F5 BIG-IP LTM-Logs erfassen

In diesem Dokument wird beschrieben, wie Sie F5 BIG-IP Local Traffic Manager-Logs (LTM) mithilfe eines Google Security Operations-Forwarders erfassen können.

Weitere Informationen finden Sie unter Datenaufnahme in Google Security Operations.

Ein Erfassungslabel identifiziert den Parser, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument beziehen sich auf den Parser mit dem Label F5_BIGIP_LTM.

F5 BIG-IP LTM konfigurieren

1. Melden Sie sich mit Root-Anmeldedaten bei SSH an.

2. Melden Sie sich mit dem folgenden Befehl in der Traffic Management Shell (tmsh) an:

   tmsh

3. Senden Sie gefilterte Log-Nachrichten mit dem folgenden Befehl an Remote-Syslog-Server:

   modify /sys syslog remote-servers none

4. Entfernen Sie die Anweisung „remote-servers“ und fügen Sie dann eine „syslog“include-Anweisung hinzu, die eine Filterregel und den Remote-Server definiert.

5. Verwenden Sie den folgenden Befehl, um den erforderlichen Syslog-Filter zu definieren, der auf den Remote-Server verweist:

   edit /sys syslog all-properties

6. Ersetzen Sie den include none-Befehl durch den folgenden Filter und fügen Sie die IP-Adresse und Portnummer hinzu.

   include "
   
   filter f_remote_loghost {
   
   level(debug..emerg);
   
   };
   
   filter f_ssl_acc {
   
   not match(\"ssl_acc\");
   
   };
   
   filter f_ssl_req {
   
   not match(\"ssl_req\");
   
   };
   
   destination d_remote_loghost {
   
   udp(IP_ADDRESS PORT);
   
   };
   
   log {
   
   source(s_syslog_pipe);
   
   filter(f_remote_loghost);
   
   filter(f_ssl_acc);
   
   filter(f_ssl_req);
   
   destination(d_remote_loghost);
   
   };
   
   "
   

   Ersetzen Sie IP_ADDRESS durch die IP-Adresse des Google Security Operations-Weiterleitungsdienstes und port durch die hohe Portnummer.

7. Wenn Sie den Texteditor verlassen möchten, drücken Sie die Esc-Taste und geben Sie dann wq! ein.

8. Speichern Sie die Konfiguration mit dem folgenden Befehl:

   save /sys config

Google Security Operations-Forwarder und Syslog konfigurieren, um F5 BIG-IP LTM-Protokolle aufzunehmen

1. Rufen Sie die SIEM-Einstellungen > Weiterleitungen auf.
2. Klicken Sie auf Neuen Weiterleitungsdienst hinzufügen.
3. Geben Sie im Feld Name des Forwarders einen eindeutigen Namen für den Forwarder ein.
4. Klicken Sie auf Senden. Der Forwarder wird hinzugefügt und das Fenster Collector-Konfiguration hinzufügen wird angezeigt.
5. Geben Sie im Feld Name des Collectors einen Namen ein.
6. Wählen Sie F5 BIGIP LTM als Logtyp aus.
7. Wählen Sie Syslog als Collector-Typ aus.
8. Konfigurieren Sie die folgenden obligatorischen Eingabeparameter:
   • Protokoll: Geben Sie das Protokoll an.
   • Adresse: Geben Sie die IP-Adresse des Google Security Operations-Forwarders an.
   • Port: Geben Sie den Port an.
9. Klicken Sie auf Senden.

Weitere Informationen zu Google Security Operations-Weiterleitungen finden Sie in der Dokumentation zu Google Security Operations-Weiterleitungen. Informationen zu den Anforderungen für die einzelnen Forwarder-Typen finden Sie unter Forwarder-Konfiguration nach Typ.

Wenn beim Erstellen von Weiterleitungen Probleme auftreten, wenden Sie sich an den Google Security Operations-Support.

Referenz zur Feldzuordnung

Dieser Parser normalisiert F5 BIG-IP Local Traffic Manager-Protokolle (LTM) und verarbeitet sowohl Schlüssel/Wert- als auch Syslog-Formate. Felder wie IP-Adressen, Nutzernamen, Aktionen und Beschreibungen werden extrahiert, der UDM zugeordnet und Ereignisse werden anhand von Protokollinhalten und extrahierten Feldern kategorisiert, darunter Netzwerkverbindungen, Nutzeranmeldungen/-abmeldungen und allgemeine Ereignisse.

UDM-Zuordnungstabelle

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten