Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador
com o rótulo de ingestão F5_BIGIP_APM.
Configurar o F5 BIG-IP APM
Faça login no portal do utilitário de configuração do BIG-IP usando credenciais de administrador.
No campo IP remoto, insira o endereço IP do encaminhador do Google Security Operations.
No campo Porta remota, insira um número de porta alto.
Clique em Adicionar.
Clique em Atualizar.
Para registros do APM, apenas o formato syslog da Berkeley Software Distribution (BSD) é compatível.
Com base nas assinaturas no APM, o coletor processa apenas registros do APM.
O coletor de eventos APM do F5 BIG-IP também é compatível com registros de várias linhas de execução de dispositivos LTM 11.6 a 12.1.1.
Se você estiver usando iRule, use o formato recomendado. O Google Security Operations só é compatível com o seguinte formato de iRule:
# log_header_requests
###################################################################################
#################################################
# Purpose: logs header information to Local Traffic log
# #
#
# Update-Log Date By Description
# Created 02/07/2020 E01961 Initial implementation
#
#
###################################################################################
################################################
when HTTP_REQUEST {
set LogString "Client [IP::client_addr]:[TCP::client_port] -> [HTTP::host]
[HTTP::uri]"
log local5. "================="
log local5. "$LogString (request)"
foreach aHeader [HTTP::header names] {
log local5. "$aHeader: [HTTP::header value $aHeader]"
}
# set UserID [URI::query "?[HTTP::payload]" "UserID"]
# log local0. "User $UserID attempted login from [IP::client_addr] and referer:
[HTTP::header "Referer"]"
# log local0. "============================================="
}
when HTTP_RESPONSE {
log local5. "=================="
log local5. "$LogString (response) - status: [HTTP::status]"
foreach aHeader [HTTP::header names] {
log local5. "$aHeader: [HTTP::header value $aHeader]"
}
# log local0. "============================================="
Configurar o DNS do F5 BIG-IP
Para configurar o DNS do F5 BIG-IP, faça o seguinte:
Criar um pool de servidores de geração de registros remotos
Na guia Principal, selecione DNS>Entrega>Balanceamento de carga>Pools ou tráfego local>Pools.
Na janela Lista de pools que aparece, clique em Criar.
Na janela Novo pool, no campo Nome, insira um nome exclusivo para o pool.
Na seção Novos membros, adicione o endereço IP de cada servidor de
registro remoto que você quer incluir no pool:
No campo Endereço, insira o endereço IP do encaminhador do Google Security Operations ou selecione um endereço de nó na lista.
No campo Porta de serviço, digite um número de serviço ou selecione um nome de serviço na lista. Verifique se você configurou a porta correta de geração de registros remota.
Clique em Adicionar e em Concluído.
Criar um destino de registro remoto de alta velocidade
Na guia Principal, selecione Sistema>Registros>Configuração>Destinos de registro.
Na janela Destinos de registros, clique em Criar.
No campo Nome, insira um nome exclusivo e identificável para esse destino.
Na lista Tipo, selecione Registro remoto de alta velocidade.
Na lista Nome do pool, selecione o pool de servidores de registro remotos para onde
você quer que o sistema BIG-IP envie mensagens de registro.
Na lista Protocolo, selecione o protocolo usado pelos membros do pool de
registro em alta velocidade.
Clique em Concluído.
Criar um destino de registro remoto de alta velocidade formatado
Na guia Principal, selecione Sistema>Registros>Configuração>Destinos de registro.
Na janela Destinos de registros, clique em Criar.
No campo Nome, insira um nome exclusivo e identificável para esse destino.
Na lista Tipo, selecione um destino de geração de registros formatado como Syslog remoto.
O sistema BIG-IP agora está configurado para enviar uma string de texto formatada aos servidores de
registro.
Na lista Tipo, selecione um formato para os registros.
Na guia Encaminhar para, selecione a lista Destino de registro de alta velocidade e escolha o destino que aponta para um pool de servidores syslog remotos para onde você quer que o sistema BIG-IP envie mensagens de registro.
