Collecter les journaux Juniper Junos

Ce document explique comment collecter les journaux Juniper Junos à l'aide d'un redirecteur Google Security Operations.

Pour en savoir plus, consultez Ingestion de données dans Google Security Operations.

Un libellé d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion JUNIPER_JUNOS.

Configurer la journalisation structurée pour un appareil Juniper Networks SRX

Le format de journal structuré extrait des informations des messages de journal. Le format du journal est conforme au protocole Syslog.

1. Connectez-vous à la CLI Juniper SRX à l'aide de SSH et de son adresse IP de gestion.
2. Saisissez CLI à l'invite du shell, puis appuyez sur Entrée.
3. Saisissez configure, puis appuyez sur Entrée pour accéder au mode de configuration de l'appareil.
4. Saisissez les coordonnées ou le point de référence du client.

5. Pour mapper les champs au compte utilisateur, exécutez les commandes suivantes :

      set system syslog host FORWARDER_IP_ADDRESS any info
   
      set system syslog host FORWARDER_IP_ADDRESS structured-data
   
   

   Remplacez FORWARDER_IP_ADDRESS par l'adresse IP du redirecteur Google Security Operations.

6. Pour activer la journalisation structurée pour les journaux de sécurité, utilisez les commandes suivantes :

      set security log mode stream
   
      set security log source-address SRC_IP_ADDRESS
   
      set security log stream SYSLOG_STREAM_NAME host FORWARDER_IP_ADDRESS
   
      set security log stream SYSLOG_STREAM_NAME format sd-syslog
   
   

   Remplacez les éléments suivants :

   • SRC_IP_ADDRESS : adresse IP de l'appareil Juniper SRX.

   • SYSLOG_STREAM_NAME : nom attribué au serveur syslog.

   • FORWARDER_IP_ADDRESS : adresse IP du redirecteur Google Security Operations.

7. Assurez-vous que la journalisation est activée pour toutes les règles de sécurité. Pour activer la journalisation, exécutez les commandes suivantes :

      set security policies from-zone <zone-name1> to-zone <zone-name2> policy <policy-name> then log session-close
   
      set security policies from-zone <zone-name1> to-zone <zone-name2> policy <policy-name> then log session-init
   
   

8. Configurez le nom d'hôte sur l'appareil à l'aide de la commande suivante :

      set system host-name HOSTNAME
   
   

   Remplacez HOSTNAME par l'équipement Juniper Networks SRX attribué.

9. Saisissez commit pour enregistrer les commandes exécutées dans la configuration.

Configurer le redirecteur Google Security Operations et Syslog pour ingérer les journaux Juniper Junos

1. Sélectionnez Paramètres SIEM > Transmetteurs.
2. Cliquez sur Ajouter un nouveau transfert.
3. Saisissez un nom unique dans le champ Nom du transitaire.
4. Cliquez sur Envoyer, puis sur Confirmer. Le redirecteur est ajouté et la fenêtre Ajouter une configuration de collecteur s'affiche.
5. Dans le champ Nom du collecteur, saisissez un nom unique pour le collecteur.
6. Sélectionnez Juniper Junos comme type de journal.
7. Sélectionnez Syslog comme type de collecteur.
8. Configurez les paramètres d'entrée suivants :
   • Protocole : spécifiez le protocole UDP.
   • Adresse : spécifiez l'adresse IP ou le nom d'hôte de la cible où réside le collecteur et où il écoute les données syslog.
   • Port : spécifiez le port cible sur lequel le collecteur réside et écoute les données syslog.
9. Cliquez sur Envoyer.

Pour en savoir plus sur les redirecteurs Google Security Operations, consultez la documentation sur les redirecteurs Google Security Operations. Pour en savoir plus sur les exigences de chaque type de redirecteur, consultez Configuration des redirecteurs par type. Si vous rencontrez des problèmes lors de la création de redirecteurs, contactez l'assistance Google Security Operations.

Référence du mappage de champs

Cet analyseur extrait les champs des messages syslog Juniper JUNOS, en gérant les formats avec et sans paires clé-valeur. Il utilise des modèles Grok pour faire correspondre différentes structures de messages, y compris les journaux de pare-feu, l'activité SSH et les exécutions de commandes, puis mappe les champs extraits à l'UDM. L'analyseur gère également les journaux au format CEF à l'aide d'un fichier d'inclusion et effectue des actions spécifiques en fonction du contenu du message, comme la fusion des adresses IP et des noms d'utilisateur dans les champs UDM appropriés.

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.