收集 Zeek (Bro) 日志

本文档介绍了如何将 Zeek（以前称为 Bro）和 NXLog 与 Google 安全运营部署在一起，以便以 JSON 格式收集 Zeek 日志。本文档还介绍了 Zeek 日志字段如何映射到 Google 安全运维 Unified Data Model (UDM) 字段。

如需大致了解 Google Security Operations 数据注入，请参阅将数据注入到 Google Security Operations。

提取标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 BRO_JSON 注入标签的解析器。

准备工作

• 如需了解部署来收集 Zeek 日志的组件，请查看部署架构。每个客户部署都可能与此表示法不同，并且可能更复杂。下图展示了如何在 Linux 服务器上配置 NXLog 代理和 Google 安全运营转发器，以及如何将日志数据转发到 Google 安全运营。

  

• 验证 Google Security Operations 解析器支持的 Zeek 版本。 Google 安全运营解析器支持以下 Zeek 版本：

  • Zeek 4.1.0
  • Zeek 4.0.1
  • Zeek 5.2.0
  • Zeek 6.0.0

• 在使用 Zeek 解析器之前，请先查看先前解析器与当前 Zeek 解析器之间的字段映射变化。在迁移过程中，请确保依赖于原始字段的规则、搜索、信息中心或其他进程使用更新后的字段。

  例如，在旧版解析器中，server_name 字段会映射到 target.hostname UDM 字段。在当前的 Zeek 解析器中，server_name 字段会映射到 network.tls.client.server_name UDM 字段。如果您迁移到当前的 Zeek 解析器并在规则中使用 server_name 字段，则需要修改规则以使用当前解析器的 network.tls.client.server_name UDM 字段。

• 验证 Google Security Operations 解析器支持的 Zeek 日志类型。 下表列出了 Google 安全运营解析器支持的 Zeek 日志类型：

日志类型	说明
网络协议	包括网络协议的日志文件，例如动态主机配置协议 (DHCP) 和域名系统 (DNS)。
文件	包含以下日志文件：文件分析结果、在线证书状态协议 (OCSP)、可移植可执行文件 (PE) 和 X.509 证书。
NetControl	包括 NetControl 操作日志文件和 OpenFlow 调试日志。
检测	包括情报数据匹配、Zeek 通知、警报流、签名匹配和 traceroute 检测的日志文件。
网络观察	包括 SSL 证书、已完成 TCP 握手的主机、Modbus 主副本、主机上运行的服务以及网络上使用的软件的日志文件。

• 如果您尚未安装和配置 Zeek，请执行此操作。如需了解详情，请参阅 Zeek 安装。

• 以 JSON 格式收集 Zeek 日志。如需了解详情，请参阅将 Zeek 日志输出到 JSON。

• 确保部署架构中的所有系统都使用世界协调时间 (UTC) 时区进行配置。

配置 NXLog 和 Google Security Operations 转发器

1. 在运行 Google Security Operations 转发器的 Linux 计算机上，下载并安装 NXLog 社区版。
   • 如需详细了解如何下载 NXLog 社区版，请参阅 NXLog 文档。
   • 如需详细了解如何安装所需的 NXLog 软件包和依赖项，请参阅在 Linux 系统上安装 NXLog。
2. 为每个 NXLog 实例创建一个配置文件。

3. 使用 NXLog im_file 模块从文件中读取内容并将行解析为字段。以下是 NXLog 配置示例：

   LogFile /var/log/nxlog/nxlog.log
   LogLevel INFO
   
   define ZEEK_OUTPUT_DESTINATION_ADDRESS <hostname>
   define ZEEK_OUTPUT_DESTINATION_PORT <port>
   
   <Input conn>
      Module      im_file
      File        '/opt/zeek/logs/current/conn.log'
      Exec $raw_event= "conn" + ' - ' + $raw_event;;
   </Input>
   
   <Input dce_rpc>
     Module      im_file
     File        '/opt/zeek/logs/current/dce_rpc.log'
     Exec $raw_event= "dce_rpc" + ' - ' + $raw_event;;
   </Input>
   
   <Output out_chronicle>
     Module  om_tcp
     Host    %ZEEK_OUTPUT_DESTINATION_ADDRESS%
     Port    %ZEEK_OUTPUT_DESTINATION_PORT%
   </Output>
   
   <Route zeek_to_chronicle>
     Path conn, dce_rpc => out_chronicle
   </Route>
   
   

   如需使用上述示例配置，请执行以下操作：

   • 将 <hostname> 和 <port> 值替换为目标 Linux 服务器的信息。
   • 为您要收集的每种 Zeek 日志类型添加输入、输出和路由元素。

4. 配置 Google Security Operations 转发器，以将日志发送到 Google Security Operations。如需了解详情，请参阅在 Linux 上安装和配置转发器。以下是转发器配置示例。

     - syslog:
         common:
           enabled: true
           data_type: BRO_JSON
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         tcp_address: 0.0.0.0:10518
         connection_timeout_sec: 60
   

5. 启动 NXLog 服务。

字段映射参考信息：Zeek 日志字段到 UDM 字段

如需了解 Google Security Operations 解析器如何针对每种 Zeek 日志类型将 Zeek 日志字段映射到 Google Security Operations UDM 事件字段，请参阅以下部分：