Clique em Concluído.
Criar um editor
Na guia Principal, selecione Sistema>Registros>Configuração>Editores de registros.
Na janela Editores de registros, clique em Criar.
No campo Nome, insira um nome exclusivo e identificável para o publisher.
Na lista Editor de registros, selecione o destino criado anteriormente.
Para mover o destino para a lista selecionada, clique em << Mover.
Se você estiver usando um destino formatado, selecione o destino recém-criado
que corresponda aos seus servidores de registro, como Syslog remoto, Splunk ou ArcSight.
Clique em Concluído.
Criar um perfil personalizado de geração de registros de DNS
Na guia Principal, selecione DNS>Entrega>Perfis>OutrosRegistro em log de DNS ou Tráfego local>Perfis>Outros>Registro em log de DNS.
Na janela Lista de perfis de geração de registros DNS, clique em Criar.
No campo Nome, insira um nome exclusivo para o perfil.
Na lista Editor de registros, selecione um destino para onde o sistema BIG-IP envia entradas de registro DNS.
Se você quiser que o sistema BIG-IP:
Para registrar todas as consultas DNS, na configuração Registrar consultas, verifique se a caixa de seleção ativada está marcada.
Para registrar todas as respostas de DNS, na configuração Registrar respostas, marque a caixa de seleção ativada.
Para incluir o ID da consulta enviado pelo cliente nas mensagens de registro, na configuração Incluir ID da consulta, marque a caixa de seleção ativada.
Clique em Concluído.
Adicionar um perfil de geração de registros de DNS ao listener
Na guia Principal, selecione DNS>Entrega>Listeners>Listener de DNS.
Na seção Serviço, na lista Perfil de DNS, selecione o perfil de DNS
que você configurou anteriormente.
Clique em Atualizar.
Configurar o encaminhador do Google Security Operations para ingerir registros do APM do F5 BIG-IP
Acesse Configurações do SIEM>Encaminhadores.
Clique em Adicionar novo encaminhador.
No campo Nome do encaminhador, insira um nome exclusivo para ele.
Clique em Enviar. O encaminhador é adicionado, e a janela Adicionar configuração do coletor aparece.
No campo Nome do coletor, digite um nome.
Selecione F5 BIGIP Access Policy Manager como o Tipo de registro.
Selecione Syslog como o Tipo de coletor.
Configure os seguintes parâmetros de entrada obrigatórios:
Protocolo: especifique o protocolo.
Endereço: especifique o endereço IP ou o nome do host de destino em que o coletor
está localizado e os endereços para os dados do syslog.
Porta: especifique a porta de destino em que o coletor reside e detecta dados do syslog.
Esse analisador do F5 BIG-IP APM extrai campos de mensagens syslog, categorizando-os com base na origem do aplicativo (tmsh, tmm, apmd, httpd ou outro). Em seguida, ele mapeia esses campos extraídos para a UDM, processando vários formatos de registro e enriquecendo os dados com metadados, como gravidade, local e informações do usuário.
Tabela de mapeamento do UDM
Campo de registro
Mapeamento do UDM
Lógica
aplicativo
principal.application
O valor é extraído do campo application pelo filtro grok.
bytes_in
network.received_bytes
O valor é extraído do campo bytes_in pelo filtro grok e convertido em um número inteiro sem sinal.
bytes_out
network.sent_bytes
O valor é extraído do campo bytes_out pelo filtro grok e convertido em um número inteiro sem sinal.
cmd_data
principal.process.command_line
O valor é extraído do campo cmd_data pelo filtro kv.
destination_ip
target.ip
O valor é extraído do campo destination_ip pelo filtro grok.
destination_port
target.port
O valor é extraído do campo destination_port pelo filtro grok e convertido em número inteiro.
pasta
principal.process.file.full_path
O valor é extraído do campo folder pelo filtro kv.
geoCountry
principal.location.country_or_region
O valor é extraído do campo geoCountry pelo filtro grok.
geoState
principal.location.state
O valor é extraído do campo geoState pelo filtro grok.
