收集 F5 BIG-IP LTM 記錄

本文說明如何使用 Google Security Operations 轉送器，收集 F5 BIG-IP Local Traffic Manager (LTM) 記錄。

詳情請參閱「將資料擷取至 Google Security Operations」。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文件中的資訊適用於具有 F5_BIGIP_LTM 攝入標籤的剖析器。

設定 F5 BIG-IP LTM

1. 使用根憑證登入 SSH。

2. 使用下列指令登入流量管理 Shell (tmsh)：

   tmsh

3. 使用下列指令，將經過篩選的記錄訊息傳送至遠端系統記錄檔伺服器：

   modify /sys syslog remote-servers none

4. 移除 remote-servers 陳述式，然後新增系統記錄檔 include 陳述式，定義篩選規則和遠端伺服器。

5. 如要定義參照遠端伺服器的必要系統記錄篩選器，請使用下列指令：

   edit /sys syslog all-properties

6. 將 include none 指令替換為下列篩選器，並新增 IP 位址和通訊埠號碼。

   include "
   
   filter f_remote_loghost {
   
   level(debug..emerg);
   
   };
   
   filter f_ssl_acc {
   
   not match(\"ssl_acc\");
   
   };
   
   filter f_ssl_req {
   
   not match(\"ssl_req\");
   
   };
   
   destination d_remote_loghost {
   
   udp(IP_ADDRESS PORT);
   
   };
   
   log {
   
   source(s_syslog_pipe);
   
   filter(f_remote_loghost);
   
   filter(f_ssl_acc);
   
   filter(f_ssl_req);
   
   destination(d_remote_loghost);
   
   };
   
   "
   

   將 IP_ADDRESS 替換為 Google Security Operations 轉送器 IP 位址，並將 port 替換為高連接埠號碼。

7. 如要退出文字編輯器，請按 Esc，然後輸入 wq!。

8. 使用下列指令儲存設定：

   save /sys config

設定 Google Security Operations 轉送器和系統記錄，以便擷取 F5 BIG-IP LTM 記錄

1. 依序前往「SIEM 設定」>「轉送器」。
2. 按一下「新增轉寄者」。
3. 在「轉送器名稱」欄位中，輸入轉送器的專屬名稱。
4. 按一下「提交」。轉送器新增完成後，系統會顯示「新增收集器設定」視窗。
5. 在「收集器名稱」欄位中輸入名稱。
6. 選取「F5 BIGIP LTM」做為「記錄類型」。
7. 選取「Syslog」做為「收集器類型」。
8. 設定下列必要輸入參數：
   • 「通訊協定」：指定通訊協定。
   • 地址：指定 Google Security Operations 轉送程式的 IP 位址。
   • 「Port」(通訊埠)：指定通訊埠。
9. 按一下「提交」。

如要進一步瞭解 Google Security Operations 轉送器，請參閱 Google Security Operations 轉送器說明文件。 如要瞭解各轉送器類型的相關規定，請參閱「依類型設定轉送器」。

如果在建立轉寄者時遇到問題，請與 Google Security Operations 支援團隊聯絡。

欄位對應參考資料

這個剖析器會將 F5 BIG-IP Local Traffic Manager (LTM) 記錄檔正規化，並處理鍵/值和系統記錄格式。這項服務會擷取 IP 位址、使用者名稱、動作和說明等欄位，將這些欄位對應至 UDM，並根據記錄內容和擷取的欄位將事件分類，包括網路連線、使用者登入/登出和一般事件。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。