Mengumpulkan log F5 BIG-IP LTM

Dokumen ini menjelaskan cara mengumpulkan log F5 BIG-IP Local Traffic Manager (LTM) menggunakan penerus Google Security Operations.

Untuk mengetahui informasi selengkapnya, lihat Penyerapan data ke Google Security Operations.

Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah ke format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser dengan label penyerapan F5_BIGIP_LTM.

Mengonfigurasi F5 BIG-IP LTM

1. Login ke SSH menggunakan kredensial root.

2. Login ke Traffic Management Shell (tmsh) dengan perintah berikut:

   tmsh

3. Kirim pesan log yang difilter ke server syslog jarak jauh dengan perintah berikut:

   modify /sys syslog remote-servers none

4. Hapus pernyataan remote-servers, lalu tambahkan pernyataan syslog include yang menentukan aturan filter dan server jarak jauh.

5. Untuk menentukan filter syslog yang diperlukan yang mereferensikan server jarak jauh, gunakan perintah berikut:

   edit /sys syslog all-properties

6. Ganti perintah include none dengan filter berikut, lalu tambahkan alamat IP dan nomor port.

   include "
   
   filter f_remote_loghost {
   
   level(debug..emerg);
   
   };
   
   filter f_ssl_acc {
   
   not match(\"ssl_acc\");
   
   };
   
   filter f_ssl_req {
   
   not match(\"ssl_req\");
   
   };
   
   destination d_remote_loghost {
   
   udp(IP_ADDRESS PORT);
   
   };
   
   log {
   
   source(s_syslog_pipe);
   
   filter(f_remote_loghost);
   
   filter(f_ssl_acc);
   
   filter(f_ssl_req);
   
   destination(d_remote_loghost);
   
   };
   
   "
   

   Ganti IP_ADDRESS dengan alamat IP penerusan Google Security Operations dan port dengan nomor port tinggi.

7. Untuk keluar dari editor teks, tekan Esc, lalu masukkan wq!.

8. Simpan konfigurasi dengan perintah berikut:

   save /sys config

Mengonfigurasi penerusan dan syslog Google Security Operations untuk menyerap log LTM F5 BIG-IP

1. Buka Setelan SIEM > Pengirim.
2. Klik Tambahkan penerusan baru.
3. Di kolom Forwarder Name, masukkan nama unik untuk penerusan.
4. Klik Kirim. Forwarder ditambahkan dan jendela Add collector configuration akan muncul.
5. Di kolom Nama pengumpul, ketik nama.
6. Pilih F5 BIGIP LTM sebagai Log type.
7. Pilih Syslog sebagai Collector type.
8. Konfigurasikan parameter input wajib berikut:
   • Protocol: tentukan protokol.
   • Alamat: tentukan alamat IP penerusan Google Security Operations.
   • Port: tentukan port.
9. Klik Kirim.

Untuk mengetahui informasi selengkapnya tentang penerusan Google Security Operations, lihat dokumentasi penerusan Google Security Operations. Untuk mengetahui informasi tentang persyaratan untuk setiap jenis penerusan, lihat Konfigurasi penerusan menurut jenis.

Jika Anda mengalami masalah saat membuat penerusan, hubungi dukungan Google Security Operations.

Referensi pemetaan kolom

Parser ini menormalisasi log F5 BIG-IP Local Traffic Manager (LTM), yang menangani format key-value dan syslog. Fitur ini mengekstrak kolom seperti alamat IP, nama pengguna, tindakan, dan deskripsi, memetakannya ke UDM, dan mengategorikan peristiwa berdasarkan konten log dan kolom yang diekstrak, termasuk koneksi jaringan, login/logout pengguna, dan peristiwa umum.

Tabel Pemetaan UDM

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.