Collecter les journaux F5 BIG-IP LTM

Ce document explique comment collecter les journaux F5 BIG-IP Local Traffic Manager (LTM) à l'aide d'un transmetteur Google Security Operations.

Pour en savoir plus, consultez Ingestion de données dans Google Security Operations.

Une étiquette d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion F5_BIGIP_LTM.

Configurer F5-BIG-IP LTM

1. Connectez-vous à SSH à l'aide des identifiants racine.

2. Connectez-vous à Traffic Management Shell (tmsh) à l'aide de la commande suivante :

   tmsh

3. Envoyez des messages de journaux filtrés à des serveurs syslog distants à l'aide de la commande suivante :

   modify /sys syslog remote-servers none

4. Supprimez l'instruction remote-servers, puis ajoutez une instruction syslog include qui définit une règle de filtrage et le serveur distant.

5. Pour définir le filtre syslog requis qui fait référence au serveur distant, utilisez la commande suivante :

   edit /sys syslog all-properties

6. Remplacez la commande include none par le filtre suivant, puis ajoutez l'adresse IP et le numéro de port.

   include "
   
   filter f_remote_loghost {
   
   level(debug..emerg);
   
   };
   
   filter f_ssl_acc {
   
   not match(\"ssl_acc\");
   
   };
   
   filter f_ssl_req {
   
   not match(\"ssl_req\");
   
   };
   
   destination d_remote_loghost {
   
   udp(IP_ADDRESS PORT);
   
   };
   
   log {
   
   source(s_syslog_pipe);
   
   filter(f_remote_loghost);
   
   filter(f_ssl_acc);
   
   filter(f_ssl_req);
   
   destination(d_remote_loghost);
   
   };
   
   "
   

   Remplacez IP_ADDRESS par l'adresse IP du redirecteur Google Security Operations et port par le numéro de port élevé.

7. Pour quitter l'éditeur de texte, appuyez sur Échap, puis saisissez wq!.

8. Enregistrez la configuration à l'aide de la commande suivante :

   save /sys config

Configurer le redirecteur Google Security Operations et syslog pour ingérer les journaux F5 BIG-IP LTM

1. Accédez à Paramètres SIEM > Transférateurs.
2. Cliquez sur Ajouter un nouveau transfert.
3. Dans le champ Nom du transitaire, saisissez un nom unique pour le transitaire.
4. Cliquez sur Envoyer. Le redirecteur est ajouté et la fenêtre Ajouter une configuration de collecteur s'affiche.
5. Dans le champ Nom du collecteur, saisissez un nom.
6. Sélectionnez F5 BIGIP LTM comme Type de journal.
7. Sélectionnez Syslog comme type de collecteur.
8. Configurez les paramètres d'entrée obligatoires suivants :
   • Protocole : spécifiez le protocole.
   • Adresse : spécifiez l'adresse IP du redirecteur Google Security Operations.
   • Port : spécifiez le port.
9. Cliquez sur Envoyer.

Pour en savoir plus sur les redirecteurs Google Security Operations, consultez la documentation sur les redirecteurs Google Security Operations. Pour en savoir plus sur les exigences de chaque type de redirecteur, consultez Configuration des redirecteurs par type.

Si vous rencontrez des problèmes lors de la création de redirecteurs, contactez l'assistance Google Security Operations.

Référence du mappage de champs

Ce parseur normalise les journaux F5 BIG-IP Local Traffic Manager (LTM), en gérant les formats clé-valeur et syslog. Il extrait des champs tels que les adresses IP, les noms d'utilisateur, les actions et les descriptions, les mappe à l'UDM et catégorise les événements en fonction du contenu du journal et des champs extraits, y compris les connexions réseau, les connexions/déconnexions des utilisateurs et les événements génériques.

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.