收集 F5 BIG-IP LTM 日志

本文档介绍如何使用 Google Security Operations 转发器收集 F5 BIG-IP 本地流量管理器 (LTM) 日志。

如需了解详情，请参阅将数据注入 Google Security Operations。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 F5_BIGIP_LTM 注入标签的解析器。

配置 F5 BIG-IP LTM

1. 使用根凭据登录 SSH。

2. 使用以下命令登录流量管理 Shell (tmsh)：

   tmsh

3. 使用以下命令将过滤后的日志消息发送到远程 syslog 服务器：

   modify /sys syslog remote-servers none

4. 移除 remote-servers 语句，然后添加一个 syslog include 语句，用于定义过滤规则和远程服务器。

5. 如需定义引用远程服务器的必需 syslog 过滤条件，请使用以下命令：

   edit /sys syslog all-properties

6. 将 include none 命令替换为以下过滤条件，并添加 IP 地址和端口号。

   include "
   
   filter f_remote_loghost {
   
   level(debug..emerg);
   
   };
   
   filter f_ssl_acc {
   
   not match(\"ssl_acc\");
   
   };
   
   filter f_ssl_req {
   
   not match(\"ssl_req\");
   
   };
   
   destination d_remote_loghost {
   
   udp(IP_ADDRESS PORT);
   
   };
   
   log {
   
   source(s_syslog_pipe);
   
   filter(f_remote_loghost);
   
   filter(f_ssl_acc);
   
   filter(f_ssl_req);
   
   destination(d_remote_loghost);
   
   };
   
   "
   

   将 IP_ADDRESS 替换为 Google Security Operations 转发器的 IP 地址，并将 port 替换为高端口号。

7. 如需退出文本编辑器，请按 Esc 键，然后输入 wq!。

8. 使用以下命令保存配置：

   save /sys config

配置 Google Security Operations 转发器和 syslog 以注入 F5 BIG-IP LTM 日志

1. 依次前往 SIEM 设置 > 转发器。
2. 点击添加新转发器。
3. 在 Forwarder Name（转发器名称）字段中，输入转发器的唯一名称。
4. 点击提交。系统会添加转发器，并显示添加收集器配置窗口。
5. 在收集器名称字段中，输入一个名称。
6. 选择 F5 BIGIP LTM 作为日志类型。
7. 选择 Syslog 作为收集器类型。
8. 配置以下必需的输入参数：
   • 协议：指定协议。
   • 地址：指定 Google Security Operations 转发器的 IP 地址。
   • 端口：指定端口。
9. 点击提交。

如需详细了解 Google Security Operations 转发器，请参阅 Google Security Operations 转发器文档。 如需了解每种转发器类型的要求，请参阅按类型划分的转发器配置。

如果您在创建转发器时遇到问题，请与 Google Security Operations 支持团队联系。

字段映射参考

此解析器可将 F5 BIG-IP 本地流量管理器 (LTM) 日志规范化，并处理键值格式和 syslog 格式。它会提取 IP 地址、用户名、操作和说明等字段，将它们映射到 UDM，并根据日志内容和提取的字段对事件进行分类，包括网络连接、用户登录/退出和通用事件。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。