Raccogliere i log di Cisco UCS
Questo documento spiega come importare i log Cisco UCS in Google Security Operations utilizzando Bindplane. Il codice del parser tenta innanzitutto di analizzare il messaggio di log non elaborato come JSON. Se l'operazione non va a buon fine, utilizza le espressioni regolari (pattern grok
) per estrarre i campi dal messaggio in base ai formati di log Cisco UCS comuni.
.
Prima di iniziare
Assicurati di soddisfare i seguenti prerequisiti:
- Istanza Google SecOps
- Host Windows 2016 o versioni successive o Linux con systemd
- Se l'esecuzione avviene tramite un proxy, le porte del firewall sono aperte
- Accesso con privilegi a Cisco UCS
Recuperare il file di autenticazione importazione di Google SecOps
- Accedi alla console Google SecOps.
- Vai a Impostazioni SIEM > Agenti di raccolta.
- Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.
Recuperare l'ID cliente Google SecOps
- Accedi alla console Google SecOps.
- Vai a Impostazioni SIEM > Profilo.
- Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.
Installa l'agente Bindplane
Installazione di Windows
- Apri il prompt dei comandi o PowerShell come amministratore.
Esegui questo comando:
```cmd msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet ```
Installazione di Linux
- Apri un terminale con privilegi di root o sudo.
Esegui questo comando:
```bash sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh ```
Risorse aggiuntive per l'installazione
Per ulteriori opzioni di installazione, consulta la guida all'installazione.
Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps
Accedi al file di configurazione:
- Individua il file
config.yaml
. In genere, si trova nella directory/etc/bindplane-agent/
su Linux o nella directory di installazione su Windows. - Apri il file utilizzando un editor di testo (ad esempio
nano
,vi
o Blocco note).
- Individua il file
Modifica il file
config.yaml
come segue:receivers: udplog: # Replace the port and IP address as required listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the path to the credentials file you downloaded in Step 1 creds: '/path/to/ingestion-authentication-file.json' # Replace with your actual customer ID from Step 2 customer_id: <customer_id> endpoint: malachiteingestion-pa.googleapis.com # Add optional ingestion labels for better organization ingestion_labels: log_type: CISCO_UCS raw_log_field: body service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels
Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
Sostituisci
<customer_id>
con l'ID cliente effettivo.Aggiorna
/path/to/ingestion-authentication-file.json
al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.
Riavvia l'agente Bindplane per applicare le modifiche
Per riavviare l'agente Bindplane in Linux, esegui questo comando:
```bash sudo systemctl restart bindplane-agent ```
Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:
```cmd net stop BindPlaneAgent && net start BindPlaneAgent ```
Configurare Syslog per Cisco UCS
- Accedi a Cisco UCS Manager.
- Seleziona la scheda Amministrazione.
- Espandi Guasti, eventi e audit log.
- Seleziona Syslog.
- Individua la categoria File e seleziona Attivato per lo stato amministrativo.
- Seleziona il livello di allarme dal menu (ad esempio Avvisi).
- Fai clic su Salva modifiche.
- Individua la categoria Destinazioni remote a destra.
- Seleziona Attivata per Stato amministrativo server 1.
- Fornisci i seguenti dettagli di configurazione:
- Livello: seleziona Informativo.
- Nome host: inserisci l'indirizzo IP di Bindplane. La porta predefinita in UCS è
514
. - Struttura: seleziona Local7.
- Fai clic su Salva modifiche.
Tabella di mappatura UDM
Campo log | Mappatura UDM | Logic |
---|---|---|
applicazione | read_only_udm.principal.application | Valore estratto dal campo "application" dal pattern Grok. |
decr | read_only_udm.security_result.description | Valore estratto dal campo "desc" dal pattern Grok. |
decr | read_only_udm.security_result.severity | Se il campo "desc" contiene Warning , impostalo su HIGH . |
filename | read_only_udm.principal.process.file.full_path | Valore estratto dal campo "filename" dal pattern Grok. |
file_size | read_only_udm.principal.process.file.size | Valore estratto dal campo "file_size" dal pattern Grok e convertito in un numero intero senza segno. |
host | read_only_udm.principal.ip | Valore estratto dal campo "host" dal pattern Grok. |
nome host | read_only_udm.principal.hostname | Valore tratto dal campo "hostname" estratto dal pattern Grok. |
prod_evt_type | read_only_udm.metadata.product_event_type | Valore estratto dal campo "prod_evt_type" dal pattern Grok. |
servizio | read_only_udm.target.application | Valore estratto dal campo "service" dal pattern Grok. |
gravità | read_only_udm.security_result.severity | Se il campo "severity" (gravità) contiene error (senza distinzione tra maiuscole e minuscole), impostalo su ERROR . |
timestamp | read_only_udm.metadata.event_timestamp.seconds | Valore estratto dal campo "timestamp" dal pattern Grok e analizzato come timestamp. |
utente | read_only_udm.principal.user.userid | Valore estratto dal campo "user" dal pattern Grok. |
read_only_udm.extensions.auth.type | Impostato su MACHINE se il campo "user" non è vuoto. |
|
read_only_udm.metadata.event_type | Logica basata sulla presenza del campo: - USER_LOGIN se il campo "utente" non è vuoto. - GENERIC_EVENT se i campi "hostname" e "host" sono vuoti. - STATUS_UPDATE altrimenti. |
|
read_only_udm.metadata.log_type | Codificato in modo permanente su CISCO_UCS . |
|
read_only_udm.metadata.product_name | Codificato in modo permanente su Cisco UCS . |
|
read_only_udm.metadata.vendor_name | Codificato in modo permanente su Cisco . |
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.