Recolha registos do Cisco Prime

Compatível com:

Este documento explica como carregar registos do Cisco Prime para o Google Security Operations através do Bindplane. O analisador usa padrões Grok para extrair campos de vários formatos de mensagens syslog, mapeando-os para um modelo de dados unificado (UDM). Processa diferentes estruturas de registos, incluindo pares de chaves-valores, e enriquece os dados com informações de utilizadores, principais, alvos e segurança com base em palavras-chave e padrões específicos encontrados nas mensagens de registo.

Antes de começar

Certifique-se de que tem os seguintes pré-requisitos:

  • Instância do Google SecOps
  • Windows 2016 ou posterior, ou um anfitrião Linux com systemd
  • Se estiver a ser executado através de um proxy, certifique-se de que as portas da firewall estão abertas
  • Acesso privilegiado ao Cisco Prime

Obtenha o ficheiro de autenticação de carregamento do Google SecOps

  1. Inicie sessão na consola Google SecOps.
  2. Aceda a Definições do SIEM > Agentes de recolha.
  3. Transfira o ficheiro de autenticação de carregamento. Guarde o ficheiro de forma segura no sistema onde o Bindplane vai ser instalado.

Obtenha o ID de cliente do Google SecOps

  1. Inicie sessão na consola Google SecOps.
  2. Aceda a Definições do SIEM > Perfil.
  3. Copie e guarde o ID do cliente da secção Detalhes da organização.

Instale o agente do Bindplane

Instale o agente do Bindplane no seu sistema operativo Windows ou Linux de acordo com as seguintes instruções.

Instalação do Windows

  1. Abra a Linha de comandos ou o PowerShell como administrador.

  2. Execute o seguinte comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

  1. Abra um terminal com privilégios de raiz ou sudo.

  2. Execute o seguinte comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalação adicionais

Para ver opções de instalação adicionais, consulte o guia de instalação.

Configure o agente Bindplane para carregar o Syslog e enviá-lo para o Google SecOps

  1. Aceda ao ficheiro de configuração:
    • Localize o ficheiro config.yaml. Normalmente, encontra-se no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
    • Abra o ficheiro com um editor de texto (por exemplo, nano, vi ou Bloco de notas).

  2. Edite o ficheiro config.yaml da seguinte forma:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'CISCO_PRIME'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Reinicie o agente do Bindplane para aplicar as alterações

  • Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar o agente Bindplane no Windows, pode usar a consola Serviços ou introduzir o seguinte comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configure notificações de auditoria de alterações e configure recetores de syslog

  1. Pode configurar o sistema para enviar notificações de syslog para auditorias de alterações relacionadas com os seguintes eventos:

    • Atualizações do inventário de dispositivos
    • Modificações da configuração
    • Alterações aos modelos de configuração
    • Operações relacionadas com modelos
    • Atividades do utilizador, como inícios de sessão, fins de sessão e modificações da conta

  2. Inicie sessão na IU Web do Cisco Prime.

  3. Aceda a Administração > Definições > Definições do sistema.

  4. Selecione Correio e notificação > Alterar notificação de auditoria.

  5. Clique na caixa de verificação Ativar notificação de auditoria de alterações.

  6. Clique no botão + para especificar um servidor syslog.

  7. Faculte os seguintes detalhes de configuração:

    • Introduza o endereço IP do agente do Bindplane.
    • Selecione o protocolo UDP.
    • Introduza o número da porta do agente Bindplane.

  8. Clique em Guardar.

Configure o encaminhamento de registos de auditoria do sistema como syslog

  1. Inicie sessão na IU Web do Cisco Prime.
  2. Aceda a Administração > Definições > Registo > Opções de registo do Syslog.
  3. Clique na caixa de verificação Ativar Syslog.
  4. Indique os seguintes detalhes de configuração:
    • Introduza o endereço IP do agente do Bindplane.
    • Selecione o protocolo UDP.
    • Introduza o número da porta do agente Bindplane.
    • Selecione uma das oito Instalações ou local0.
  5. Clique em Guardar.

