收集 Infoblox 日志

本文档介绍了如何使用 Google Security Operations 转发器收集 Infoblox 日志。

如需了解详情，请参阅将数据注入 Google Security Operations。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 INFOBLOX_DNS 注入标签的解析器。

配置 Infoblox

1. 登录 Infoblox 网页界面。
2. 在 Infoblox Web 界面中，依次选择系统 > 系统属性编辑器 > 监控。
3. 选中记录到外部 syslog 服务器复选框。
4. 在外部 Syslog 服务器部分，点击加号 (+)，为 Google Security Operations 转发器添加新的 Syslog 服务器。
5. 在地址字段中，输入 Google Security Operations 转发器服务器 IP 地址。
6. 在传输列表中，选择 TCP 或 UDP。
7. 在端口字段中，输入端口号。
8. 在节点 ID 列表中，选择 LAN 以将 Infoblox IP 地址包含在 syslog 标头中。
9. 从可用列表中，选择以下内容并将其移至已选择列表：
   • DNS 查询
   • DNS 响应
   • DHCP 进程

Infoblox 服务器使用 syslog 将查询和响应日志转发到 Google Security Operations 转发器。

配置 Google Security Operations 转发器和 syslog 以注入 Infoblox 日志

1. 依次选择 SIEM 设置 > 转发器。
2. 点击添加新转发器。
3. 在转发器名称字段中输入唯一名称。
4. 点击提交，然后点击确认。转发器已添加，系统会显示添加收集器配置窗口。
5. 在收集器名称字段中，输入收集器的唯一名称。
6. 选择 Infoblox 作为日志类型。
7. 选择 Syslog 作为收集器类型。
8. 配置以下输入参数：
   • 协议：指定收集器将用于监听 syslog 数据的连接协议。
   • 地址：指定收集器所在的并监听 syslog 数据的目标 IP 地址或主机名。
   • 端口：指定收集器所在的并监听 syslog 数据的目标端口。
9. 点击提交。

如需详细了解 Google Security Operations 转发器，请参阅 Google Security Operations 转发器文档。如需了解每种转发器类型的要求，请参阅按类型划分的转发器配置。

如果您在创建转发器时遇到问题，请与 Google 安全运营支持团队联系。

字段映射参考

此解析器会提取 SYSLOG 或 CEF 格式的 Infoblox DNS 日志，并将其标准化为 UDM。它使用 grok 模式处理各种日志格式，提取源 IP 或目标 IP、DNS 查询详细信息和安全信息等关键字段，并将它们映射到相应的 UDM 字段。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。