F5 BIG-IP LTM 로그 수집

이 문서에서는 Google Security Operations 전달자를 사용하여 F5 BIG-IP Local Traffic Manager (LTM) 로그를 수집하는 방법을 설명합니다.

자세한 내용은 Google Security Operations에 데이터 수집을 참조하세요.

수집 라벨은 원시 로그 데이터를 구조화된 UDM 형식으로 정규화하는 파서를 식별합니다. 이 문서의 정보는 F5_BIGIP_LTM 수집 라벨이 있는 파서에 적용됩니다.

F5 BIG-IP LTM 구성

1. 루트 사용자 인증 정보를 사용하여 SSH에 로그인합니다.

2. 다음 명령어를 사용하여 트래픽 관리 셸 (tmsh)에 로그인합니다.

   tmsh

3. 다음 명령어를 사용하여 필터링된 로그 메시지를 원격 syslog 서버로 전송합니다.

   modify /sys syslog remote-servers none

4. remote-servers 문을 삭제한 다음 필터 규칙과 원격 서버를 정의하는 syslog include 문을 추가합니다.

5. 원격 서버를 참조하는 필수 syslog 필터를 정의하려면 다음 명령어를 사용합니다.

   edit /sys syslog all-properties

6. include none 명령어를 다음 필터로 바꾸고 IP 주소와 포트 번호를 추가합니다.

   include "
   
   filter f_remote_loghost {
   
   level(debug..emerg);
   
   };
   
   filter f_ssl_acc {
   
   not match(\"ssl_acc\");
   
   };
   
   filter f_ssl_req {
   
   not match(\"ssl_req\");
   
   };
   
   destination d_remote_loghost {
   
   udp(IP_ADDRESS PORT);
   
   };
   
   log {
   
   source(s_syslog_pipe);
   
   filter(f_remote_loghost);
   
   filter(f_ssl_acc);
   
   filter(f_ssl_req);
   
   destination(d_remote_loghost);
   
   };
   
   "
   

   IP_ADDRESS를 Google Security Operations 전달자 IP 주소로, port를 높은 포트 번호로 바꿉니다.

7. 텍스트 편집기를 종료하려면 Esc를 누른 후 wq!를 입력합니다.

8. 다음 명령어를 사용하여 구성을 저장합니다.

   save /sys config

Google Security Operations 전달자 및 syslog를 구성하여 F5 BIG-IP LTM 로그 수집

1. SIEM 설정 > 포워더로 이동합니다.
2. 새 전달자 추가를 클릭합니다.
3. 전달자 이름 필드에 전달자의 고유한 이름을 입력합니다.
4. 제출을 클릭합니다. 전달자가 추가되고 수집기 구성 추가 창이 표시됩니다.
5. 수집기 이름 필드에 이름을 입력합니다.
6. 로그 유형으로 F5 BIGIP LTM을 선택합니다.
7. 수집기 유형으로 Syslog를 선택합니다.
8. 다음 필수 입력 매개변수를 구성합니다.
   • 프로토콜: 프로토콜을 지정합니다.
   • 주소: Google Security Operations 전달자 IP 주소를 지정합니다.
   • 포트: 포트를 지정합니다.
9. 제출을 클릭합니다.

Google Security Operations 전달자에 대한 자세한 내용은 Google Security Operations 전달자 문서를 참고하세요. 각 전달자 유형의 요구사항은 유형별 전달자 구성을 참고하세요.

전달자를 만들 때 문제가 발생하면 Google Security Operations 지원팀에 문의하세요.

필드 매핑 참조

이 파서는 키-값 형식과 syslog 형식을 모두 처리하여 F5 BIG-IP Local Traffic Manager (LTM) 로그를 정규화합니다. IP 주소, 사용자 이름, 작업, 설명과 같은 필드를 추출하여 UDM에 매핑하고, 네트워크 연결, 사용자 로그인/로그아웃, 일반 이벤트를 비롯한 로그 콘텐츠와 추출된 필드를 기반으로 이벤트를 분류합니다.

UDM 매핑 테이블

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.