收集 Cisco 交換器記錄

本文說明如何使用 Bindplane 代理程式，將 Cisco 交換器記錄擷取至 Google Security Operations。剖析器會從 SYSLOG 訊息中擷取欄位，並根據識別出的模式和關鍵字，將這些欄位對應至統一資料模型 (UDM)。這項服務可處理各種事件，包括 DHCP、SSH、登入嘗試、網路流量和系統狀態更新，並將這些事件分類，以及提供相關安全性詳細資料來豐富資料。

事前準備

• 確認您擁有 Google SecOps 執行個體。
• 確認您使用的是 Windows 2016 以上版本，或是搭載 systemd 的 Linux 主機。
• 如果透過 Proxy 執行，請確認防火牆通訊埠已開啟。
• 確認您擁有 Cisco 交換器的特殊權限。

取得 Google SecOps 擷取驗證檔案

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「設定檔」。
3. 複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

Windows 安裝

1. 以系統管理員身分開啟「命令提示字元」或「PowerShell」。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安裝

1. 開啟具有根層級或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安裝資源

• 如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

1. 存取設定檔：

   1. 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄，或 Windows 的安裝目錄。
   2. 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

2. 按照下列方式編輯 config.yaml 檔案：

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: CISCO_SWITCH
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 視基礎架構需求，替換通訊埠和 IP 位址。

4. 將 <customer_id> 替換為實際的客戶 ID。

5. 將 /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」一節中儲存驗證檔案的路徑。

重新啟動 Bindplane 代理程式，以套用變更

• 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

  sudo systemctl restart bindplane-agent
  

• 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，或輸入下列指令：

  net stop BindPlaneAgent && net start BindPlaneAgent
  

在 Cisco 交換器上設定系統記錄

1. 登入 Cisco 交換器。

2. 輸入 enable 指令來提升權限：

   Switch> enable
   Switch#
   

3. 輸入 conf t 指令，切換至設定模式：

   Switch# conf t
   Switch(config)#
   

4. 輸入下列指令：

   logging host <bindplane-server-ip> transport <tcp/udp> port <port-number>
   logging source-interface <interface>
   

   • 將 <bindplane-server-ip> 替換為 Bindplane 代理程式 IP 位址，並將 <port-number> 替換為設定的通訊埠。
   • 將 <tcp/udp> 替換為 Bindplane 代理程式上設定的監聽通訊協定。例如 udp。
   • 將 <interface> 替換為 Cisco 介面 ID。

5. 輸入下列指令，設定優先順序：

   logging trap Informational 
   logging console Informational 
   logging severity Informational
   

6. 設定系統記錄設施：

   logging facility local6
   

7. 輸入下列指令來啟用時間戳記：

   service timestamps log datetime
   

8. 儲存並結束。

9. 輸入下列指令，設定在重新啟動後仍可使用的設定：

   copy running-config startup-config
   

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。