In diesem Dokument wird beschrieben, wie Sie NetApp SAN-Logs mit einem Bindplane-Agent in Google Security Operations aufnehmen. Der Parser extrahiert Felder aus NetApp SAN-Logs mithilfe von Grok-Mustern und ordnet diese extrahierten Felder dann dem UDM von Google SecOps zu. Die Daten werden mit statischen Anbieter- und Produktinformationen für standardisierte Sicherheitsanalysen angereichert. Wenn der Logeintrag nicht dem erwarteten Muster entspricht, wird er verworfen, da er keinen Sicherheitswert hat.
Hinweise
Prüfen Sie, ob Sie eine Google SecOps-Instanz haben.
Achten Sie darauf, dass Sie Windows 2016 oder höher oder einen Linux-Host mit systemd verwenden.
Wenn Sie einen Proxy verwenden, müssen die Firewallports geöffnet sein.
Prüfen Sie, ob Sie privilegierten Zugriff auf das NetApp-SAN haben.
Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen
Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie SIEM-Einstellungen > Collection Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.
Google SecOps-Kundennummer abrufen
Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > „Profil“ auf.
Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.
BindPlane-Agent installieren
Fenstereinbau
Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.
BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren
Greifen Sie auf die Konfigurationsdatei zu:
Suchen Sie die Datei config.yaml. Normalerweise befindet es sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).
Bearbeiten Sie die Datei config.yamlso:
receivers:udplog:# Replace the port and IP address as requiredlisten_address:"0.0.0.0:514"exporters:chronicle/chronicle_w_labels:compression:gzip# Adjust the path to the credentials file you downloaded in Step 1creds:'/path/to/ingestion-authentication-file.json'# Replace with your actual customer ID from Step 2customer_id:<customer_id>
endpoint:malachiteingestion-pa.googleapis.com# Add optional ingestion labels for better organizationingestion_labels:log_type:NETAPP_SANraw_log_field:bodyservice:pipelines:logs/source0__chronicle_w_labels-0:receivers:-udplogexporters:-chronicle/chronicle_w_labels
Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
Ersetzen Sie <customer_id> durch die tatsächliche Kunden-ID.
Bindplane-Agent neu starten, um die Änderungen zu übernehmen
Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:
sudosystemctlrestartbindplane-agent
Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:
net stop BindPlaneAgent && net start BindPlaneAgent
Syslon in NetApp SAN konfigurieren
Melden Sie sich in der NetApp SAN-Web-UI an.
Gehen Sie zu Konfiguration > Monitoring > Audit- und Syslog-Server.
Klicken Sie auf Configure external syslog server (Externen Syslog-Server konfigurieren) oder Edit external syslog server (Externen Syslog-Server bearbeiten).
Geben Sie die folgenden Konfigurationsdetails an:
Host: Geben Sie die Bindplane-IP-Adresse ein.
Port: Geben Sie die Bindplane-Portnummer ein, z. B. 514 für UDP.
Protokoll: Wählen Sie UDP aus.
Klicken Sie auf Weiter.
Aktivieren und wählen Sie die folgenden Syslog-Inhalte aus:
Audit-Logs senden: Aktivieren Sie diese Option und legen Sie Severity:Informational(6) und facility:local7 fest.
Sicherheitsereignisse senden: Aktivieren Sie Severity:Passthrough und facility:Passthrough und legen Sie die Werte fest.
Anwendungslogs senden: Diese Option sollte deaktiviert bleiben.
Klicken Sie auf Weiter.
Senden Sie eine Testnachricht für das Log.
Klicken Sie auf Speichern.
UDM-Zuordnungstabelle
Logfeld
UDM-Zuordnung
Logik
Datum/Uhrzeit
metadata.event_timestamp.seconds
Aus der Log-Nachricht mit dem Grok-Muster %{SYSLOGTIMESTAMP:datetime} extrahiert und in Epochensekunden umgewandelt.
Ab
metadata.description
Aus der Log-Nachricht extrahiert mit dem Grok-Muster %{GREEDYDATA:desc}.
ip
principal.ip
Aus der Log-Nachricht extrahiert mit dem Grok-Muster %{IP:ip}.
log_level
Wird verwendet, um den Wert von security_result.severity zu bestimmen.
Port
principal.port
Wird aus der Log-Nachricht mit dem Grok-Muster %{INT:port} extrahiert und in eine Ganzzahl umgewandelt.
Anfrage
security_result.summary
Aus der Log-Nachricht extrahiert mit dem Grok-Muster %{DATA:request}.
userid
principal.user.userid
Aus der Log-Nachricht extrahiert mit dem Grok-Muster %{WORD:userid}.
–
metadata.event_type
Wird vom Parser auf STATUS_UPDATE festgelegt.
–
metadata.log_type
Wird aus den eingehenden Log-Metadaten gefüllt.
–
metadata.product_name
Wird vom Parser auf Storage Area Network festgelegt.
–
metadata.vendor_name
Wird vom Parser auf NetApp festgelegt.
