Raccogliere i log di Cisco UCS

Supportato in:

Questo documento spiega come importare i log Cisco UCS in Google Security Operations utilizzando Bindplane. Il codice del parser tenta innanzitutto di analizzare il messaggio di log non elaborato come JSON. Se l'operazione non va a buon fine, utilizza le espressioni regolari (pattern grok) per estrarre i campi dal messaggio in base ai formati di log Cisco UCS comuni. .

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Istanza Google SecOps
  • Host Windows 2016 o versioni successive o Linux con systemd
  • Se l'esecuzione avviene tramite un proxy, le porte del firewall sono aperte
  • Accesso con privilegi a Cisco UCS

Recuperare il file di autenticazione importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.
  2. Esegui questo comando:

    ```cmd
    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
    ```
    

Installazione di Linux

  1. Apri un terminale con privilegi di root o sudo.
  2. Esegui questo comando:

    ```bash
    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
    ```
    

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

  1. Accedi al file di configurazione:

    • Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).
  2. Modifica il file config.yaml come segue:

                    receivers:
                        udplog:
                            # Replace the port and IP address as required
                            listen_address: "0.0.0.0:514"
    
                    exporters:
                        chronicle/chronicle_w_labels:
                            compression: gzip
                            # Adjust the path to the credentials file you downloaded in Step 1
                            creds: '/path/to/ingestion-authentication-file.json'
                            # Replace with your actual customer ID from Step 2
                            customer_id: <customer_id>
                            endpoint: malachiteingestion-pa.googleapis.com
                            # Add optional ingestion labels for better organization
                            ingestion_labels:
                                log_type: CISCO_UCS
                                raw_log_field: body
    
                    service:
                        pipelines:
                            logs/source0__chronicle_w_labels-0:
                                receivers:
                                    - udplog
                                exporters:
                                    - chronicle/chronicle_w_labels
    
  3. Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.

  4. Sostituisci <customer_id> con l'ID cliente effettivo.

  5. Aggiorna /path/to/ingestion-authentication-file.json al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    ```bash
    sudo systemctl restart bindplane-agent
    ```
    
  • Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    ```cmd
    net stop BindPlaneAgent && net start BindPlaneAgent
    ```
    

Configurare Syslog per Cisco UCS

  1. Accedi a Cisco UCS Manager.
  2. Seleziona la scheda Amministrazione.
  3. Espandi Guasti, eventi e audit log.
  4. Seleziona Syslog.
  5. Individua la categoria File e seleziona Attivato per lo stato amministrativo.
  6. Seleziona il livello di allarme dal menu (ad esempio Avvisi).
  7. Fai clic su Salva modifiche.
  8. Individua la categoria Destinazioni remote a destra.
  9. Seleziona Attivata per Stato amministrativo server 1.
  10. Fornisci i seguenti dettagli di configurazione:
    • Livello: seleziona Informativo.
    • Nome host: inserisci l'indirizzo IP di Bindplane. La porta predefinita in UCS è 514.
    • Struttura: seleziona Local7.
  11. Fai clic su Salva modifiche.

Tabella di mappatura UDM

Campo log Mappatura UDM Logic
applicazione read_only_udm.principal.application Valore estratto dal campo "application" dal pattern Grok.
decr read_only_udm.security_result.description Valore estratto dal campo "desc" dal pattern Grok.
decr read_only_udm.security_result.severity Se il campo "desc" contiene Warning, impostalo su HIGH.
filename read_only_udm.principal.process.file.full_path Valore estratto dal campo "filename" dal pattern Grok.
file_size read_only_udm.principal.process.file.size Valore estratto dal campo "file_size" dal pattern Grok e convertito in un numero intero senza segno.
host read_only_udm.principal.ip Valore estratto dal campo "host" dal pattern Grok.
nome host read_only_udm.principal.hostname Valore tratto dal campo "hostname" estratto dal pattern Grok.
prod_evt_type read_only_udm.metadata.product_event_type Valore estratto dal campo "prod_evt_type" dal pattern Grok.
servizio read_only_udm.target.application Valore estratto dal campo "service" dal pattern Grok.
gravità read_only_udm.security_result.severity Se il campo "severity" (gravità) contiene error (senza distinzione tra maiuscole e minuscole), impostalo su ERROR.
timestamp read_only_udm.metadata.event_timestamp.seconds Valore estratto dal campo "timestamp" dal pattern Grok e analizzato come timestamp.
utente read_only_udm.principal.user.userid Valore estratto dal campo "user" dal pattern Grok.
read_only_udm.extensions.auth.type Impostato su MACHINE se il campo "user" non è vuoto.
read_only_udm.metadata.event_type Logica basata sulla presenza del campo:
- USER_LOGIN se il campo "utente" non è vuoto.
- GENERIC_EVENT se i campi "hostname" e "host" sono vuoti.
- STATUS_UPDATE altrimenti.
read_only_udm.metadata.log_type Codificato in modo permanente su CISCO_UCS.
read_only_udm.metadata.product_name Codificato in modo permanente su Cisco UCS.
read_only_udm.metadata.vendor_name Codificato in modo permanente su Cisco.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.