Coletar registros do Juniper Junos

Neste documento, descrevemos como coletar registros do Juniper Junos usando um encaminhador do Google Security Operations.

Para mais informações, consulte Ingestão de dados no Google Security Operations.

Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de ingestão JUNIPER_JUNOS.

Configurar a geração de registros estruturados para um dispositivo Juniper Networks SRX

O formato de registro estruturado extrai informações de mensagens de registro. O formato do registro está em conformidade com o protocolo Syslog.

1. Faça login na CLI do Juniper SRX usando SSH no endereço IP de gerenciamento.
2. Digite CLI no prompt do shell e pressione Enter.
3. Digite configure e pressione Enter para entrar no modo de configuração do dispositivo.
4. Insira os detalhes de contato ou o ponto de referência do cliente.

5. Para mapear os campos com a conta de usuário, execute os seguintes comandos:

      set system syslog host FORWARDER_IP_ADDRESS any info
   
      set system syslog host FORWARDER_IP_ADDRESS structured-data
   
   

   Substitua FORWARDER_IP_ADDRESS pelo endereço IP do encaminhador do Google Security Operations.

6. Para ativar a geração de registros estruturados para registros de segurança, use os seguintes comandos:

      set security log mode stream
   
      set security log source-address SRC_IP_ADDRESS
   
      set security log stream SYSLOG_STREAM_NAME host FORWARDER_IP_ADDRESS
   
      set security log stream SYSLOG_STREAM_NAME format sd-syslog
   
   

   Substitua:

   • SRC_IP_ADDRESS: o endereço IP do dispositivo Juniper SRX.

   • SYSLOG_STREAM_NAME: o nome atribuído ao servidor syslog.

   • FORWARDER_IP_ADDRESS: o endereço IP do encaminhador do Google Security Operations.

7. Verifique se a geração de registros está ativada em todas as políticas de segurança. Para ativar o registro em registros, execute os seguintes comandos:

      set security policies from-zone <zone-name1> to-zone <zone-name2> policy <policy-name> then log session-close
   
      set security policies from-zone <zone-name1> to-zone <zone-name2> policy <policy-name> then log session-init
   
   

8. Configure o nome do host no dispositivo usando o seguinte comando:

      set system host-name HOSTNAME
   
   

   Substitua HOSTNAME pelo dispositivo Juniper Networks SRX atribuído.

9. Digite commit para salvar os comandos executados na configuração.

Configurar o encaminhador e o syslog do Google Security Operations para ingerir registros do Juniper Junos

1. Selecione Configurações do SIEM > Encaminhadores.
2. Clique em Adicionar novo encaminhador.
3. Insira um nome exclusivo no campo Nome do encaminhador.
4. Clique em Enviar e em Confirmar. O encaminhador é adicionado, e a janela Adicionar configuração do coletor aparece.
5. No campo Nome do coletor, insira um nome exclusivo para ele.
6. Selecione Juniper Junos como o Tipo de registro.
7. Selecione Syslog como o Tipo de coletor.
8. Configure os seguintes parâmetros de entrada:
   • Protocolo: especifique o protocolo como UDP.
   • Endereço: especifique o endereço IP ou o nome do host de destino em que o coletor reside e aguarda dados do syslog.
   • Porta: especifique a porta de destino em que o coletor reside e detecta dados do syslog.
9. Clique em Enviar.

Para mais informações sobre encaminhadores do Google Security Operations, consulte a documentação sobre encaminhadores do Google Security Operations. Para informações sobre os requisitos de cada tipo de encaminhador, consulte Configuração do encaminhador por tipo. Se você tiver problemas ao criar encaminhadores, entre em contato com o suporte do Google Security Operations.

Referência de mapeamento de campos

Esse analisador extrai campos de mensagens syslog do Juniper JUNOS, processando formatos de chave-valor e não chave-valor. Ele usa padrões grok para corresponder a várias estruturas de mensagens, incluindo registros de firewall, atividade de SSH e execuções de comandos, e mapeia os campos extraídos para a UDM. O analisador também processa registros formatados em CEF usando um arquivo de inclusão e realiza ações específicas com base no conteúdo da mensagem, como mesclar endereços IP e nomes de usuário em campos UDM apropriados.

Tabela de mapeamento da UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.