Raccogliere i log Juniper Junos

Questo documento descrive come raccogliere i log di Juniper Junos utilizzando un forwarder di Google Security Operations.

Per ulteriori informazioni, consulta Importazione dei dati in Google Security Operations.

Un'etichetta di importazione identifica l'analizzatore sintattico che normalizza i dati dei log non elaborati in formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione JUNIPER_JUNOS.

Configurare il logging strutturato per un dispositivo Juniper Networks SRX

Il formato dei log strutturati estrae le informazioni dai messaggi di log. Il formato dei log è conforme al protocollo Syslog.

1. Accedi alla CLI Juniper SRX utilizzando SSH per il relativo indirizzo IP di gestione.
2. Digita CLI al prompt della shell e premi Invio.
3. Digita configure e premi Invio per accedere alla modalità di configurazione del dispositivo.
4. Inserisci i dati di contatto o il punto di riferimento del cliente.

5. Per mappare i campi all'account utente, esegui i seguenti comandi:

      set system syslog host FORWARDER_IP_ADDRESS any info
   
      set system syslog host FORWARDER_IP_ADDRESS structured-data
   
   

   Sostituisci FORWARDER_IP_ADDRESS con l'indirizzo IP del forwarder di Google Security Operations.

6. Per attivare la registrazione strutturata per i log di sicurezza, utilizza i seguenti comandi:

      set security log mode stream
   
      set security log source-address SRC_IP_ADDRESS
   
      set security log stream SYSLOG_STREAM_NAME host FORWARDER_IP_ADDRESS
   
      set security log stream SYSLOG_STREAM_NAME format sd-syslog
   
   

   Sostituisci quanto segue:

   • SRC_IP_ADDRESS: l'indirizzo IP del dispositivo Juniper SRX.

   • SYSLOG_STREAM_NAME: il nome assegnato al server syslog.

   • FORWARDER_IP_ADDRESS: l'indirizzo IP del forwarder di Google Security Operations.

7. Assicurati che il logging sia abilitato in tutti i criteri di sicurezza. Per abilitare il logging, esegui i seguenti comandi:

      set security policies from-zone <zone-name1> to-zone <zone-name2> policy <policy-name> then log session-close
   
      set security policies from-zone <zone-name1> to-zone <zone-name2> policy <policy-name> then log session-init
   
   

8. Configura il nome host sul dispositivo utilizzando il seguente comando:

      set system host-name HOSTNAME
   
   

   Sostituisci HOSTNAME con il dispositivo Juniper Networks SRX assegnato.

9. Inserisci commit per salvare i comandi eseguiti nella configurazione.

Configura il forwarder di Google Security Operations e syslog per importare i log di Juniper Junos

1. Seleziona Impostazioni SIEM > Inoltratori.
2. Fai clic su Aggiungi nuovo mittente.
3. Inserisci un nome univoco nel campo Nome mittente.
4. Fai clic su Invia e poi su Conferma. Il forwarder viene aggiunto e viene visualizzata la finestra Aggiungi configurazione del collettore.
5. Nel campo Nome del raccoglitore, inserisci un nome univoco per il raccoglitore.
6. Seleziona Juniper Junos come Tipo di log.
7. Seleziona Syslog come Tipo di collettore.
8. Configura i seguenti parametri di input:
   • Protocollo: specifica il protocollo come UDP.
   • Indirizzo: specifica l'indirizzo IP o il nome host di destinazione in cui risiede il raccoglitore e ascolta i dati syslog.
   • Porta: specifica la porta di destinazione in cui risiede il raccoglitore e che ascolta i dati syslog.
9. Fai clic su Invia.

Per ulteriori informazioni sui forwarder di Google Security Operations, consulta la documentazione sui forwarder di Google Security Operations. Per informazioni sui requisiti per ciascun tipo di inoltro, consulta Configurazione degli inoltratori per tipo. Se riscontri problemi durante la creazione dei reindirizzamenti, contatta l'assistenza di Google Security Operations.

Riferimento alla mappatura dei campi

Questo parser estrae i campi dai messaggi syslog Juniper JUNOS, gestendo sia i formati chiave-valore che non chiave-valore. Utilizza pattern grok per abbinare varie strutture di messaggi, tra cui log della firewall, attività SSH ed esecuzioni di comandi, quindi mappa i campi estratti all'UDM. Il parser gestisce anche i log in formato CEF utilizzando un file include ed esegue azioni specifiche in base ai contenuti del messaggio, ad esempio l'unione di indirizzi IP e nomi utente in campi UDM appropriati.

Tabella di mappatura UDM

Modifiche

2024-05-02

• Enhancement-
• Sono stati aggiunti pattern Grok per supportare i nuovi log nel formato SYSLOG + KV.

2023-10-25

• Enhancement-
• Sono stati aggiunti pattern Grok per analizzare i log non analizzati.
• "source_port" è stato mappato a "principal.port".
• "source_address" è stato mappato a "principal.ip".
• "user_name" è stato mappato a "target.user.userid".
• "application_name" è stato mappato a "target.application".
• "p_id" è stato mappato a "target.process.pid".
• È stato aggiunto il controllo "invalid_pattern" prima della mappatura KV.
• È stato aggiunto un pattern Grok per mappare "security_result.description" quando "description_present" è falso.

2023-08-17

• Enhancement-
• È stato aggiunto il pattern Grok ai log non analizzati analizzati.
• "msg" è stato mappato a "security_result.summary".
• "src_ip" è stato mappato a "principal.ip".
• "user" è stato mappato a "target.user.userid".
• "username" è stato mappato a "principal.user.userid".
• "command" è stato mappato a "target.process.command_line".
• "src_port" è stato mappato a "principal.port".
• "ssh2" è stato mappato a "security_result.detection_fields".
• "sha256" è stato mappato a "principal.process.file.sha256".
• "desc" è stato mappato a "sec_result.summary".
• "mac-address" è stato mappato a "principal.mac".
• "host" è stato mappato a "principal.hostname" se event_type è "STATUS_UPDATE".

2023-01-15

• Enhancement-
• Pattern Grok modificato per supportare i log non analizzati contenenti il tipo "UI_CMDLINE_READ_LINE", "UI_COMMIT_PROGRESS", "UI_CHILD_START",
• "UI_CFG_AUDIT_OTHER", "UI_LOGIN_EVENT", "UI_CHILD_STATUS", "UI_LOGOUT_EVENT", "UI_LOAD_EVENT",
• "JTASK_IO_CONNECT_FAILED", "UI_AUTH_EVENT", "UI_NETCONF_CMD", "UI_COMMIT_NO_MASTER_PASSWORD", "UI_CFG_AUDIT_SET", "UI_JUNOSCRIPT_CMD",
• "SNMPD_AUTH_FAILURE", "UI_CFG_AUDIT_NEW", "UI_COMMIT" , "LIBJNX_LOGIN_ACCOUNT_LOCKED", "UI_COMMIT_COMPLETED",
• "PAM_USER_LOCK_LOGIN_REQUESTS_DENIED", "RTPERF_CPU_USAGE_OK", "RTPERF_CPU_THRESHOLD_EXCEEDED", "LIBJNX_LOGIN_ACCOUNT_UNLOCKED",
• "JSRPD_SET_OTHER_INTF_MON_FAIL", "JSRPD_SET_SCHED_MON_FAILURE", "UI_CHILD_WAITPID", "UI_DBASE_LOGIN_EVENT".

2022-05-02

• Nuovo parser predefinito.