Mengumpulkan log Cisco Stealthwatch

Dokumen ini menjelaskan cara mengumpulkan log Cisco Secure Network Analytics (sebelumnya Stealthwatch) ke Google Security Operations menggunakan BindPlane. Parser menangani dua format log Cisco Stealthwatch: satu dengan informasi IP dan paket klien/server, dan yang lainnya dengan ID perangkat dan jumlah byte. Proses ini mengekstrak kolom, mengonversinya ke jenis data yang sesuai, memetakannya ke UDM, dan menetapkan kolom metadata seperti vendor, produk, dan jenis peristiwa berdasarkan konten dan format log.

Sebelum memulai

• Pastikan Anda memiliki instance Google Security Operations.
• Pastikan Anda menggunakan Windows 2016 atau yang lebih baru, atau host Linux dengan systemd.
• Jika berjalan di belakang proxy, pastikan port firewall terbuka.
• Pastikan Anda memiliki akses istimewa ke Cisco Stealthwatch.

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Referensi penginstalan tambahan

• Untuk opsi penginstalan tambahan, lihat panduan penginstalan ini.

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

1. Akses file konfigurasi:

   1. Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
   2. Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

2. Edit file config.yaml sebagai berikut:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: CISCO_STEALTHWATCH
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.

4. Ganti <customer_id> dengan ID pelanggan yang sebenarnya.

5. Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart bindplane-agent
  

• Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Mengonfigurasi Syslog Cisco Secure Network Analytics (sebelumnya Stealthwatch)

1. Login ke UI Web Konsol Pengelolaan.
2. Buka Configuration > Response Management.

3. Edit Format Syslog:

   • Nama: masukkan nama untuk format syslog.
   • Deskripsi: berikan deskripsi untuk format.
   • Fasilitas: ditetapkan ke Local 0
   • Tingkat keparahan: ditetapkan ke Informational.
   • Di kolom Message, tempel format berikut:

   Lancope|StealthWatch|time|{time}|target_hostname|{target_hostname}|alarm_severity_id|{alarm_severity_id}|alarm_type_id|{alarm_type_id}|alarm_type_description|{alarm_type_description}|port|{port}|target_ip|{target_ip}|target_mac_address|{target_mac_address}|target_label|{target_label}|alarm_type_name|{alarm_type_name}|source_hostname|{source_hostname}|source_ip|{source_ip}|source_mac_address|{source_mac_address}|source_username|{source_username}|device_ip|{device_ip}|device_name|{device_name}|details|{details}|protocol|{protocol}|alarm_id|{alarm_id}|alarm_category_name|{alarm_category_name}|start_active_time|{start_active_time}| end_active_time|{end_active_time}
   

4. Klik Oke.

5. Buka Pengelolaan Respons > Tindakan > Tambahkan Pesan Syslog.

6. Konfigurasi Penerus Syslog:

   • Name: masukkan nama untuk penerus Google SecOps Bindplane.
   • Description: masukkan deskripsi untuk penerusan Google SecOps Bindplane.
   • Alamat IP: masukkan alamat IP agen Bindplane.
   • Port: masukkan nomor port agen Bindplane; misalnya, 514.
   • Format: pilih format yang dibuat di Langkah 3.

7. Klik Oke.

Mengonfigurasi Nama Aturan untuk Cisco Secure Network Analytics (sebelumnya Stealthwatch)

1. Buka Configuration > Response Management.
2. Pilih Aturan > Tambahkan > Alarm sistem SMC.
3. Klik Oke.
4. Pada dialog Jenis aturan, pilih aturan.
5. Klik Oke.
6. Dalam dialog Aturan, lakukan tindakan berikut:
   • Nama: masukkan nama untuk aturan.
   • Aturan ini dipicu jika: pilih Semua, Tingkat Keparahan, dan Informasi dalam daftar masing-masing.
7. Klik Oke.
8. Pilih Tindakan > Tambahkan.
9. Pilih tindakan yang telah Anda buat sebelumnya.
10. Klik Ok, lalu Ok.
11. Ulangi langkah-langkah sebelumnya untuk mengganti nama tiga opsi berikut di bagian Aturan:
    • Mekanisme pengumpulan log yang didukung - Syslog
    • Mekanisme pengumpulan log pilihan - Syslog
    • Diagram logis alur peristiwa - SMC Remote Syslog Server

Tabel Pemetaan UDM

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.