Raccogliere i log LTM di F5 BIG-IP

Questo documento descrive come raccogliere i log di F5 BIG-IP Local Traffic Manager (LTM) utilizzando un forwarder Google Security Operations.

Per ulteriori informazioni, consulta Importazione dei dati in Google Security Operations.

Un'etichetta di importazione identifica il parser che normalizza i dati di log non elaborati in formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione F5_BIGIP_LTM.

Configura F5 BIG-IP LTM

1. Accedi a SSH utilizzando le credenziali root.

2. Accedi a Traffic Management Shell (tmsh) con il seguente comando:

   tmsh

3. Invia i messaggi di log filtrati ai server syslog remoti con il seguente comando:

   modify /sys syslog remote-servers none

4. Rimuovi l'istruzione remote-servers e aggiungi un'istruzione syslog include che definisce una regola di filtro e il server remoto.

5. Per definire il filtro syslog richiesto che fa riferimento al server remoto, utilizza il seguente comando:

   edit /sys syslog all-properties

6. Sostituisci il comando include none con il seguente filtro e aggiungi l'indirizzo IP e il numero di porta.

   include "
   
   filter f_remote_loghost {
   
   level(debug..emerg);
   
   };
   
   filter f_ssl_acc {
   
   not match(\"ssl_acc\");
   
   };
   
   filter f_ssl_req {
   
   not match(\"ssl_req\");
   
   };
   
   destination d_remote_loghost {
   
   udp(IP_ADDRESS PORT);
   
   };
   
   log {
   
   source(s_syslog_pipe);
   
   filter(f_remote_loghost);
   
   filter(f_ssl_acc);
   
   filter(f_ssl_req);
   
   destination(d_remote_loghost);
   
   };
   
   "
   

   Sostituisci IP_ADDRESS con l'indirizzo IP del forwarder di Google Security Operations e port con il numero di porta elevato.

7. Per uscire dall'editor di testo, premi Esc e poi digita wq!.

8. Salva la configurazione con il seguente comando:

   save /sys config

Configura il forwarder Google Security Operations e syslog per l'importazione dei log F5 BIG-IP LTM

1. Vai a Impostazioni SIEM > Forwarder.
2. Fai clic su Aggiungi nuovo inoltro.
3. Nel campo Nome forwarder, inserisci un nome univoco per il forwarder.
4. Fai clic su Invia. Il forwarder viene aggiunto e viene visualizzata la finestra Aggiungi configurazione del raccoglitore.
5. Nel campo Nome del raccoglitore, digita un nome.
6. Seleziona F5 BIGIP LTM come Tipo di log.
7. Seleziona Syslog come Tipo di raccoglitore.
8. Configura i seguenti parametri di input obbligatori:
   • Protocollo: specifica il protocollo.
   • Indirizzo: specifica l'indirizzo IP del forwarder di Google Security Operations.
   • Porta: specifica la porta.
9. Fai clic su Invia.

Per saperne di più sui forwarder di Google Security Operations, consulta la documentazione sui forwarder di Google Security Operations. Per informazioni sui requisiti per ciascun tipo di forwarder, consulta Configurazione del forwarder per tipo.

Se riscontri problemi durante la creazione degli inoltri, contatta l'assistenza Google Security Operations.

Riferimento alla mappatura dei campi

Questo parser normalizza i log di F5 BIG-IP Local Traffic Manager (LTM), gestendo sia i formati chiave-valore che syslog. Estrae campi come indirizzi IP, nomi utente, azioni e descrizioni, li mappa all'UDM e classifica gli eventi in base ai contenuti dei log e ai campi estratti, tra cui connessioni di rete, accessi/disconnessioni degli utenti ed eventi generici.

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.