–
security_result.severity
Wird auf ERROR gesetzt, wenn log_level gleich Error ist.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-02 (UTC)."],[],[],null,["# Collect NetApp SAN logs\n=======================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis document explains how to ingest NetApp SAN logs to Google Security Operations using a Bindplane agent. The parser extracts fields from NetApp SAN logs using Grok patterns, then maps those extracted fields to the Google SecOps UDM, enriching the data with static vendor and product information for standardized security analysis. If the log entry doesn't match the expected pattern, it's dropped as having no security value.\n\nBefore you begin\n----------------\n\n- Ensure that you have a Google SecOps instance.\n- Ensure that you are using Windows 2016 or later, or a Linux host with `systemd`.\n- If running behind a proxy, ensure firewall [ports](/chronicle/docs/ingestion/use-bindplane-agent#verify_the_firewall_configuration) are open.\n- Ensure that you have privileged access to NetApp SAN.\n\nGet Google SecOps ingestion authentication file\n-----------------------------------------------\n\n1. Sign in to the Google SecOps console.\n2. Go to **SIEM Settings \\\u003e Collection Agents**.\n3. Download the **Ingestion Authentication File**. Save the file securely on the system where Bindplane will be installed.\n\nGet Google SecOps customer ID\n-----------------------------\n\n1. Sign in to the Google SecOps console.\n2. Go to **SIEM Settings \\\u003e Profile**.\n3. Copy and save the **Customer ID** from the **Organization Details** section.\n\nInstall the Bindplane agent\n---------------------------\n\n### Windows installation\n\n1. Open the **Command Prompt** or **PowerShell** as an administrator.\n2. Run the following command:\n\n msiexec /i \"https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi\" /quiet\n\n### Linux installation\n\n1. Open a terminal with root or sudo privileges.\n2. Run the following command:\n\n sudo sh -c \"$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)\" install_unix.sh\n\n### Additional installation resources\n\n- For additional installation options, consult this [installation guide](/chronicle/docs/ingestion/use-bindplane-agent#install_the_bindplane_agent).\n\nConfigure the Bindplane agent to ingest Syslog and send to Google SecOps\n------------------------------------------------------------------------\n\n1. Access the configuration file:\n\n 1. Locate the `config.yaml` file. Typically, it's in the `/etc/bindplane-agent/` directory on Linux or in the installation directory on Windows.\n 2. Open the file using a text editor (for example, `nano`, `vi`, or Notepad).\n2. Edit the `config.yaml` file as follows:\n\n receivers:\n udplog:\n # Replace the port and IP address as required\n listen_address: \"0.0.0.0:514\"\n\n exporters:\n chronicle/chronicle_w_labels:\n compression: gzip\n # Adjust the path to the credentials file you downloaded in Step 1\n creds: '/path/to/ingestion-authentication-file.json'\n # Replace with your actual customer ID from Step 2\n customer_id: \u003ccustomer_id\u003e\n endpoint: malachiteingestion-pa.googleapis.com\n # Add optional ingestion labels for better organization\n ingestion_labels:\n log_type: NETAPP_SAN\n raw_log_field: body\n\n service:\n pipelines:\n logs/source0__chronicle_w_labels-0:\n receivers:\n - udplog\n exporters:\n - chronicle/chronicle_w_labels\n\n3. Replace the port and IP address as required in your infrastructure.\n\n4. Replace `\u003ccustomer_id\u003e` with the actual customer ID.\n\n5. Update `/path/to/ingestion-authentication-file.json` to the path where the authentication file was saved in the\n [Get Google SecOps ingestion authentication file](/chronicle/docs/ingestion/default-parsers/netapp-san#get-auth-file) section.\n\nRestart the Bindplane agent to apply the changes\n------------------------------------------------\n\n- To restart the Bindplane agent in Linux, run the following command:\n\n sudo systemctl restart bindplane-agent\n\n- To restart the Bindplane agent in Windows, you can either use the **Services** console or enter the following command:\n\n net stop BindPlaneAgent && net start BindPlaneAgent\n\nConfigure Syslon in NetApp SAN\n------------------------------\n\n1. Sign in to the NetApp SAN web UI.\n2. Go to **Configuration \\\u003e Monitoring \\\u003e Audit and syslog server**.\n3. Click **Configure external syslog server** or **Edit external syslog server**.\n4. Provide the following configuration details:\n - **Host**: enter the Bindplane IP address.\n - **Port** : enter the Bindplane port number; for example, `514` for UDP.\n - **Protocol** : Select **UDP**.\n5. Click **Continue**.\n6. Enable and select the following Syslog content:\n - **Send audit logs** : enable and set `Severity:Informational(6)`, `facility:local7`.\n - **Send security events** : enable and set `Severity:Passthrough`, `facility:Passthrough`.\n - **Send application logs**: keep this disabled.\n7. Click **Continue**.\n8. Send a log test message.\n9. Click **Save**.\n\nUDM Mapping Table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