Tabela de mapeamento do UDM

Campo de registo Mapeamento do UDM Lógica
client_ip_address principal.ip, principal.asset.ip O valor é retirado do campo client_ip_address, que é extraído do registo não processado através do filtro kv.
data metadata.event_timestamp O valor é retirado do campo date, que é extraído do registo não processado através de padrões grok e, em seguida, convertido num carimbo de data/hora através do filtro de data.
descrição security_result.description O valor é retirado do campo description, que é extraído do registo não processado através de padrões grok.
dest_mac target.mac O valor é retirado do campo dest_mac, que é extraído do registo não processado através de padrões grok e convertido em letras minúsculas.
device_id principal.asset_id O valor é retirado do campo device_id, que é extraído do registo não processado através de padrões grok. O valor final tem o formato "ID do dispositivo:".
device_ip principal.ip, principal.asset.ip O valor é retirado do campo device_ip, que é extraído do registo não processado através do filtro kv. Em seguida, o valor é analisado como uma matriz JSON e cada endereço IP na matriz é adicionado aos campos UDM.
device_type target.resource.attribute.labels.value O valor é retirado do campo device_type, que é extraído do registo não processado através de padrões grok.
dst_user target.user.userid O valor é retirado do campo dst_user, que é extraído do registo não processado através de padrões grok.
email src.hostname O valor é retirado do campo email, que é extraído do registo não processado através de padrões grok.
file_path principal.process.file.full_path O valor é retirado do campo file_path, que é extraído do registo não processado através de padrões grok.
hostname target.resource.attribute.labels.value O valor é retirado do campo hostname, que é extraído do registo não processado através de padrões grok.
id principal.asset_id O valor é retirado do campo id, que é extraído do registo não processado através de padrões grok. O valor final está formatado como "ID da entidade:".
ip_address principal.ip, principal.asset.ip O valor é retirado do campo ip_address, que é extraído do registo não processado através de padrões grok.
log_level security_result.severity O valor é retirado do campo log_level, que é extraído do registo não processado através de padrões grok. É usado para determinar o nível de gravidade se severity não estiver presente.
mac_address principal.mac, source_mac O valor é retirado do campo mac_address, que é extraído do registo não processado através de padrões grok e convertido em letras minúsculas. Também é usado como o valor de source_mac se source_mac estiver vazio.
oid principal.asset.product_object_id O valor é retirado do campo oid, que é extraído do registo não processado através de padrões grok.
principal_ip principal.ip, principal.asset.ip O valor é retirado do campo principal_ip, que é extraído do registo não processado através de padrões grok.
principal_port principal.port O valor é retirado do campo principal_port, que é extraído do registo não processado através de padrões grok e convertido num número inteiro.
process_name principal.resource.name O valor é retirado do campo process_name, que é extraído do registo não processado através de padrões grok.
sec_description security_result.description O valor é retirado do campo sec_description, que é extraído do registo não processado através de padrões grok.
session_id network.session_id O valor é retirado do campo session_id, que é extraído do registo não processado através de padrões grok.
gravidade security_result.severity O valor é retirado do campo severity, que é extraído do registo não processado através de padrões grok. É usado para determinar o nível de gravidade, se presente.
source_mac principal.mac O valor é retirado do campo source_mac, que é extraído do registo não processado através de padrões grok e convertido em letras minúsculas. Se estiver vazio, assume o valor de mac_address.
resumo security_result.summary O valor é retirado do campo summary, que é extraído do registo não processado através de padrões grok.
target_ip target.ip, target.asset.ip O valor é retirado do campo target_ip, que é extraído do registo não processado através de padrões grok.
thread_pool metadata.product_event_type O valor é retirado do campo thread_pool, que é extraído do registo não processado através de padrões grok.
timestamp metadata.event_timestamp O valor é retirado do campo timestamp, que é extraído do registo não processado através de padrões grok e, em seguida, convertido num carimbo de data/hora através do filtro de data.