inner_msg
security_result.description
O valor é extraído do campo inner_msg pelo filtro grok quando nenhuma outra descrição específica está disponível.
ip_protocol
network.ip_protocol
O valor é extraído do campo ip_protocol pelo filtro grok.
principal_hostname
principal.hostname
O valor é extraído do campo principal_hostname pelo filtro grok.
principal_ip
principal.ip
O valor é extraído do campo principal_ip pelo filtro grok.
process_id
principal.process.pid
O valor é extraído do campo process_id pelo filtro grok.
papel
user_role.name
O valor é extraído do campo role pelo filtro grok. Se o campo role contiver "admin" (sem diferenciar maiúsculas e minúsculas), o valor será definido como "ADMINISTRATOR".
gravidade,
security_result.severity_details
O valor original da mensagem do syslog é armazenado aqui. O valor é derivado do campo severity usando a lógica condicional: CRITICAL -> CRITICAL ERR -> ERROR ALERT, EMERGENCY -> HIGH INFO, NOTICE -> INFORMATIONAL DEBUG -> LOW WARN -> MEDIUM
source_ip
principal.ip
O valor é extraído do campo source_ip pelo filtro grok.
source_port
principal.port
O valor é extraído do campo source_port pelo filtro grok e convertido em número inteiro.
status
security_result.summary
O valor é extraído do campo status pelo filtro kv.
timestamp
metadata.event_timestamp, timestamp
O valor é extraído do campo timestamp pelo filtro grok e analisado em um objeto de carimbo de data/hora. O campo timestamp no objeto event de nível superior também recebe esse valor.
usuário
principal.user.userid
O valor é extraído do campo user pelo filtro grok, depois da remoção dos prefixos "id\" ou "ID\". O valor é derivado com base na presença de outros campos: Se user existir: USER_UNCATEGORIZED Se source_ip e destination_ip existirem: NETWORK_CONNECTION Se principal_ip ou principal_hostname existirem: STATUS_UPDATE Caso contrário: GENERIC_EVENT Codificado como "BIGIP_APM". Codificado como "F5". Se o campo result for "failed", o valor será definido como "BLOCK".
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-21 UTC."],[[["\u003cp\u003eThis document provides instructions on how to collect F5 BIG-IP Access Policy Manager (APM) logs using a Google Security Operations forwarder, which is compatible with the \u003ccode\u003eF5_BIGIP_APM\u003c/code\u003e ingestion label.\u003c/p\u003e\n"],["\u003cp\u003eThe configuration process involves setting up remote logging on the F5 BIG-IP APM, ensuring that only the Berkeley Software Distribution (BSD) syslog format is used, and specifying the Google Security Operations forwarder's IP and a high port number.\u003c/p\u003e\n"],["\u003cp\u003eTo configure F5 BIG-IP DNS, users must create a pool of remote logging servers, a remote high-speed log destination, a formatted remote high-speed log destination, a publisher, and a custom DNS logging profile, along with adding the DNS logging profile to the listener.\u003c/p\u003e\n"],["\u003cp\u003eSetting up the Google Security Operations forwarder requires adding a new forwarder, selecting "F5 BIGIP Access Policy Manager" as the log type, and specifying Syslog as the collector type along with defining the protocol, address, and port.\u003c/p\u003e\n"],["\u003cp\u003eThe F5 BIG-IP APM parser extracts and maps various fields from syslog messages to the UDM format, categorizing them by source and enriching them with metadata to provide detailed security information, including severity, user information, and network details.\u003c/p\u003e\n"]]],[],null,["# Collect F5 BIG-IP APM logs\n==========================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis document describes how you can collect F5 BIG-IP Access Policy Manager (APM)\nlogs by using a Google Security Operations forwarder.\n\nFor more information, see [Data ingestion to Google Security Operations](/chronicle/docs/data-ingestion-flow).\n\nAn ingestion label identifies the parser which normalizes raw log data to\nstructured UDM format. The information in this document applies to the parser\nwith the `F5_BIGIP_APM` ingestion label.\n\nConfigure F5 BIG-IP APM\n-----------------------\n\n1. Sign in to the **BIG-IP configuration utility** portal using administrator credentials.