Collecter les journaux du contrôleur de réseau local sans fil (WLC) Cisco

Compatible avec :

Ce document explique comment ingérer les journaux Cisco Wireless LAN Controller (WLC) dans Google Security Operations à l'aide de Bindplane. L'analyseur extrait les champs des messages syslog, en gérant les formats JSON et texte brut. Il utilise des modèles grok pour identifier les champs clés, y compris les codes temporels, la gravité et le contenu des messages, puis remplit le modèle UDM avec les données extraites, y compris les informations principales et intermédiaires lorsqu'elles sont disponibles dans les journaux.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Instance Google SecOps
  • Windows 2016 ou version ultérieure, ou un hôte Linux avec systemd
  • Si vous exécutez le programme derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts.
  • Accès privilégié aux contrôleurs de réseau local sans fil Cisco
  • Contrôleurs de réseau local sans fil Cisco exécutant le logiciel AireOS 8.8.111.0 ou version ultérieure

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
    • Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Profil.
  3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de fenêtres

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installation de Linux

  1. Ouvrez un terminal avec les droits root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Ressources d'installation supplémentaires

Pour plus d'options d'installation, consultez le guide d'installation.

Configurer l'agent BindPlane pour ingérer Syslog et l'envoyer à Google SecOps

  1. Accédez au fichier de configuration :
    • Trouvez le fichier config.yaml. Il se trouve généralement dans le répertoire /etc/bindplane-agent/ sous Linux ou dans le répertoire d'installation sous Windows.
    • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou le Bloc-notes).

  2. Modifiez le fichier config.yaml comme suit :

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'CISCO_WIRELESS'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
    • Remplacez <customer_id> par le numéro client réel.
    • Mettez à jour /path/to/ingestion-authentication-file.json en indiquant le chemin d'accès où le fichier d'authentification a été enregistré dans la section Obtenir le fichier d'authentification pour l'ingestion Google SecOps.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart bindplane-agent

  • Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurer Syslog sur Cisco WLC (interface graphique)

  1. Connectez-vous à l'interface utilisateur Web du WLC.
  2. Accédez à Gestion > Journaux > Config.
  3. Saisissez l'adresse IP de l'agent Bindplane dans le champ Adresse IP du serveur Syslog.
  4. Cliquez sur Ajouter.
  5. Fournissez les informations de configuration suivantes :
    • Gravité Syslog : sélectionnez Informationnel.
    • Installation Syslog : sélectionnez Utilisation locale 0.
  6. Cliquez sur Appliquer.

  7. Cliquez sur Enregistrer la configuration.

Table de mappage UDM

Champ de journal Mappage UDM Logique
action_data read_only_udm.security_result.action_details Mappé directement à partir du champ action_data.
data read_only_udm.metadata.description Directement mappé à partir du champ data après un certain traitement (par exemple, suppression des codes temporels et des caractères supplémentaires). Extrait du code temporel au début du message de journal. L'analyseur gère différents formats. Déterminé en fonction des champs mnemonic et messageToProcess à l'aide d'une logique complexe dans le fichier cisco_wireless.include. Défini sur "CISCO_WIRELESS". Concaténation des champs facility, cisco_severity et mnemonic. Extrait du message de journal, le cas échéant. Défini sur "CISCO_WIRELESS". Extrait du champ version, le cas échéant. Défini sur "CISCO". Définissez la valeur sur "DHCP" lorsque l'événement est lié au protocole DHCP. Définissez sa valeur sur "BROADCAST" pour les événements de réseau de diffusion. Définissez la valeur sur "UDP" pour les événements réseau UDP. Extrait de la description, si disponible. Extrait de la description, si disponible. Mappé à partir des champs wlc_controller ou hostname, selon le format du journal. Extrait de la description ou de MessageSourceAddress, le cas échéant. Mappé à partir des champs wlc_controller ou hostname, selon le format du journal. Extrait de la description ou de MessageSourceAddress, le cas échéant. Extrait de la description, si disponible. Extrait de la description, si disponible. Créé à partir des champs SourceModuleName et SourceModuleType, le cas échéant. Mappé à partir de read_only_udm.principal.user.userid lorsque l'ID utilisateur ressemble à une adresse e-mail. Extrait de la description, si disponible. Extrait de la description, si disponible. Déterminé en fonction du type et de la description de l'événement. Déterminé en fonction du type et de la description de l'événement. Créée à partir de champs spécifiques de la description, le cas échéant. Extrait de la description, si disponible. Combine parfois des informations provenant de plusieurs champs. Déterminé en fonction du champ cisco_severity et du type d'événement. Dérivé du champ read_only_udm.security_result.severity. Résumé concis du résultat de sécurité, basé sur la description et le type d'événement. Extrait de la description, si disponible. Extrait de la description, si disponible. Extrait de la description, si disponible. Extrait de la description, si disponible. Extrait de la description, si disponible. Extrait de la description, si disponible. Extrait de la description, si disponible. Définissez sa valeur sur "SETTING" pour les événements de modification de paramètres. Extrait de la description, si disponible.
event_data read_only_udm.metadata.product_event_type Mappé directement à partir du champ event_data.
event_id read_only_udm.metadata.product_log_id Mappé directement à partir du champ event_id.
event_ts read_only_udm.metadata.event_timestamp Mappé directement à partir du champ event_ts.
facility read_only_udm.metadata.product_event_type Mappé directement à partir du champ facility.
hostname read_only_udm.principal.hostname Mappé directement à partir du champ hostname.
hostname read_only_udm.target.hostname Mappé directement à partir du champ hostname.
inter_mac read_only_udm.intermediary.mac Mappé directement à partir du champ inter_mac.
intermediary_hostname read_only_udm.intermediary.hostname Mappé directement à partir du champ intermediary_hostname.
kv_data read_only_udm.principal.resource.attribute.labels Analysé sous forme de paires clé/valeur et utilisé pour remplir les libellés.
log_message read_only_udm.security_result.description Mappé directement à partir du champ log_message.
MessageSourceAddress read_only_udm.principal.asset.ip Mappé directement à partir du champ MessageSourceAddress.
MessageSourceAddress read_only_udm.principal.ip Mappé directement à partir du champ MessageSourceAddress.
messageToProcess read_only_udm.metadata.description Mappé directement à partir du champ messageToProcess après traitement.
mnemonic read_only_udm.metadata.event_type Utilisé en association avec d'autres champs pour déterminer le type d'événement.
mnemonic read_only_udm.metadata.product_event_type Mappé directement à partir du champ mnemonic.
severity_data read_only_udm.security_result.severity Mappé à partir du champ severity_data après sa conversion en valeur d'énumération.
SourceModuleName read_only_udm.principal.resource.attribute.labels Mappé directement à partir du champ SourceModuleName.
SourceModuleType read_only_udm.principal.resource.attribute.labels Mappé directement à partir du champ SourceModuleType.
timestamp read_only_udm.metadata.event_timestamp Mappé directement à partir du champ timestamp.
version read_only_udm.metadata.product_version Mappé directement à partir du champ version.
wlc_controller read_only_udm.principal.hostname Mappé directement à partir du champ wlc_controller.
wlc_controller read_only_udm.target.hostname Mappé directement à partir du champ wlc_controller.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.