收集 HPE BladeSystem c7000 日志

支持的语言：

本文档介绍了如何使用 Bindplane 将 HPE BladeSystem C7000 日志注入到 Google Security Operations。解析器代码使用正则表达式从 HPE BladeSystem c7000 syslog 消息中提取字段，然后将这些字段映射到统一数据模型 (UDM)，同时使用严重程度和描述性标签等其他上下文信息来丰富数据。它可处理各种日志消息结构，为安全监控和分析提供一致的表示形式。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例
  • Windows 2016 或更高版本，或者具有 systemd 的 Linux 主机
  • 如果在代理后运行，防火墙端口处于开放状态
  • 对 HPE Grid Manager 的特权访问权限

获取 Google SecOps 注入身份验证文件

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。
  3. 下载注入身份验证文件。将该文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 配置文件。
  3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安装资源

如需了解其他安装选项，请参阅安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

  1. 访问配置文件：
    • 找到 config.yaml 文件。通常，它位于 Linux 上的 /etc/bindplane-agent/ 目录中或 Windows 上的安装目录中。
    • 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

  2. 按如下方式修改 config.yaml 文件：

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'HPE_BLADESYSTEM_C7000'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • 根据基础架构的需要替换端口和 IP 地址。
    • 将 <customer_id> 替换为实际的客户 ID。
    • 将 /path/to/ingestion-authentication-file.json 更新为获取 Google SecOps 提取身份验证文件部分中保存身份验证文件的路径。

重启 Bindplane 代理以应用更改

  1. 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

    sudo systemctl restart bindplane-agent

  2. 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

    net stop BindPlaneAgent && net start BindPlaneAgent

直接在 HPE BladeSystem 中配置 Syslog

  1. 登录 BladeSystem 界面。
  2. 依次前往配置 > 系统日志。
  3. 点击日志选项标签页。
  4. 选中启用远程系统日志记录复选框。
  5. 提供以下配置详细信息：
    • Syslog 服务器地址：输入 Bindplane 代理 IP 地址。
    • 端口：输入 Bindplane 代理端口号（默认端口为 514）。
    • 协议：协议始终为 UDP。
  6. 点击 Test Remote Log 并验证是否已收到日志。
  7. 点击应用进行保存。

在 StorageGRID 软件中配置 Syslog

您可以配置 StorageGRID 中的审核消息级别，并设置外部 Syslog 服务器以转发这些消息。

配置 StorageGRID 审核消息级别

  1. 登录 GRID Manage 网页界面。
  2. 依次前往配置 > 监控 > 审核和 Syslog 服务器。
  3. 针对每种审核消息类别，从列表中选择正常审核级别。
  4. 点击保存。

配置 StorageGRID 外部 Syslog 服务器

  1. 在审核和 Syslog 服务器页面中，点击配置外部 Syslog 服务器。
  2. 提供以下配置详细信息：
    • 输入 syslog 信息：输入 Bindplane 代理 IP 地址。
    • 输入 Bindplane 代理端口号（默认端口为 514）。
    • 根据您的 Bindplane 代理配置，选择 UDP 或 TCP 协议。
  3. 点击继续。

配置 Syslog 事件

  1. 在向导的管理 syslog 内容步骤中，选择要发送到外部 syslog 服务器的每种审核信息。
    • 发送审核日志
    • 发送安全事件
    • 发送应用日志
    • 发送访问日志
  2. 对于严重程度，请选择直通或 7（信息）。
  3. 对于功能，选择直通。
  4. 点击继续。

UDM 映射表

日志字段 UDM 映射 逻辑
命令 principal.process.command_line 直接从原始日志字段“command”映射。
组件 metadata.product_event_type 直接从原始日志字段“component”映射。
component_name additional.fields[0].value.string_value 直接从原始日志字段“component_name”映射。
说明 security_result.description 在进行可选的 Grok 解析后，直接从原始日志字段“description”映射。
说明 security_result.detection_fields[0].value 使用 grok 模式从“说明”字段中提取。表示当前状态。
说明 security_result.detection_fields[1].value 使用 grok 模式从“说明”字段中提取。表示之前的状态。
说明 security_result.detection_fields[2].value 使用 grok 模式从“说明”字段中提取。表示状态变化的原因。
event_timestamp metadata.event_timestamp 在解析日期后，直接从原始日志字段“event_timestamp”映射。
主机名 principal.hostname 直接从原始日志字段“hostname”映射。
主机名 principal.asset.hostname 从映射的“principal.hostname”字段复制。
internal_code additional.fields[1].value.string_value 直接从原始日志字段“internal_code”映射。
priority_id additional.fields[2].value.string_value 直接从原始日志字段“priority_id”映射。
additional.fields[0].key 静态值：“组件名称”。
additional.fields[1].key 静态值：“内部代码”。
additional.fields[2].key 静态值：“优先级 ID”。
metadata.event_type 如果成功提取“principal.hostname”，则设置为“STATUS_UPDATE”，否则设置为“GENERIC_EVENT”。
metadata.vendor_name 静态值：“HP”。
metadata.product_name 静态值：“HPE BladeSystem c7000”。
metadata.log_type 静态值：“HPE_BLADESYSTEM_C7000”。
security_result.severity 根据以下逻辑从“严重程度”字段映射而来：
-“严重”->“CRITICAL”
-“严重”->“HIGH”
-“警告”->“MEDIUM”
-“信息”“次要”->“LOW”
- 默认 - >“UNKNOWN_SEVERITY”
security_result.detection_fields[0].key 静态值：“当前状态”。
security_result.detection_fields[1].key 静态值：“上一个状态”。
security_result.detection_fields[2].key 静态值：“原因”。

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。