\n2. Select **Main** \\\u003e **System** \\\u003e **Logs** \\\u003e **Configuration** \\\u003e **Remote logging**.\n3. In the **Properties** section, do the following:\n\n - In the **Remote IP** field, enter the Google Security Operations forwarder IP address.\n - In the **Remote port** field, enter a high port number.\n4. Click **Add**.\n\n5. Click **Update**.\n\n For logs from APM, only the Berkeley Software Distribution (BSD) syslog\n format is supported.\n\n Based on the signatures in the APM, the collector processes only APM logs.\n The F5 BIG-IP APM event collector supports multi-threading logs from LTM 11.6\n to 12.1.1 device also.\n\n If you are using iRule, use the recommended format of iRule. Google Security Operations supports the following iRule format only: \n\n # log_header_requests\n ###################################################################################\n #################################################\n # Purpose: logs header information to Local Traffic log\n # #\n #\n # Update-Log Date By Description\n # Created 02/07/2020 E01961 Initial implementation\n #\n #\n ###################################################################################\n ################################################\n when HTTP_REQUEST {\n set LogString \"Client [IP::client_addr]:[TCP::client_port] -\u003e [HTTP::host]\n [HTTP::uri]\"\n log local5. \"=================\"\n log local5. \"$LogString (request)\"\n foreach aHeader [HTTP::header names] {\n log local5. \"$aHeader: [HTTP::header value $aHeader]\"\n }\n # set UserID [URI::query \"?[HTTP::payload]\" \"UserID\"]\n # log local0. \"User $UserID attempted login from [IP::client_addr] and referer:\n [HTTP::header \"Referer\"]\"\n # log local0. \"=============================================\"\n }\n when HTTP_RESPONSE {\n log local5. \"==================\"\n log local5. \"$LogString (response) - status: [HTTP::status]\"\n foreach aHeader [HTTP::header names] {\n log local5. \"$aHeader: [HTTP::header value $aHeader]\"\n }\n # log local0. \"=============================================\"\n\nConfigure F5 BIG-IP DNS\n-----------------------\n\nTo configure F5 BIG-IP DNS, do the following tasks:\n\n- [Create a pool of remote logging servers](#create-pool-remote-servers).\n- [Create a remote high-speed log destination](#create-remote-high-speed-log-destination).\n- [Create a formatted remote high-speed log destination](#create-formatted-remote-log-destination).\n- [Create a publisher](#create-publisher).\n- [Create a custom DNS logging profile](#create-custom-dns).\n- [Add a DNS logging profile to the listener](#add-dns-logging).\n\n### Create a pool of remote logging servers\n\n1. On the **Main** tab, select **DNS** \\\u003e **Delivery** \\\u003e **Load balancing** \\\u003e **Pools or local traffic** \\\u003e **Pools**.\n2. In the **Pool list** window that appears, click **Create**.\n3. In the **New pool** window that appears, in the **Name** field, provide a unique name for the pool.\n4. In the **New members** section, add the IP address for each remote logging server that you want to include in the pool:\n 1. In the **Address** field, enter the Google Security Operations forwarder IP address or select a node address from the node list.\n 2. In the **Service port** field, type a service number or select a service name from the list. Ensure that you have configured the correct remote logging port.\n5. Click **Add** , and then click **Finished**.\n\n### Create a remote high-speed log destination\n\n1. On the **Main** tab, select **System** \\\u003e **Logs** \\\u003e **Configuration** \\\u003e **Log destinations**.\n2. In the **Log destinations** window that appears, click **Create**.\n3. In the **Name** field, provide a unique and identifiable name for this destination.\n4. In the **Type** list, select **Remote high-speed log**.\n5. In the **Pool name** list, select the pool of remote log servers to which you want the BIG-IP system to send log messages.\n6. In the **Protocol** list, select the protocol used by the high-speed logging pool members.\n7. Click **Finished**.\n\n### Create a formatted remote high-speed log destination\n\n1. On the **Main** tab, select **System** \\\u003e **Logs** \\\u003e **Configuration** \\\u003e **Log Destinations**.