Recoger registros de F5 BIG-IP LTM

En este documento se describe cómo puede recoger registros de F5 BIG-IP Local Traffic Manager (LTM) mediante un reenviador de Google Security Operations.

Para obtener más información, consulta Ingestión de datos en Google Security Operations.

Una etiqueta de ingestión identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de ingestión F5_BIGIP_LTM.

Configurar F5 BIG-IP LTM

1. Inicia sesión en SSH con las credenciales de root.

2. Inicia sesión en Traffic Management Shell (tmsh) con el siguiente comando:

   tmsh

3. Envía mensajes de registro filtrados a servidores syslog remotos con el siguiente comando:

   modify /sys syslog remote-servers none

4. Elimine la instrucción remote-servers y, a continuación, añada una instrucción syslog include que defina una regla de filtro y el servidor remoto.

5. Para definir el filtro syslog necesario que hace referencia al servidor remoto, usa el siguiente comando:

   edit /sys syslog all-properties

6. Sustituye el comando include none por el siguiente filtro y añade la dirección IP y el número de puerto.

   include "
   
   filter f_remote_loghost {
   
   level(debug..emerg);
   
   };
   
   filter f_ssl_acc {
   
   not match(\"ssl_acc\");
   
   };
   
   filter f_ssl_req {
   
   not match(\"ssl_req\");
   
   };
   
   destination d_remote_loghost {
   
   udp(IP_ADDRESS PORT);
   
   };
   
   log {
   
   source(s_syslog_pipe);
   
   filter(f_remote_loghost);
   
   filter(f_ssl_acc);
   
   filter(f_ssl_req);
   
   destination(d_remote_loghost);
   
   };
   
   "
   

   Sustituye IP_ADDRESS por la dirección IP del reenviador de Google Security Operations y port por el número de puerto alto.

7. Para salir del editor de texto, pulsa Esc y, a continuación, introduce wq!.

8. Guarda la configuración con el siguiente comando:

   save /sys config

Configurar el reenviador de Google Security Operations y syslog para ingerir registros de F5 BIG-IP LTM

1. Ve a Configuración de SIEM > Reenviadores.
2. Haz clic en Añadir nuevo remitente.
3. En el campo Nombre del reenviador, introduce un nombre único para el reenviador.
4. Haz clic en Enviar. Se añade el reenviador y se muestra la ventana Añadir configuración de recopilador.
5. En el campo Nombre del recolector, escribe un nombre.
6. Selecciona F5 BIGIP LTM como Tipo de registro.
7. Seleccione Syslog como Tipo de recogida.
8. Configure los siguientes parámetros de entrada obligatorios:
   • Protocolo: especifica el protocolo.
   • Dirección: especifica la dirección IP del reenviador de Google Security Operations.
   • Puerto: especifica el puerto.
9. Haz clic en Enviar.

Para obtener más información sobre los reenviadores de Google Security Operations, consulta la documentación de los reenviadores de Google Security Operations. Para obtener información sobre los requisitos de cada tipo de reenviador, consulta Configuración de reenviadores por tipo.

Si tienes problemas al crear reenviadores, ponte en contacto con el equipo de Asistencia de Google Security Operations.

Referencia de asignación de campos

Este analizador normaliza los registros de F5 BIG-IP Local Traffic Manager (LTM) y gestiona los formatos de pares clave-valor y syslog. Extrae campos como direcciones IP, nombres de usuario, acciones y descripciones, los asigna al UDM y clasifica los eventos en función del contenido de los registros y los campos extraídos, incluidas las conexiones de red, los inicios y cierres de sesión de los usuarios y los eventos genéricos.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.