Collecter les journaux Extreme Wireless

Compatible avec :

Ce document explique comment ingérer des journaux Extreme Networks Wireless dans Google Security Operations à l'aide de Bindplane. L'analyseur extrait les champs des messages syslog à l'aide de modèles Grok basés sur le champ prod_event_type. Il mappe ensuite ces champs extraits au modèle de données unifié (UDM), en gérant différents formats de journaux et en enrichissant les données avec des métadonnées et des libellés pour améliorer le contexte.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Instance Google SecOps
  • Windows 2016 ou version ultérieure, ou un hôte Linux avec systemd
  • Si vous exécutez le programme derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts.
  • Accès privilégié à Extreme Networks CloudIQ

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Profil.
  3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de fenêtres

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installation de Linux

  1. Ouvrez un terminal avec les droits root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Ressources d'installation supplémentaires

Pour plus d'options d'installation, consultez le guide d'installation.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

  1. Accédez au fichier de configuration :
    • Trouvez le fichier config.yaml. Il se trouve généralement dans le répertoire /etc/bindplane-agent/ sous Linux ou dans le répertoire d'installation sous Windows.
    • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou le Bloc-notes).

  2. Modifiez le fichier config.yaml comme suit :

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'EXTREME_WIRELESS'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
    • Remplacez <customer_id> par le numéro client réel.
    • Mettez à jour /path/to/ingestion-authentication-file.json en indiquant le chemin d'accès où le fichier d'authentification a été enregistré dans la section Obtenir le fichier d'authentification pour l'ingestion Google SecOps.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart bindplane-agent

  • Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurer Syslog pour Extreme Networks CloudIQ

  1. Connectez-vous à l'interface utilisateur Web CloudIQ.
  2. Accédez à Configurer > Objets communs > Gestion > Serveurs Syslog.
  3. Cliquez sur le signe +.
  4. Fournissez les informations de configuration suivantes :
    • Nom : indiquez un nom unique pour le serveur.
    • Gravité : sélectionnez Info.
    • Sélectionnez une adresse IP syslog existante dans le menu Sélectionner ou cliquez sur +.
    • Saisissez l'adresse IP de l'agent Bindplane.
    • Saisissez le numéro de port de l'agent Bindplane.
    • Cliquez sur AJOUTER.
  5. Cliquez sur Save Syslog Server (Enregistrer le serveur Syslog).

Table de mappage UDM

Champ de journal Mappage UDM Logique
action security_result.detection_fields.key La valeur du champ action du journal brut est mappée sur security_result.detection_fields.key.
action security_result.detection_fields.value La valeur du champ action du journal brut est mappée sur security_result.detection_fields.value.
BSSID principal.resource.attribute.labels.key La chaîne "BSSID" est attribuée à principal.resource.attribute.labels.key.
BSSID principal.resource.attribute.labels.value La valeur du champ BSSID du journal brut est mappée sur principal.resource.attribute.labels.value.
collection_time.nanos metadata.event_timestamp.nanos La valeur de collection_time.nanos du journal brut est mappée sur metadata.event_timestamp.nanos.
collection_time.seconds metadata.event_timestamp.seconds La valeur de collection_time.seconds du journal brut est mappée sur metadata.event_timestamp.seconds.
collection_time.seconds timestamp.seconds La valeur de collection_time.seconds du journal brut est mappée sur timestamp.seconds.
collection_time.nanos timestamp.nanos La valeur de collection_time.nanos du journal brut est mappée sur timestamp.nanos.
data security_result.description La valeur du champ data du journal brut, après avoir subi plusieurs transformations gsub pour supprimer les caractères indésirables et les valeurs "N/A", est mappée au champ security_result.description.
description security_result.description La valeur du champ description, extraite par l'analyseur grok, est mappée au champ security_result.description.
first security_result.detection_fields.key La chaîne "first" est attribuée à security_result.detection_fields.key.
first security_result.detection_fields.value La valeur du champ first du journal brut est mappée sur security_result.detection_fields.value.
hostname principal.asset.hostname La valeur du champ hostname du journal brut est mappée aux champs principal.asset.hostname et principal.hostname.
hostname principal.hostname La valeur du champ hostname du journal brut est mappée aux champs principal.asset.hostname et principal.hostname.
IP principal.asset.ip La valeur du champ IP du journal brut est mappée aux champs principal.asset.ip et principal.ip.
IP principal.ip La valeur du champ IP du journal brut est mappée aux champs principal.asset.ip et principal.ip.
MAC principal.resource.attribute.labels.key La chaîne "MAC" est attribuée à principal.resource.attribute.labels.key.
MAC principal.resource.attribute.labels.value La valeur du champ MAC du journal brut est mappée sur principal.resource.attribute.labels.value.
medium security_result.detection_fields.key La chaîne "medium" est attribuée à security_result.detection_fields.key.
medium security_result.detection_fields.value La valeur du champ medium du journal brut est mappée sur security_result.detection_fields.value. Le metadata.event_type est déterminé par la logique du parseur. Si les ID machine principal et target sont présents, la valeur est définie sur NETWORK_CONNECTION. Si des ID utilisateur principal ou target sont présents, la valeur est définie sur USER_UNCATEGORIZED. Si seul l'ID de machine principal est présent, il est défini sur STATUS_UPDATE. Sinon, la valeur par défaut est GENERIC_EVENT. La chaîne "EXTREME WIRELESS" est attribuée à metadata.product_name.
prod_event_type metadata.product_event_type La valeur du champ prod_event_type du journal brut est mappée au champ metadata.product_event_type.
port principal.port La valeur du champ port du journal brut, convertie en entier, est mappée au champ principal.port.
problem_summary security_result.summary La valeur du champ problem_summary du journal brut est mappée au champ security_result.summary.
SSID principal.resource.attribute.labels.key La chaîne "SSID" est attribuée à principal.resource.attribute.labels.key.
SSID principal.resource.attribute.labels.value La valeur du champ SSID du journal brut est mappée sur principal.resource.attribute.labels.value.
station principal.asset.hostname La valeur du champ station du journal brut est mappée aux champs principal.asset.hostname et principal.hostname.
station principal.hostname La valeur du champ station du journal brut est mappée aux champs principal.asset.hostname et principal.hostname.
target_host target.asset.hostname La valeur du champ target_host du journal brut est mappée aux champs target.asset.hostname et target.hostname.
target_host target.hostname La valeur du champ target_host du journal brut est mappée aux champs target.asset.hostname et target.hostname.
target_ip target.asset.ip La valeur du champ target_ip du journal brut est mappée aux champs target.asset.ip et target.ip.
target_ip target.ip La valeur du champ target_ip du journal brut est mappée aux champs target.asset.ip et target.ip.
target_port target.port La valeur du champ target_port du journal brut, convertie en entier, est mappée au champ target.port.
target_user target.user.userid La valeur du champ target_user du journal brut est mappée au champ target.user.userid.
user-profile security_result.detection_fields.key La chaîne "profil utilisateur" est attribuée à security_result.detection_fields.key.
user-profile security_result.detection_fields.value La valeur du champ user-profile du journal brut est mappée sur security_result.detection_fields.value.
username principal.user.userid La valeur du champ username du journal brut est mappée au champ principal.user.userid. La chaîne "EXTREME_WIRELESS" est attribuée à metadata.vendor_name.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.