\n2. In the **Log destinations** window that appears, click **Create**.\n3. In the **Name** field, provide a unique and identifiable name for this destination.\n4. In the **Type** list, select a formatted logging destination as **Remote syslog**. The BIG-IP system is now configured to send a formatted string of text to the log servers.\n5. In the **Type** list, select a format for the logs.\n6. On the **Forward To** tab, select **High-speed log destination** list and then select the destination that points to a pool of remote syslog servers to which you want the BIG-IP system to send log messages.\n7. Click **Finished**.\n\n### Create a publisher\n\n1. On the **Main** tab, select **System** \\\u003e **Logs** \\\u003e **Configuration** \\\u003e **Log publishers**.\n2. In the **Log publishers** window that appears, click **Create**.\n3. In the **Name** field, provide a unique and identifiable name for the publisher.\n4. In the **Log publisher** list, from the available list select the destination created previously.\n5. To move the destination to the selected list, click **\\\u003c\\\u003c Move**.\n6. If you are using a formatted destination, select the newly-created destination that matches your log servers, such as **Remote syslog** , **Splunk** , or **ArcSight**.\n7. Click **Finished**.\n\n### Create a custom DNS logging profile\n\n1. On the **Main** tab, select **DNS** \\\u003e **Delivery** \\\u003e **Profiles** \\\u003e **Other** **DNS Logging** or **Local traffic** \\\u003e **Profiles** \\\u003e **Others** \\\u003e **DNS logging**.\n2. In the **DNS Logging profile list** window that appears, click **Create**.\n3. In the **Name** field, provide a unique name for the profile.\n4. In the **Log publisher** list, select a destination to which the BIG-IP system sends DNS log entries.\n5. If you want the BIG-IP system:\n - To log all DNS queries, from the **Log queries** setting, ensure that the enabled checkbox is selected.\n - To log all DNS responses, from the **Log responses** setting, select the enabled checkbox.\n - To include the query ID sent by the client in the log messages, from the **Include query ID** setting, select the enabled checkbox.\n6. Click **Finished**.\n\n### Add a DNS logging profile to the listener\n\n1. On the **Main** tab, select **DNS** \\\u003e **Delivery** \\\u003e **Listeners** \\\u003e **DNS listener**.\n2. In the **Service** section, from the **DNS profile** list, select the DNS profile that you previously configured.\n3. Click **Update**.\n\nConfigure the Google Security Operations forwarder to ingest F5 BIG-IP APM logs\n-------------------------------------------------------------------------------\n\n1. Go to **SIEM Settings** \\\u003e **Forwarders**.\n2. Click **Add new forwarder**.\n3. In the **Forwarder Name** field, enter a unique name for the forwarder.\n4. Click **Submit** . The forwarder is added and the **Add collector configuration** window appears.\n5. In the **Collector name** field, type a name.\n6. Select **F5 BIGIP Access Policy Manager** as the **Log type**.\n7. Select **Syslog** as the **Collector type**.\n8. Configure the following mandatory input parameters:\n - **Protocol**: specify the protocol.\n - **Address**: specify the target IP address or hostname where the collector resides and addresses to the syslog data.\n - **Port**: specify the target port where the collector resides and listens for syslog data.\n9. Click **Submit**.\n\nFor more information about the Google Security Operations forwarders, see [Manage forwarder configurations through the Google Security Operations UI](/chronicle/docs/install/forwarder-management-configurations).\n\nIf you encounter issues when you create forwarders, contact [Google Security Operations support](/chronicle/docs/getting-support).\n\nField mapping reference\n-----------------------\n\nThis F5 BIG-IP APM parser extracts fields from syslog messages, categorizing them based on the application source (tmsh, tmm, apmd, httpd, or other). It then maps these extracted fields to the UDM, handling various log formats and enriching the data with metadata like severity, location, and user information.\n\nUDM Mapping Table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
