port principal.port Il valore viene estratto dal campo principal_port, che viene estratto dal log non elaborato utilizzando i pattern grok e convertito in un numero intero.
principal.process.file.full_path principal.process.file.full_path Il valore viene estratto dal campo file_path, che viene estratto dal log non elaborato utilizzando i pattern grok.
principal.resource.name principal.resource.name Il valore viene estratto dal campo process_name, che viene estratto dal log non elaborato utilizzando i pattern grok.
principal.user.userid principal.user.userid Il valore viene estratto dal campo user_name, che viene estratto dal log non elaborato utilizzando i pattern grok o il filtro kv.
security_result.action security_result.action Il valore è impostato su "BLOCK" se description contiene "fail".
security_result.description security_result.description Il valore può provenire dai seguenti campi: desc, description, sec_description.
security_result.severity security_result.severity Il valore può provenire dai seguenti campi: log_level, severity.
security_result.summary security_result.summary Il valore viene estratto dal campo summary, che viene estratto dal log non elaborato utilizzando i pattern grok.
src.hostname src.hostname Il valore viene estratto dal campo email, che viene estratto dal log non elaborato utilizzando i pattern grok.
target.asset.ip target.asset.ip Il valore viene estratto dal campo target_ip, che viene estratto dal log non elaborato utilizzando i pattern grok.
target.ip target.ip Il valore viene estratto dal campo target_ip, che viene estratto dal log non elaborato utilizzando i pattern grok.
target.mac target.mac Il valore viene estratto dal campo dest_mac, che viene estratto dal log non elaborato utilizzando i pattern grok e convertito in minuscolo.
target.resource.attribute.labels.key target.resource.attribute.labels.key Il valore è impostato su "Tipo di dispositivo" o "Nome host del dispositivo" a seconda del contesto.
target.resource.attribute.labels.value target.resource.attribute.labels.value Il valore può provenire dai seguenti campi: device_type, hostname.
target.user.userid target.user.userid Il valore viene estratto dal campo dst_user, che viene estratto dal log non elaborato utilizzando i pattern grok.
extensions.auth.mechanism extensions.auth.mechanism Il valore è impostato su "USERNAME_PASSWORD" se è presente dst_user e description contiene "password".
extensions.auth.type extensions.auth.type Il valore è impostato su "MACHINE" se è presente dst_user.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.