Cisco Stealthwatch 로그 수집

이 문서에서는 Bindplane을 사용하여 Cisco Secure Network Analytics (이전 Stealthwatch) 로그를 Google Security Operations에 수집하는 방법을 설명합니다. 파서는 클라이언트/서버 IP 및 패킷 정보가 포함된 Cisco Stealthwatch 로그와 기기 ID 및 바이트 수가 포함된 Cisco Stealthwatch 로그 등 두 가지 형식을 처리합니다. 필드를 추출하고, 적절한 데이터 유형으로 변환하고, UDM에 매핑하고, 로그 콘텐츠와 형식을 기반으로 공급업체, 제품, 이벤트 유형과 같은 메타데이터 필드를 설정합니다.

시작하기 전에

• Google Security Operations 인스턴스가 있는지 확인합니다.
• Windows 2016 이상 또는 systemd가 설치된 Linux 호스트를 사용하고 있는지 확인합니다.
• 프록시 뒤에서 실행하는 경우 방화벽 포트가 열려 있는지 확인합니다.
• Cisco Stealthwatch에 대한 권한 액세스 권한이 있는지 확인합니다.

Google SecOps 수집 인증 파일 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 수집 에이전트로 이동합니다.
3. 수집 인증 파일을 다운로드합니다. Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 프로필로 이동합니다.
3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

Bindplane 에이전트 설치

Windows 설치

1. 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.

2. 다음 명령어를 실행합니다.

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 설치

1. 루트 또는 sudo 권한으로 터미널을 엽니다.

2. 다음 명령어를 실행합니다.

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

추가 설치 리소스

• 추가 설치 옵션은 이 설치 가이드를 참고하세요.

Syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성

1. 구성 파일에 액세스합니다.

   1. config.yaml 파일을 찾습니다. 일반적으로 Linux에서는 /etc/bindplane-agent/ 디렉터리에 있고 Windows에서는 설치 디렉터리에 있습니다.
   2. 텍스트 편집기 (예: nano, vi, 메모장)를 사용하여 파일을 엽니다.

2. 다음과 같이 config.yaml 파일을 수정합니다.

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: CISCO_STEALTHWATCH
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 인프라에 필요한 대로 포트와 IP 주소를 바꿉니다.

4. <customer_id>를 실제 고객 ID로 바꿉니다.

5. Google SecOps 수집 인증 파일 가져오기 섹션에서 인증 파일이 저장된 경로로 /path/to/ingestion-authentication-file.json를 업데이트합니다.

Bindplane 에이전트를 다시 시작하여 변경사항 적용

• Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

  sudo systemctl restart bindplane-agent
  

• Windows에서 Bindplane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Cisco Secure Network Analytics (이전 명칭: Stealthwatch) Syslog 구성

1. 관리 콘솔 웹 UI에 로그인합니다.
2. 구성 > 응답 관리로 이동합니다.

3. Syslog 형식 수정:

   • 이름: syslog 형식의 이름을 입력합니다.
   • 설명: 형식에 대한 설명을 제공합니다.
   • 시설: Local 0로 설정
   • 심각도: Informational로 설정합니다.
   • 메시지 필드에 다음 형식을 붙여넣습니다.

   Lancope|StealthWatch|time|{time}|target_hostname|{target_hostname}|alarm_severity_id|{alarm_severity_id}|alarm_type_id|{alarm_type_id}|alarm_type_description|{alarm_type_description}|port|{port}|target_ip|{target_ip}|target_mac_address|{target_mac_address}|target_label|{target_label}|alarm_type_name|{alarm_type_name}|source_hostname|{source_hostname}|source_ip|{source_ip}|source_mac_address|{source_mac_address}|source_username|{source_username}|device_ip|{device_ip}|device_name|{device_name}|details|{details}|protocol|{protocol}|alarm_id|{alarm_id}|alarm_category_name|{alarm_category_name}|start_active_time|{start_active_time}| end_active_time|{end_active_time}
   

4. 확인을 클릭합니다.

5. 응답 관리 > 작업 > Syslog 메시지 추가로 이동합니다.

6. Syslog 전달자 구성:

   • 이름: Google SecOps Bindplane 포워더의 이름을 입력합니다.
   • 설명: Google SecOps Bindplane 포워더에 대한 설명을 입력합니다.
   • IP 주소: Bindplane 에이전트 IP 주소를 입력합니다.
   • 포트: Bindplane 에이전트 포트 번호를 입력합니다(예: 514).
   • 형식: 3단계에서 만든 형식을 선택합니다.

7. 확인을 클릭합니다.

Cisco Secure Network Analytics (이전 명칭: Stealthwatch)의 규칙 이름 구성

1. 구성 > 응답 관리로 이동합니다.
2. 규칙 > 추가 > SMC 시스템 알람을 선택합니다.
3. 확인을 클릭합니다.
4. 규칙 유형 대화상자에서 규칙을 선택합니다.
5. 확인을 클릭합니다.
6. 규칙 대화상자에서 다음을 수행합니다.
   • 이름: 규칙의 이름을 입력합니다.
   • 다음의 경우 이 규칙이 트리거됨: 각 목록에서 모두, 심각도, 정보를 선택합니다.
7. 확인을 클릭합니다.
8. 작업 > 추가를 선택합니다.
9. 이전에 만든 작업을 선택합니다.
10. 확인을 클릭한 다음 확인을 클릭합니다.
11. 이전 단계를 반복하여 규칙 섹션에서 다음 세 가지 옵션의 이름을 바꿉니다.
    • 지원되는 로그 수집 메커니즘 - Syslog
    • 기본 로그 수집 메커니즘 - Syslog
    • 이벤트 흐름 논리 다이어그램 - SMC 원격 Syslog 서버

UDM 매핑 테이블

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.