Raccogliere i log di Juniper Junos

Questo documento descrive come raccogliere i log di Juniper Junos utilizzando un forwarder di Google Security Operations.

Per ulteriori informazioni, consulta Importazione dei dati in Google Security Operations.

Un'etichetta di importazione identifica il parser che normalizza i dati dei log non elaborati in formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione JUNIPER_JUNOS.

Configura la registrazione strutturata per un dispositivo Juniper Networks SRX

Il formato di log strutturato estrae informazioni dai messaggi di log. Il formato dei log è conforme al protocollo Syslog.

1. Accedi alla CLI Juniper SRX utilizzando SSH al suo indirizzo IP di gestione.
2. Digita CLI al prompt della shell e premi Invio.
3. Digita configure e premi Invio per accedere alla modalità di configurazione del dispositivo.
4. Inserisci i dati di contatto o il punto di riferimento del cliente.

5. Per mappare i campi all'account utente, esegui questi comandi:

      set system syslog host FORWARDER_IP_ADDRESS any info
   
      set system syslog host FORWARDER_IP_ADDRESS structured-data
   
   

   Sostituisci FORWARDER_IP_ADDRESS con l'indirizzo IP del forwarder di Google Security Operations.

6. Per abilitare la registrazione strutturata per i log di sicurezza, utilizza i seguenti comandi:

      set security log mode stream
   
      set security log source-address SRC_IP_ADDRESS
   
      set security log stream SYSLOG_STREAM_NAME host FORWARDER_IP_ADDRESS
   
      set security log stream SYSLOG_STREAM_NAME format sd-syslog
   
   

   Sostituisci quanto segue:

   • SRC_IP_ADDRESS: l'indirizzo IP del dispositivo Juniper SRX.

   • SYSLOG_STREAM_NAME: il nome assegnato al server syslog.

   • FORWARDER_IP_ADDRESS: l'indirizzo IP del forwarder di Google Security Operations.

7. Assicurati che la registrazione sia abilitata in tutte le norme sulla sicurezza. Per abilitare la registrazione, esegui questi comandi:

      set security policies from-zone <zone-name1> to-zone <zone-name2> policy <policy-name> then log session-close
   
      set security policies from-zone <zone-name1> to-zone <zone-name2> policy <policy-name> then log session-init
   
   

8. Configura il nome host sul dispositivo utilizzando il seguente comando:

      set system host-name HOSTNAME
   
   

   Sostituisci HOSTNAME con il dispositivo Juniper Networks SRX assegnato.

9. Inserisci commit per salvare i comandi eseguiti nella configurazione.

Configura l'inoltro e syslog di Google Security Operations per l'importazione dei log Juniper Junos

1. Seleziona Impostazioni SIEM > Forwarder.
2. Fai clic su Aggiungi nuovo inoltro.
3. Inserisci un nome univoco nel campo Nome inoltro.
4. Fai clic su Invia e poi su Conferma. Il forwarder viene aggiunto e viene visualizzata la finestra Aggiungi configurazione del raccoglitore.
5. Nel campo Nome del raccoglitore, inserisci un nome univoco per il raccoglitore.
6. Seleziona Juniper Junos come Tipo di log.
7. Seleziona Syslog come Tipo di raccoglitore.
8. Configura i seguenti parametri di input:
   • Protocollo: specifica il protocollo come UDP.
   • Indirizzo: specifica l'indirizzo IP o il nome host di destinazione in cui si trova il raccoglitore e in cui ascolta i dati syslog.
   • Porta: specifica la porta di destinazione in cui risiede il raccoglitore e rimane in ascolto dei dati syslog.
9. Fai clic su Invia.

Per saperne di più sui forwarder di Google Security Operations, consulta la documentazione sui forwarder di Google Security Operations. Per informazioni sui requisiti per ciascun tipo di forwarder, consulta Configurazione del forwarder per tipo. Se riscontri problemi durante la creazione degli inoltri, contatta l'assistenza Google Security Operations.

Riferimento alla mappatura dei campi

Questo parser estrae i campi dai messaggi syslog Juniper JUNOS, gestendo sia i formati chiave-valore che quelli non chiave-valore. Utilizza pattern grok per trovare corrispondenze con varie strutture di messaggi, inclusi log del firewall, attività SSH ed esecuzioni di comandi, quindi mappa i campi estratti alla UDM. Il parser gestisce anche i log in formato CEF utilizzando un file di inclusione ed esegue azioni specifiche in base al contenuto del messaggio, ad esempio unendo indirizzi IP e nomi utente nei campi UDM appropriati.

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.