Recoger registros de Juniper Junos

En este documento se describe cómo puede recoger registros de Juniper Junos mediante un reenviador de Google Security Operations.

Para obtener más información, consulta Ingestión de datos en Google Security Operations.

Una etiqueta de ingestión identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de ingestión JUNIPER_JUNOS.

Configurar el registro estructurado en un dispositivo SRX de Juniper Networks

El formato de registro estructurado extrae información de los mensajes de registro. El formato del registro cumple el protocolo Syslog.

1. Inicia sesión en la CLI de Juniper SRX mediante SSH con su dirección IP de gestión.
2. Escribe CLI en el shell y pulsa Intro.
3. Escribe configure y pulsa Intro para acceder al modo de configuración del dispositivo.
4. Introduce los datos de contacto o el punto de referencia del cliente.

5. Para asignar los campos a la cuenta de usuario, ejecuta los siguientes comandos:

      set system syslog host FORWARDER_IP_ADDRESS any info
   
      set system syslog host FORWARDER_IP_ADDRESS structured-data
   
   

   Sustituye FORWARDER_IP_ADDRESS por la dirección IP del reenviador de Google Security Operations.

6. Para habilitar el registro estructurado de los registros de seguridad, usa los siguientes comandos:

      set security log mode stream
   
      set security log source-address SRC_IP_ADDRESS
   
      set security log stream SYSLOG_STREAM_NAME host FORWARDER_IP_ADDRESS
   
      set security log stream SYSLOG_STREAM_NAME format sd-syslog
   
   

   Haz los cambios siguientes:

   • SRC_IP_ADDRESS: la dirección IP del dispositivo Juniper SRX.

   • SYSLOG_STREAM_NAME: el nombre asignado al servidor syslog.

   • FORWARDER_IP_ADDRESS: la dirección IP del reenviador de Google Security Operations.

7. Asegúrate de que el registro esté habilitado en todas las políticas de seguridad. Para habilitar el registro, ejecuta los siguientes comandos:

      set security policies from-zone <zone-name1> to-zone <zone-name2> policy <policy-name> then log session-close
   
      set security policies from-zone <zone-name1> to-zone <zone-name2> policy <policy-name> then log session-init
   
   

8. Configura el nombre de host en el dispositivo con el siguiente comando:

      set system host-name HOSTNAME
   
   

   Sustituye HOSTNAME por el dispositivo Juniper Networks SRX asignado.

9. Introduce commit para guardar los comandos ejecutados en la configuración.

Configurar el reenviador de Google Security Operations y syslog para ingerir registros de Juniper Junos

1. Seleccione Configuración de SIEM > Reenviadores.
2. Haz clic en Añadir nuevo remitente.
3. Introduce un nombre único en el campo Nombre del reenviador.
4. Haz clic en Enviar y, a continuación, en Confirmar. Se añade el reenviador y se muestra la ventana Añadir configuración de recopilador.
5. En el campo Nombre del recolector, introduzca un nombre único para el recolector.
6. Seleccione Juniper Junos como Tipo de registro.
7. Seleccione Syslog como Tipo de recogida.
8. Configure los siguientes parámetros de entrada:
   • Protocolo: especifica el protocolo como UDP.
   • Dirección: especifica la dirección IP o el nombre de host de destino en el que reside el recopilador y escucha los datos de syslog.
   • Puerto: especifica el puerto de destino en el que reside el recolector y escucha los datos de syslog.
9. Haz clic en Enviar.

Para obtener más información sobre los reenviadores de Google Security Operations, consulta la documentación de los reenviadores de Google Security Operations. Para obtener información sobre los requisitos de cada tipo de reenviador, consulta Configuración de reenviadores por tipo. Si tienes problemas al crear reenviadores, ponte en contacto con el equipo de Asistencia de Google Security Operations.

Referencia de asignación de campos

Este analizador extrae campos de mensajes syslog de Juniper JUNOS y gestiona tanto los formatos de pares clave-valor como los que no son de pares clave-valor. Utiliza patrones grok para identificar varias estructuras de mensajes, como registros de firewall, actividad SSH y ejecuciones de comandos. Después, asigna los campos extraídos al modelo de datos unificado. El analizador también gestiona los registros con formato CEF mediante un archivo de inclusión y realiza acciones específicas en función del contenido del mensaje, como combinar direcciones IP y nombres de usuario en los campos de UDM correspondientes.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.