Raccogliere i log del controller LAN wireless (WLC) Cisco

Supportato in:

Questo documento spiega come importare i log di Cisco Wireless LAN Controller (WLC) in Google Security Operations utilizzando Bindplane. Il parser estrae i campi dai messaggi syslog, gestendo sia i formati JSON che quelli in testo normale. Utilizza pattern grok per identificare i campi chiave, inclusi timestamp, gravità e contenuti dei messaggi, e poi compila il modello UDM con i dati estratti, incluse le informazioni su principal e intermediario, se disponibili nei log.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Istanza Google SecOps
  • Windows 2016 o versioni successive oppure un host Linux con systemd
  • Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte.
  • Accesso con privilegi ai controller LAN wireless Cisco
  • Controller LAN wireless Cisco con software AireOS 8.8.111.0 o versioni successive

Recuperare il file di autenticazione importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione importazione.
    • Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente BindPlane per importare Syslog e inviarlo a Google SecOps

  1. Accedi al file di configurazione:
    • Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'CISCO_WIRELESS'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart bindplane-agent

  • Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura Syslog su Cisco WLC (GUI)

  1. Accedi all'UI web di WLC.
  2. Vai a Gestione > Log > Configurazione.
  3. Inserisci l'indirizzo IP dell'agente Bindplane nel campo Indirizzo IP server Syslog.
  4. Fai clic su Aggiungi.
  5. Fornisci i seguenti dettagli di configurazione:
    • Gravità Syslog: seleziona Informativo.
    • Syslog Facility (Funzione Syslog): seleziona Local Use 0 (Uso locale 0).
  6. Fai clic su Applica.

  7. Fai clic su Salva configurazione.

Tabella di mappatura UDM

Campo log Mappatura UDM Logic
action_data read_only_udm.security_result.action_details Mappato direttamente dal campo action_data.
data read_only_udm.metadata.description Mappato direttamente dal campo data dopo l'elaborazione (ad es. rimozione di timestamp, caratteri aggiuntivi). Estratto dal timestamp all'inizio del messaggio di log. Il parser gestisce vari formati. Determinato in base ai campi mnemonic e messageToProcess utilizzando una logica complessa all'interno del file cisco_wireless.include. Imposta il valore su "CISCO_WIRELESS". Concatenazione dei campi facility, cisco_severity e mnemonic. Estratto dal messaggio di log, se disponibile. Imposta il valore su "CISCO_WIRELESS". Estratto dal campo version, se disponibile. Imposta su "CISCO". Imposta "DHCP" quando l'evento riguarda il DHCP. Imposta "BROADCAST" per gli eventi della rete di trasmissione. Imposta "UDP" per gli eventi di rete UDP. Estratto dalla descrizione, se disponibile. Estratto dalla descrizione, se disponibile. Mappato dai campi wlc_controller o hostname, a seconda del formato del log. Estratto dalla descrizione o da MessageSourceAddress, se disponibile. Mappato dai campi wlc_controller o hostname, a seconda del formato del log. Estratto dalla descrizione o da MessageSourceAddress, se disponibile. Estratto dalla descrizione, se disponibile. Estratto dalla descrizione, se disponibile. Creato dai campi SourceModuleName e SourceModuleType, se disponibili. Mappato da read_only_udm.principal.user.userid quando l'ID utente sembra un indirizzo email. Estratto dalla descrizione, se disponibile. Estratto dalla descrizione, se disponibile. Determinato in base al tipo e alla descrizione dell'evento. Determinato in base al tipo e alla descrizione dell'evento. Creato da campi specifici all'interno della descrizione, se disponibili. Estratto dalla descrizione, se disponibile. A volte combina informazioni provenienti da più campi. Determinato in base al campo cisco_severity e al tipo di evento. Derivato dal campo read_only_udm.security_result.severity. Un riepilogo conciso del risultato di sicurezza, derivato dalla descrizione e dal tipo di evento. Estratto dalla descrizione, se disponibile. Estratto dalla descrizione, se disponibile. Estratto dalla descrizione, se disponibile. Estratto dalla descrizione, se disponibile. Estratto dalla descrizione, se disponibile. Estratto dalla descrizione, se disponibile. Estratto dalla descrizione, se disponibile. Imposta su "SETTING" per gli eventi di modifica delle impostazioni. Estratto dalla descrizione, se disponibile.
event_data read_only_udm.metadata.product_event_type Mappato direttamente dal campo event_data.
event_id read_only_udm.metadata.product_log_id Mappato direttamente dal campo event_id.
event_ts read_only_udm.metadata.event_timestamp Mappato direttamente dal campo event_ts.
facility read_only_udm.metadata.product_event_type Mappato direttamente dal campo facility.
hostname read_only_udm.principal.hostname Mappato direttamente dal campo hostname.
hostname read_only_udm.target.hostname Mappato direttamente dal campo hostname.
inter_mac read_only_udm.intermediary.mac Mappato direttamente dal campo inter_mac.
intermediary_hostname read_only_udm.intermediary.hostname Mappato direttamente dal campo intermediary_hostname.
kv_data read_only_udm.principal.resource.attribute.labels Analizzati come coppie chiave-valore e utilizzati per compilare le etichette.
log_message read_only_udm.security_result.description Mappato direttamente dal campo log_message.
MessageSourceAddress read_only_udm.principal.asset.ip Mappato direttamente dal campo MessageSourceAddress.
MessageSourceAddress read_only_udm.principal.ip Mappato direttamente dal campo MessageSourceAddress.
messageToProcess read_only_udm.metadata.description Mappato direttamente dal campo messageToProcess dopo l'elaborazione.
mnemonic read_only_udm.metadata.event_type Utilizzato insieme ad altri campi per determinare il tipo di evento.
mnemonic read_only_udm.metadata.product_event_type Mappato direttamente dal campo mnemonic.
severity_data read_only_udm.security_result.severity Mappato dal campo severity_data dopo la conversione in un valore enum.
SourceModuleName read_only_udm.principal.resource.attribute.labels Mappato direttamente dal campo SourceModuleName.
SourceModuleType read_only_udm.principal.resource.attribute.labels Mappato direttamente dal campo SourceModuleType.
timestamp read_only_udm.metadata.event_timestamp Mappato direttamente dal campo timestamp.
version read_only_udm.metadata.product_version Mappato direttamente dal campo version.
wlc_controller read_only_udm.principal.hostname Mappato direttamente dal campo wlc_controller.
wlc_controller read_only_udm.target.hostname Mappato direttamente dal campo wlc_controller.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.