Recoger registros de Extreme Wireless

Disponible en:

En este documento se explica cómo ingerir registros de Extreme Networks Wireless en Google Security Operations mediante Bindplane. El analizador extrae campos de los mensajes syslog mediante patrones grok basados en el campo prod_event_type. A continuación, asigna estos campos extraídos al modelo de datos unificado (UDM), gestiona varios formatos de registro y enriquece los datos con metadatos y etiquetas para mejorar el contexto.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host Linux con systemd
  • Si se ejecuta a través de un proxy, asegúrate de que los puertos del cortafuegos estén abiertos.
  • Acceso privilegiado a Extreme Networks CloudIQ

Obtener el archivo de autenticación de ingestión de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recogida.
  3. Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux siguiendo las instrucciones que se indican a continuación.

Instalación de ventanas

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación de Linux

  1. Abre un terminal con privilegios de superusuario o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para ver más opciones de instalación, consulta la guía de instalación.

Configurar el agente de BindPlane para ingerir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Busca el archivo config.yaml. Normalmente, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'EXTREME_WIRELESS'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurar Syslog para Extreme Networks CloudIQ

  1. Inicia sesión en la interfaz web de CloudIQ.
  2. Vaya a Configurar > Objetos comunes > Gestión > Servidores Syslog.
  3. Haz clic en +.
  4. Proporcione los siguientes detalles de configuración:
    • Nombre: proporciona un nombre único para el servidor.
    • Gravedad: selecciona Información.
    • Seleccione una dirección IP de syslog en el menú Seleccionar o haga clic en +.
    • Introduce la dirección IP del agente de Bindplane.
    • Introduce el número de puerto del agente de Bindplane.
    • Haz clic en AÑADIR.
  5. Haz clic en Guardar servidor Syslog.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
action security_result.detection_fields.key El valor del campo action del registro sin procesar se asigna a security_result.detection_fields.key.
action security_result.detection_fields.value El valor del campo action del registro sin procesar se asigna a security_result.detection_fields.value.
BSSID principal.resource.attribute.labels.key La cadena "BSSID" se asigna a principal.resource.attribute.labels.key.
BSSID principal.resource.attribute.labels.value El valor del campo BSSID del registro sin procesar se asigna a principal.resource.attribute.labels.value.
collection_time.nanos metadata.event_timestamp.nanos El valor de collection_time.nanos del registro sin procesar se asigna a metadata.event_timestamp.nanos.
collection_time.seconds metadata.event_timestamp.seconds El valor de collection_time.seconds del registro sin procesar se asigna a metadata.event_timestamp.seconds.
collection_time.seconds timestamp.seconds El valor de collection_time.seconds del registro sin procesar se asigna a timestamp.seconds.
collection_time.nanos timestamp.nanos El valor de collection_time.nanos del registro sin procesar se asigna a timestamp.nanos.
data security_result.description El valor del campo data del registro sin procesar, después de someterse a varias transformaciones de gsub para eliminar caracteres no deseados y valores "N/A", se asigna al campo security_result.description.
description security_result.description El valor del campo description, extraído por el analizador grok, se asigna al campo security_result.description.
first security_result.detection_fields.key La cadena "first" se asigna a security_result.detection_fields.key.
first security_result.detection_fields.value El valor del campo first del registro sin procesar se asigna a security_result.detection_fields.value.
hostname principal.asset.hostname El valor del campo hostname del registro sin procesar se asigna a los campos principal.asset.hostname y principal.hostname.
hostname principal.hostname El valor del campo hostname del registro sin procesar se asigna a los campos principal.asset.hostname y principal.hostname.
IP principal.asset.ip El valor del campo IP del registro sin procesar se asigna a los campos principal.asset.ip y principal.ip.
IP principal.ip El valor del campo IP del registro sin procesar se asigna a los campos principal.asset.ip y principal.ip.
MAC principal.resource.attribute.labels.key La cadena "MAC" se asigna a principal.resource.attribute.labels.key.
MAC principal.resource.attribute.labels.value El valor del campo MAC del registro sin procesar se asigna a principal.resource.attribute.labels.value.
medium security_result.detection_fields.key La cadena "medium" se asigna a security_result.detection_fields.key.
medium security_result.detection_fields.value El valor del campo medium del registro sin procesar se asigna a security_result.detection_fields.value. El metadata.event_type se determina mediante la lógica del analizador. Si están presentes los IDs de máquina principal y target, se asigna el valor NETWORK_CONNECTION. Si se incluyen los IDs de usuario principal o target, se asigna el valor USER_UNCATEGORIZED. Si solo está presente el ID de máquina principal, se define como STATUS_UPDATE. De lo contrario, se utiliza GENERIC_EVENT de forma predeterminada. La cadena "EXTREME WIRELESS" se asigna a metadata.product_name.
prod_event_type metadata.product_event_type El valor del campo prod_event_type del registro sin procesar se asigna al campo metadata.product_event_type.
port principal.port El valor del campo port del registro sin procesar, convertido en un número entero, se asigna al campo principal.port.
problem_summary security_result.summary El valor del campo problem_summary del registro sin procesar se asigna al campo security_result.summary.
SSID principal.resource.attribute.labels.key La cadena "SSID" se asigna a principal.resource.attribute.labels.key.
SSID principal.resource.attribute.labels.value El valor del campo SSID del registro sin procesar se asigna a principal.resource.attribute.labels.value.
station principal.asset.hostname El valor del campo station del registro sin procesar se asigna a los campos principal.asset.hostname y principal.hostname.
station principal.hostname El valor del campo station del registro sin procesar se asigna a los campos principal.asset.hostname y principal.hostname.
target_host target.asset.hostname El valor del campo target_host del registro sin procesar se asigna a los campos target.asset.hostname y target.hostname.
target_host target.hostname El valor del campo target_host del registro sin procesar se asigna a los campos target.asset.hostname y target.hostname.
target_ip target.asset.ip El valor del campo target_ip del registro sin procesar se asigna a los campos target.asset.ip y target.ip.
target_ip target.ip El valor del campo target_ip del registro sin procesar se asigna a los campos target.asset.ip y target.ip.
target_port target.port El valor del campo target_port del registro sin procesar, convertido en un número entero, se asigna al campo target.port.
target_user target.user.userid El valor del campo target_user del registro sin procesar se asigna al campo target.user.userid.
user-profile security_result.detection_fields.key La cadena "user profile" se asigna a security_result.detection_fields.key.
user-profile security_result.detection_fields.value El valor del campo user-profile del registro sin procesar se asigna a security_result.detection_fields.value.
username principal.user.userid El valor del campo username del registro sin procesar se asigna al campo principal.user.userid. La cadena "EXTREME_WIRELESS" se asigna a metadata.vendor_name.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.