Raccogliere i log VMware ESXi

Panoramica

Questo parser estrae i campi dai log formattati in formato JSON e syslog VMware ESXi. Normalizza la varietà di formati dei log ESXi in una struttura comune, quindi compila i campi UDM in base ai valori estratti, inclusa la gestione di casi specifici per diversi servizi ESXi come crond, named e sshd utilizzando i file di inclusione.

Prima di iniziare

• Assicurati di avere un'istanza Google SecOps.
• Assicurati di disporre dell'accesso con privilegi a VMWare ESX.
• Assicurati di avere un host Windows 2012 SP2 o versioni successive o Linux con systemd.
• Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte.

Recuperare il file di autenticazione importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione importazione.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

1. Per l'installazione di Windows, esegui il seguente script: msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet.
2. Per l'installazione di Linux, esegui lo script seguente: sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh.
3. Ulteriori opzioni di installazione sono disponibili in questa guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi alla macchina in cui è installato l'agente Bindplane.

2. Modifica il file config.yaml come segue:

   receivers:
     tcplog:
       # Replace the below port <54525> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: 
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Riavvia Bindplane Agent per applicare le modifiche utilizzando il seguente comando: sudo systemctl bindplane restart

Consenti la regola firewall syslog ESXi

1. Vai a Networking > Regole firewall.
2. Trova syslog nella colonna Nome.
3. Fai clic su Modifica impostazioni.
4. Aggiorna la porta tcp o udp che hai configurato in Bindplane.
5. Fai clic su Salva.
6. Mantieni selezionata la riga syslog.
7. Seleziona Azioni > Attiva.

Esportare Syslog da VMware ESXi utilizzando vSphere Client

1. Accedi all'host ESXi utilizzando vSphere Client.
2. Vai a Gestisci > Sistema > Impostazioni avanzate.
3. Trova la chiave Syslog.global.logHost nell'elenco.
4. Seleziona la chiave e fai clic su Modifica opzione.
5. Inserisci <protocol>://<destination_IP>:<port>
   • Sostituisci <protocol> con tcp (se hai configurato Bindplane Agent per l'utilizzo di UDP, digita udp).
   • Sostituisci <destination_IP> con l'indirizzo IP dell'agente Bindplane.
   • Sostituisci <port> con la porta configurata in precedenza in Bindplane Agent.
6. Fai clic su Salva.

(Facoltativo) Esportare Syslog da VMware ESXi utilizzando SSH

1. Connettiti all'host ESXi utilizzando SSH.
2. Utilizza il comando esxcli system syslog config set --loghost=<protocol>://<destination_IP>:<port>.
   • Sostituisci <protocol> con tcp (se hai configurato Bindplane Agent per l'utilizzo di UDP, digita udp).
   • Sostituisci <destination_IP> con l'indirizzo IP dell'agente Bindplane.
   • Sostituisci <port> con la porta configurata in precedenza in Bindplane.
3. Riavvia il servizio syslog inserendo il comando /etc/init.d/syslog restart.

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.