Recopila registros de Extreme Wireless

Compatible con:

En este documento, se explica cómo transferir registros de Extreme Networks Wireless a Google Security Operations con Bindplane. El analizador extrae campos de los mensajes de syslog con patrones de Grok basados en el campo prod_event_type. Luego, asigna estos campos extraídos al modelo de datos unificado (UDM), controla varios formatos de registro y enriquece los datos con metadatos y etiquetas para mejorar el contexto.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host de Linux con systemd
  • Si ejecutas la herramienta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos.
  • Acceso privilegiado a CloudIQ de Extreme Networks

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Collection Agents.
  3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Profile.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta la guía de instalación.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'EXTREME_WIRELESS'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura Syslog para CloudIQ de Extreme Networks

  1. Accede a la IU web de CloudIQ.
  2. Ve a Configure > Common Objects > Management > Syslog Servers.
  3. Haz clic en +.
  4. Proporciona los siguientes detalles de configuración:
    • Nombre: Proporciona un nombre único para el servidor.
    • Gravedad: Selecciona Info.
    • Selecciona una dirección IP de syslog existente en el menú Seleccionar o haz clic en +.
    • Ingresa la dirección IP del agente de BindPlane.
    • Ingresa el número de puerto del agente de Bindplane.
    • Haz clic en AGREGAR.
  5. Haz clic en Save Syslog Server.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
action security_result.detection_fields.key El valor del campo action del registro sin procesar se asigna a security_result.detection_fields.key.
action security_result.detection_fields.value El valor del campo action del registro sin procesar se asigna a security_result.detection_fields.value.
BSSID principal.resource.attribute.labels.key La cadena "BSSID" se asigna al principal.resource.attribute.labels.key.
BSSID principal.resource.attribute.labels.value El valor del campo BSSID del registro sin procesar se asigna a principal.resource.attribute.labels.value.
collection_time.nanos metadata.event_timestamp.nanos El valor de collection_time.nanos del registro sin procesar se asigna a metadata.event_timestamp.nanos.
collection_time.seconds metadata.event_timestamp.seconds El valor de collection_time.seconds del registro sin procesar se asigna a metadata.event_timestamp.seconds.
collection_time.seconds timestamp.seconds El valor de collection_time.seconds del registro sin procesar se asigna a timestamp.seconds.
collection_time.nanos timestamp.nanos El valor de collection_time.nanos del registro sin procesar se asigna a timestamp.nanos.
data security_result.description El valor del campo data del registro sin procesar, después de someterse a varias transformaciones de gsub para quitar los caracteres no deseados y los valores "N/A", se asigna al campo security_result.description.
description security_result.description El valor del campo description, que extrae el analizador de grok, se asigna al campo security_result.description.
first security_result.detection_fields.key La cadena "first" se asigna a security_result.detection_fields.key.
first security_result.detection_fields.value El valor del campo first del registro sin procesar se asigna a security_result.detection_fields.value.
hostname principal.asset.hostname El valor del campo hostname del registro sin procesar se asigna a los campos principal.asset.hostname y principal.hostname.
hostname principal.hostname El valor del campo hostname del registro sin procesar se asigna a los campos principal.asset.hostname y principal.hostname.
IP principal.asset.ip El valor del campo IP del registro sin procesar se asigna a los campos principal.asset.ip y principal.ip.
IP principal.ip El valor del campo IP del registro sin procesar se asigna a los campos principal.asset.ip y principal.ip.
MAC principal.resource.attribute.labels.key La cadena "MAC" se asigna a principal.resource.attribute.labels.key.
MAC principal.resource.attribute.labels.value El valor del campo MAC del registro sin procesar se asigna a principal.resource.attribute.labels.value.
medium security_result.detection_fields.key La cadena "medium" se asigna a security_result.detection_fields.key.
medium security_result.detection_fields.value El valor del campo medium del registro sin procesar se asigna a security_result.detection_fields.value. El metadata.event_type se determina mediante la lógica dentro del analizador. Si están presentes los IDs de máquina principal y target, se establece en NETWORK_CONNECTION. Si hay IDs de usuario de principal o target, se establece en USER_UNCATEGORIZED. Si solo está presente el ID de la máquina principal, se establece en STATUS_UPDATE. De lo contrario, el valor predeterminado es GENERIC_EVENT. La cadena "EXTREME WIRELESS" se asigna a metadata.product_name.
prod_event_type metadata.product_event_type El valor del campo prod_event_type del registro sin procesar se asigna al campo metadata.product_event_type.
port principal.port El valor del campo port del registro sin procesar, convertido en un número entero, se asigna al campo principal.port.
problem_summary security_result.summary El valor del campo problem_summary del registro sin procesar se asigna al campo security_result.summary.
SSID principal.resource.attribute.labels.key La cadena "SSID" se asigna al principal.resource.attribute.labels.key.
SSID principal.resource.attribute.labels.value El valor del campo SSID del registro sin procesar se asigna a principal.resource.attribute.labels.value.
station principal.asset.hostname El valor del campo station del registro sin procesar se asigna a los campos principal.asset.hostname y principal.hostname.
station principal.hostname El valor del campo station del registro sin procesar se asigna a los campos principal.asset.hostname y principal.hostname.
target_host target.asset.hostname El valor del campo target_host del registro sin procesar se asigna a los campos target.asset.hostname y target.hostname.
target_host target.hostname El valor del campo target_host del registro sin procesar se asigna a los campos target.asset.hostname y target.hostname.
target_ip target.asset.ip El valor del campo target_ip del registro sin procesar se asigna a los campos target.asset.ip y target.ip.
target_ip target.ip El valor del campo target_ip del registro sin procesar se asigna a los campos target.asset.ip y target.ip.
target_port target.port El valor del campo target_port del registro sin procesar, convertido en un número entero, se asigna al campo target.port.
target_user target.user.userid El valor del campo target_user del registro sin procesar se asigna al campo target.user.userid.
user-profile security_result.detection_fields.key La cadena "perfil de usuario" se asigna a security_result.detection_fields.key.
user-profile security_result.detection_fields.value El valor del campo user-profile del registro sin procesar se asigna a security_result.detection_fields.value.
username principal.user.userid El valor del campo username del registro sin procesar se asigna al campo principal.user.userid. La cadena "EXTREME_WIRELESS" se asigna a metadata.vendor_name.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.