Recopila registros de Juniper Junos

En este documento, se describe cómo recopilar registros de Juniper Junos con un retransmisor de Google Security Operations.

Para obtener más información, consulta Transferencia de datos a Google Security Operations.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia JUNIPER_JUNOS.

Configura el registro estructurado para un dispositivo SRX de Juniper Networks

El formato de registro estructurado extrae información de los mensajes de registro. El formato del registro cumple con el protocolo Syslog.

1. Accede a la CLI de Juniper SRX a través de SSH con su dirección IP de administración.
2. Escribe CLI en el indicador de shell y presiona Intro.
3. Escribe configure y presiona Intro para ingresar al modo de configuración del dispositivo.
4. Ingresa los detalles de contacto o el punto de referencia del cliente.

5. Para asignar los campos a la cuenta de usuario, ejecuta los siguientes comandos:

      set system syslog host FORWARDER_IP_ADDRESS any info
   
      set system syslog host FORWARDER_IP_ADDRESS structured-data
   
   

   Reemplaza FORWARDER_IP_ADDRESS por la dirección IP del reenviador de Google Security Operations.

6. Para habilitar el registro estructurado de los registros de seguridad, usa los siguientes comandos:

      set security log mode stream
   
      set security log source-address SRC_IP_ADDRESS
   
      set security log stream SYSLOG_STREAM_NAME host FORWARDER_IP_ADDRESS
   
      set security log stream SYSLOG_STREAM_NAME format sd-syslog
   
   

   Reemplaza lo siguiente:

   • SRC_IP_ADDRESS: Es la dirección IP del dispositivo Juniper SRX.

   • SYSLOG_STREAM_NAME: Es el nombre que se asigna al servidor syslog.

   • FORWARDER_IP_ADDRESS: Es la dirección IP del reenviador de Operaciones de seguridad de Google.

7. Asegúrate de que el registro esté habilitado en todas las políticas de seguridad. Para habilitar el registro, ejecuta los siguientes comandos:

      set security policies from-zone <zone-name1> to-zone <zone-name2> policy <policy-name> then log session-close
   
      set security policies from-zone <zone-name1> to-zone <zone-name2> policy <policy-name> then log session-init
   
   

8. Configura el nombre de host en el dispositivo con el siguiente comando:

      set system host-name HOSTNAME
   
   

   Reemplaza HOSTNAME por el dispositivo Juniper Networks SRX asignado.

9. Ingresa commit para guardar los comandos ejecutados en la configuración.

Configura el retransmisor y el syslog de Google Security Operations para transferir registros de Juniper Junos

1. Selecciona SIEM Settings > Forwarders.
2. Haz clic en Agregar un nuevo reenvío.
3. Ingresa un nombre único en el campo Nombre del reenvío.
4. Haz clic en Enviar y, luego, en Confirmar. Se agregará el reenvío y aparecerá la ventana Add collector configuration.
5. En el campo Nombre del recopilador, ingresa un nombre único para el recopilador.
6. Selecciona Juniper Junos como el Tipo de registro.
7. Selecciona Syslog como el Tipo de recopilador.
8. Configura los siguientes parámetros de entrada:
   • Protocol: Especifica el protocolo como UDP.
   • Dirección: Especifica la dirección IP o el nombre de host de destino en el que reside el recopilador y escucha los datos de syslog.
   • Puerto: Especifica el puerto de destino en el que reside el recopilador y escucha los datos de syslog.
9. Haz clic en Enviar.

Para obtener más información sobre los retransmisores de Google Security Operations, consulta la documentación de los retransmisores de Google Security Operations. Para obtener información sobre los requisitos de cada tipo de reenvío, consulta Configuración del reenvío por tipo. Si tienes problemas para crear reenvíos, comunícate con el equipo de asistencia de Operaciones de seguridad de Google.

Referencia de la asignación de campos

Este analizador extrae campos de los mensajes de syslog de Juniper JUNOS y controla los formatos de clave-valor y los que no son de clave-valor. Utiliza patrones de Grok para hacer coincidir varias estructuras de mensajes, incluidos los registros de firewall, la actividad de SSH y las ejecuciones de comandos, y, luego, asigna los campos extraídos al UDM. El analizador también controla los registros con formato CEF a través de un archivo de inclusión y realiza acciones específicas según el contenido del mensaje, como combinar direcciones IP y nombres de usuario en los campos correspondientes del UDM.

Tabla de asignación de UDM

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.