• 网络协议
• 文件
• Netcontrol
• 检测
• 网络观察

网络协议

下表列出了网络协议日志类型的日志字段及其对应的 UDM 字段。

文件

下表列出了文件日志类型的日志字段及其对应的 UDM 字段。

Netcontrol

下表列出了 netcontrol 日志类型的日志字段及其对应的 UDM 字段。

检测

下表列出了检测日志类型的日志字段及其对应的 UDM 字段。

网络观察

下表列出了网络观察日志类型的日志字段及其对应的 UDM 字段。

字段映射参考信息：事件 ID 到 UDM 事件类型

如需了解解析器如何将日志名称映射到 UDM 事件类型，请参阅以下部分：

• 网络协议
• 文件
• Netcontrol
• 检测
• 网络观察

网络协议

下表列出了网络协议日志类型的日志名称及其对应的 UDM 事件类型。

日志名称	说明	UDM 事件类型
conn.log	TCP/UDP/ICMP connections	NETWORK_CONNECTION
dce_rpc.log	Distributed Computing Environment/RPC	NETWORK_CONNECTION
dhcp.log	DHCP leases	NETWORK_DHCP
dnp3.log	DNP3 (Distributed Network Protocol 3) requests and replies	NETWORK_CONNECTION
dns.log	DNS activity	NETWORK_DNS
ftp.log	FTP (File Transfer Protocol) activity	NETWORK_FTP
http.log	HTTP requests and replies	NETWORK_HTTP
irc.log	IRC (Internet Relay Chat) commands and responses	NETWORK_CONNECTION
kerberos.log	Kerberos	NETWORK_CONNECTION
modbus.log	Modbus commands and responses	NETWORK_CONNECTION
modbus_register_change.log	Tracks changes to Modbus holding registers	GENERIC_EVENT
mysql.log	MySQL	NETWORK_UNCATEGORIZED
ntlm.log	NT LAN Manager (NTLM)	NETWORK_CONNECTION
ntp.log	Network Time Protocol	NETWORK_CONNECTION
radius.log	RADIUS authentication attempts	USER_LOGIN
rdp.log	Remote Desktop Protocol (RDP)	NETWORK_CONNECTION
rfb.log	Remote Framebuffer (RFB)	NETWORK_CONNECTION
sip.log	Session Initiation Protocol (SIP)	NETWORK_UNCATEGORIZED
smb_cmd.log	SMB (Server Message Block) commands	NETWORK_CONNECTION
smb_files.log	SMB (Server Message Block) files	NETWORK_UNCATEGORIZED
smb_mapping.log	SMB (Server Message Block) trees	NETWORK_CONNECTION
smtp.log	SMTP (Simple Mail Transfer Protocol) transactions	NETWORK_SMTP
snmp.log	SNMP (Simple Network Management Protocol) messages	NETWORK_UNCATEGORIZED
socks.log	SOCKS proxy requests	NETWORK_CONNECTION
ssh.log	SSH (Secure Shell) connections	NETWORK_UNCATEGORIZED
ssl.log	SSL(Secure Sockets Layer)/TLS(Transport Layer Security) handshake info	NETWORK_HTTP NETWORK_CONNECTION
syslog.log	Syslog messages	NETWORK_CONNECTION
tunnel.log	Tunneling protocol events	NETWORK_CONNECTION

文件

下表列出了文件日志类型的日志名称及其对应的 UDM 事件类型。

日志名称	说明	UDM 事件类型
files.log	File analysis results	NETWORK_UNCATEGORIZED
ocsp.log	If policy script is loaded, the Online Certificate Status Protocol (OCSP) log is created.	GENERIC_EVENT
pe.log	Portable Executable (PE)	GENERIC_EVENT
x509.log	X.509 certificate info	GENERIC_EVENT

Netcontrol

下表列出了 netcontrol 日志类型的日志名称及其对应的 UDM 事件类型。

日志名称	说明	UDM 事件类型
netcontrol.log	NetControl actions	GENERIC_EVENT
netcontrol_drop.log	NetControl actions	STATUS_UPDATE
netcontrol_shunt.log	NetControl shunt actions	STATUS_UPDATE
netcontrol_catch_release.log	NetControl catch and release actions	GENERIC_EVENT
openflow.log	OpenFlow debug log	GENERIC_EVENT

检测

下表列出了检测日志类型的日志名称及其对应的 UDM 事件类型。

日志名称	说明	UDM 事件类型
intel.log	Intelligence data matches	GENERIC_EVENT
notice.log	Zeek notices	NETWORK_CONNECTION
notice_alarm.log	The alarm stream	NETWORK_CONNECTION
signatures.log	Signature matches	GENERIC_EVENT
traceroute.log	Traceroute detection	NETWORK_UNCATEGORIZED

网络观察

下表列出了网络观察日志类型的日志名称及其对应的 UDM 事件类型。

日志名称	说明	UDM 事件类型
known_certs.log	SSL certificates	GENERIC_EVENT
known_hosts.log	Hosts that completed TCP handshakes	GENERIC_EVENT
known_modbus.log	Modbus master and secondary	GENERIC_EVENT
known_services.log	Services running on hosts	GENERIC_EVENT
software.log	Software used on the network	GENERIC_EVENT

后续步骤

• 将数据提取到 Google Security Operations