Recopila registros de LTM de BIG-IP de F5

En este documento, se describe cómo recopilar registros de F5 BIG-IP Local Traffic Manager (LTM) con un agente de reenvío de Google Security Operations.

Para obtener más información, consulta Transferencia de datos a Google Security Operations.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar al formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia F5_BIGIP_LTM.

Configura LTM de BIG-IP de F5

1. Accede a SSH con las credenciales de raíz.

2. Accede a Traffic Management Shell (tmsh) con el siguiente comando:

   tmsh

3. Envía mensajes de registro filtrados a servidores syslog remotos con el siguiente comando:

   modify /sys syslog remote-servers none

4. Quita la sentencia remote-servers y, luego, agrega una sentencia syslog include que defina una regla de filtro y el servidor remoto.

5. Para definir el filtro de syslog requerido que hace referencia al servidor remoto, usa el siguiente comando:

   edit /sys syslog all-properties

6. Reemplaza el comando include none por el siguiente filtro y agrega la dirección IP y el número de puerto.

   include "
   
   filter f_remote_loghost {
   
   level(debug..emerg);
   
   };
   
   filter f_ssl_acc {
   
   not match(\"ssl_acc\");
   
   };
   
   filter f_ssl_req {
   
   not match(\"ssl_req\");
   
   };
   
   destination d_remote_loghost {
   
   udp(IP_ADDRESS PORT);
   
   };
   
   log {
   
   source(s_syslog_pipe);
   
   filter(f_remote_loghost);
   
   filter(f_ssl_acc);
   
   filter(f_ssl_req);
   
   destination(d_remote_loghost);
   
   };
   
   "
   

   Reemplaza IP_ADDRESS por la dirección IP del reenvío de Google Security Operations y port por el número de puerto alto.

7. Para salir del editor de texto, presiona Esc y, luego, ingresa wq!.

8. Guarda la configuración con el siguiente comando:

   save /sys config

Configura el reenvío de Google Security Operations y Syslog para transferir registros de LTM de F5 BIG-IP

1. Ve a Configuración del SIEM > Reenviadores.
2. Haz clic en Agregar un nuevo reenvío.
3. En el campo Nombre del reenviador, ingresa un nombre único para el reenviador.
4. Haz clic en Enviar. Se agregará el reenvío y aparecerá la ventana Add collector configuration.
5. En el campo Nombre del recopilador, escribe un nombre.
6. Selecciona F5 BIGIP LTM como el Tipo de registro.
7. Selecciona Syslog como el Tipo de recopilador.
8. Configura los siguientes parámetros de entrada obligatorios:
   • Protocolo: Especifica el protocolo.
   • Dirección: Especifica la dirección IP del reenviador de Google Security Operations.
   • Puerto: Especifica el puerto.
9. Haz clic en Enviar.

Para obtener más información sobre los retransmisores de Google Security Operations, consulta la documentación de los retransmisores de Google Security Operations. Para obtener información sobre los requisitos de cada tipo de reenvío, consulta Configuración del reenvío por tipo.

Si tienes problemas para crear reenvíos, comunícate con el equipo de asistencia de Operaciones de seguridad de Google.

Referencia de la asignación de campos

Este analizador normaliza los registros de F5 BIG-IP Local Traffic Manager (LTM) y controla los formatos de syslog y de clave-valor. Extrae campos como direcciones IP, nombres de usuario, acciones y descripciones, los asigna al UDM y categoriza los eventos según el contenido del registro y los campos extraídos, incluidas las conexiones de red, los accesos y cierres de sesión de los usuarios, y los eventos genéricos.

Tabla de asignación de UDM

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.