Recolha registos do F5 BIG-IP LTM

Este documento descreve como pode recolher registos do F5 BIG-IP Local Traffic Manager (LTM) através de um encaminhador do Google Security Operations.

Para mais informações, consulte o artigo Ingestão de dados no Google Security Operations.

Uma etiqueta de carregamento identifica o analisador que normaliza os dados de registo não processados para o formato UDM estruturado. As informações neste documento aplicam-se ao analisador com a etiqueta de carregamento F5_BIGIP_LTM.

Configure o F5 BIG-IP LTM

1. Inicie sessão no SSH com as credenciais de raiz.

2. Inicie sessão no Traffic Management Shell (tmsh) com o seguinte comando:

   tmsh

3. Envie mensagens de registo filtradas para servidores syslog remotos com o seguinte comando:

   modify /sys syslog remote-servers none

4. Remova a declaração remote-servers e, em seguida, adicione uma declaração syslog include que defina uma regra de filtro e o servidor remoto.

5. Para definir o filtro syslog necessário que faz referência ao servidor remoto, use o seguinte comando:

   edit /sys syslog all-properties

6. Substitua o comando include none pelo seguinte filtro e adicione o endereço IP e o número da porta.

   include "
   
   filter f_remote_loghost {
   
   level(debug..emerg);
   
   };
   
   filter f_ssl_acc {
   
   not match(\"ssl_acc\");
   
   };
   
   filter f_ssl_req {
   
   not match(\"ssl_req\");
   
   };
   
   destination d_remote_loghost {
   
   udp(IP_ADDRESS PORT);
   
   };
   
   log {
   
   source(s_syslog_pipe);
   
   filter(f_remote_loghost);
   
   filter(f_ssl_acc);
   
   filter(f_ssl_req);
   
   destination(d_remote_loghost);
   
   };
   
   "
   

   Substitua IP_ADDRESS pelo endereço IP do encaminhador do Google Security Operations e port pelo número da porta elevada.

7. Para sair do editor de texto, prima Esc e, de seguida, introduza wq!.

8. Guarde a configuração com o seguinte comando:

   save /sys config

Configure o encaminhador e o syslog do Google Security Operations para carregar registos do F5 BIG-IP LTM

1. Aceda a Definições do SIEM > Encaminhadores.
2. Clique em Adicionar novo encaminhador.
3. No campo Nome do encaminhador, introduza um nome exclusivo para o encaminhador.
4. Clique em Enviar. O encaminhador é adicionado e é apresentada a janela Adicionar configuração do coletor.
5. No campo Nome do coletor, introduza um nome.
6. Selecione F5 BIGIP LTM como o Tipo de registo.
7. Selecione Syslog como o tipo de coletor.
8. Configure os seguintes parâmetros de entrada obrigatórios:
   • Protocolo: especifique o protocolo.
   • Endereço: especifique o endereço IP do encaminhador do Google Security Operations.
   • Porta: especifique a porta.
9. Clique em Enviar.

Para mais informações sobre os encaminhadores do Google Security Operations, consulte a documentação dos encaminhadores do Google Security Operations. Para obter informações sobre os requisitos de cada tipo de encaminhador, consulte o artigo Configuração do encaminhador por tipo.

Se tiver problemas ao criar encaminhadores, contacte o apoio técnico das Operações de segurança da Google.

Referência de mapeamento de campos

Este analisador normaliza os registos do F5 BIG-IP Local Traffic Manager (LTM), processando os formatos de chave-valor e syslog. Extrai campos como endereços IP, nomes de utilizador, ações e descrições, mapeando-os para o UDM, e categoriza eventos com base no conteúdo dos registos e nos campos extraídos, incluindo ligações de rede, inícios/fins de sessão de utilizadores e eventos genéricos.

Tabela de mapeamento da UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.