Tipo metadata.product_event_type O valor é retirado do campo Type, que é extraído do registo não processado através do filtro kv.
user_name principal.user.userid O valor é retirado do campo user_name, que é extraído do registo não processado através de padrões grok ou do filtro kv.
metadata.event_type metadata.event_type O valor é determinado com base na presença de campos e padrões específicos no registo não processado. A lógica inclui:
- Valor predefinido: GENERIC_EVENT
- Se thread_pool for "EmailAlertHelper": EMAIL_TRANSACTION
- Se application_name for "aesSystem" e desc contiver "HealthMonitorHelper": STATUS_HEARTBEAT
- Se user_present e target_resource_present forem ambos verdadeiros: USER_RESOURCE_ACCESS
- Se user_present for verdadeiro: USER_UNCATEGORIZED
- Se principal_present e target_present forem ambos verdadeiros: NETWORK_CONNECTION
- Se principal_present for verdadeiro: STATUS_UPDATE
- Se dst_user estiver presente e description contiver "logout": USER_LOGOUT
- Se dst_user estiver presente e description não contiver "logout": USER_LOGIN
metadata.vendor_name metadata.vendor_name O valor está definido como "CISCO".
metadata.product_name metadata.product_name O valor é definido como "CISCO_PRIME".
metadata.log_type metadata.log_type O valor é definido como "CISCO_PRIME".
network.session_id network.session_id O valor é retirado do campo session_id, que é extraído do registo não processado através de padrões grok.
principal.application principal.application O valor é retirado do campo application_name, que é extraído do registo não processado através de padrões grok.
principal.asset.ip principal.asset.ip O valor pode vir dos seguintes campos: client_ip_address, device_ip, ip_address, principal_ip e target_ip.
principal.asset.product_object_id principal.asset.product_object_id O valor é retirado do campo oid, que é extraído do registo não processado através de padrões grok.
principal.asset_id principal.asset_id O valor pode vir dos seguintes campos: device_id, id.
principal.ip principal.ip O valor pode vir dos seguintes campos: client_ip_address, device_ip, ip_address, principal_ip.
principal.mac principal.mac O valor pode vir dos seguintes campos: mac_address, source_mac.
principal.port principal.port O valor é retirado do campo principal_port, que é extraído do registo não processado através de padrões grok e convertido num número inteiro.
principal.process.file.full_path principal.process.file.full_path O valor é retirado do campo file_path, que é extraído do registo não processado através de padrões grok.
principal.resource.name principal.resource.name O valor é retirado do campo process_name, que é extraído do registo não processado através de padrões grok.
principal.user.userid principal.user.userid O valor é retirado do campo user_name, que é extraído do registo não processado através de padrões grok ou do filtro kv.
security_result.action security_result.action O valor é definido como "BLOCK" se description contiver "fail".
security_result.description security_result.description O valor pode vir dos seguintes campos: desc, description, sec_description.
security_result.severity security_result.severity O valor pode vir dos seguintes campos: log_level, severity.
security_result.summary security_result.summary O valor é retirado do campo summary, que é extraído do registo não processado através de padrões grok.
src.hostname src.hostname O valor é retirado do campo email, que é extraído do registo não processado através de padrões grok.
target.asset.ip target.asset.ip O valor é retirado do campo target_ip, que é extraído do registo não processado através de padrões grok.
target.ip target.ip O valor é retirado do campo target_ip, que é extraído do registo não processado através de padrões grok.
target.mac target.mac O valor é retirado do campo dest_mac, que é extraído do registo não processado através de padrões grok e convertido em letras minúsculas.
target.resource.attribute.labels.key target.resource.attribute.labels.key O valor é definido como "Device Type" ou "Device Hostname", consoante o contexto.
target.resource.attribute.labels.value target.resource.attribute.labels.value O valor pode vir dos seguintes campos: device_type, hostname.
target.user.userid target.user.userid O valor é retirado do campo dst_user, que é extraído do registo não processado através de padrões grok.
extensions.auth.mechanism extensions.auth.mechanism O valor é definido como "USERNAME_PASSWORD" se dst_user estiver presente e description contiver "password".
extensions.auth.type extensions.auth.type O valor é definido como "MACHINE" se dst_user estiver presente.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.