收集 Juniper Junos 日志

本文档介绍如何使用 Google Security Operations 转发器收集 Juniper Junos 日志。

如需了解详情，请参阅将数据注入 Google Security Operations。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 JUNIPER_JUNOS 注入标签的解析器。

为 Juniper Networks SRX 设备配置结构化日志记录

结构化日志格式可从日志消息中提取信息。日志格式符合 Syslog 协议。

1. 使用 SSH 登录 Juniper SRX CLI 的管理 IP 地址。
2. 在 shell 提示符处输入 CLI，然后按 Enter 键。
3. 输入 configure，然后按 Enter 键进入设备的配置模式。
4. 输入联系信息或客户参考点。

5. 如需将字段映射到用户账号，请运行以下命令：

      set system syslog host FORWARDER_IP_ADDRESS any info
   
      set system syslog host FORWARDER_IP_ADDRESS structured-data
   
   

   将 FORWARDER_IP_ADDRESS 替换为 Google Security Operations 转发器的 IP 地址。

6. 如需为安全日志启用结构化日志记录，请使用以下命令：

      set security log mode stream
   
      set security log source-address SRC_IP_ADDRESS
   
      set security log stream SYSLOG_STREAM_NAME host FORWARDER_IP_ADDRESS
   
      set security log stream SYSLOG_STREAM_NAME format sd-syslog
   
   

   替换以下内容：

   • SRC_IP_ADDRESS：Juniper SRX 设备的 IP 地址。

   • SYSLOG_STREAM_NAME：分配给 syslog 服务器的名称。

   • FORWARDER_IP_ADDRESS：Google Security Operations 转发器的 IP 地址。

7. 确保所有安全政策都已启用日志记录。如需启用日志记录，请运行以下命令：

      set security policies from-zone <zone-name1> to-zone <zone-name2> policy <policy-name> then log session-close
   
      set security policies from-zone <zone-name1> to-zone <zone-name2> policy <policy-name> then log session-init
   
   

8. 使用以下命令配置设备上的主机名：

      set system host-name HOSTNAME
   
   

   将 HOSTNAME 替换为分配的 Juniper Networks SRX 设备。

9. 输入 commit 以将执行的命令保存在配置中。

配置 Google Security Operations 转发器和 syslog 以注入 Juniper Junos 日志

1. 依次选择 SIEM 设置 > 转发器。
2. 点击添加新转发器。
3. 在转发器名称字段中输入唯一名称。
4. 点击提交，然后点击确认。转发器已添加，系统会显示添加收集器配置窗口。
5. 在收集器名称字段中，输入收集器的唯一名称。
6. 选择 Juniper Junos 作为日志类型。
7. 选择 Syslog 作为收集器类型。
8. 配置以下输入参数：
   • 协议：将协议指定为 UDP。
   • 地址：指定收集器所在的目标 IP 地址或主机名，收集器会在此地址监听 syslog 数据。
   • 端口：指定收集器所在的目标端口，并监听 syslog 数据。
9. 点击提交。

如需详细了解 Google Security Operations 转发器，请参阅 Google Security Operations 转发器文档。如需了解每种转发器类型的要求，请参阅按类型划分的转发器配置。 如果您在创建转发器时遇到问题，请与 Google Security Operations 支持团队联系。

字段映射参考

此解析器可从 Juniper JUNOS syslog 消息中提取字段，并处理键值格式和非键值格式。它使用 Grok 模式来匹配各种消息结构，包括防火墙日志、SSH 活动和命令执行，然后将提取的字段映射到 UDM。解析器还使用包含文件处理 CEF 格式的日志，并根据消息内容执行特定操作，例如将 IP 地址和用户名合并到相应的 UDM 字段中。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。