收集 VMware Networking and Security Virtualization (NSX) Manager 記錄

本文說明如何收集 VMware Networking and Security Virtualization (NSX) Manager 記錄。剖析器會根據訊息格式，使用各種 grok 模式擷取欄位。接著，它會執行鍵/值剖析、JSON 剖析和條件邏輯，將擷取的欄位對應至 UDM，處理不同的記錄格式，並以額外內容擴充資料。

事前準備

• 確認您有 Google Security Operations 執行個體。
• 確認您使用的是 Windows 2016 以上版本，或是搭載 systemd 的 Linux 主機。
• 如果透過 Proxy 執行，請確認防火牆通訊埠已開啟。
• 確認您擁有 VMWare NSX 的管理員存取權。

取得 Google SecOps 擷取驗證檔案

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「設定檔」。
3. 複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

Windows 安裝

1. 以系統管理員身分開啟「命令提示字元」或「PowerShell」。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安裝

1. 開啟具有根層級或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安裝資源

• 如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

1. 存取設定檔：

   • 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄，或 Windows 的安裝目錄。
   • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

2. 按照下列方式編輯 config.yaml 檔案：

   receivers:
       udplog:
           # Replace the below port <54525> and IP <0.0.0.0> with your specific values
           listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: vmware_nsx
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 視基礎架構需求，替換通訊埠和 IP 位址。

4. 將 <customer_id> 替換為實際的客戶 ID。

5. 將 /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」一節中儲存驗證檔案的路徑。

重新啟動 Bindplane 代理程式，以套用變更

• 在 Linux 中，如要重新啟動 Bindplane 代理程式，請執行下列指令：

  sudo systemctl restart bindplane-agent
  

• 在 Windows 中，如要重新啟動 Bindplane 代理程式，可以使用「服務」主控台，也可以輸入下列指令：

  net stop BindPlaneAgent && net start BindPlaneAgent
  

NSX Edge 的系統記錄設定

1. 登入 vSphere Web Client。
2. 依序前往「Networking & Security」>「NSX Edges」。
3. 選取要設定的特定 NSX Edge 執行個體。
4. 前往「Syslog Settings」：
   1. 適用於 NSX 6.4.4 以上版本：
      • 依序前往「管理」>「設定」>「裝置設定」。
      • 依序點選「設定」>「變更系統記錄設定」。
   2. 適用於 NSX 6.4.3 和更早版本：
      • 依序前往「管理」>「設定」>「設定」。
      • 在「詳細資料」對話方塊中，按一下「變更」。
5. 設定 Syslog 伺服器詳細資料：
   • 伺服器：輸入 Syslog 伺服器 (Bindplane) 的 IP 位址或主機名稱。
   • 通訊協定：選取「UDP」或「TCP」 (視 Bindplane 設定而定)。
   • 「Port」(通訊埠)：輸入通訊埠編號 (視 Bindplane 設定而定)。
6. 按一下「確定」儲存設定。

NSX Manager 的系統記錄設定

1. 使用管理員憑證登入 NSX Manager 網頁介面，步驟如下：
   • https://<NSX-Manager-IP> 或 https://<NSX-Manager-Hostname>。
2. 依序前往「管理設備設定」>「一般」。
3. 按一下「編輯」，設定 Syslog 伺服器。
4. 輸入 Syslog 伺服器詳細資料：
   • 伺服器：輸入 Syslog 伺服器 (Bindplane) 的 IP 位址或主機名稱。
   • 通訊協定：選取「UDP」或「TCP」 (視 Bindplane 設定而定)。
   • 「Port」(通訊埠)：輸入通訊埠編號 (視 Bindplane 設定而定)。
5. 按一下「確定」儲存設定。

NSX Controller 的系統記錄設定

1. 登入 vSphere Web Client。
2. 依序前往「Networking & Security」(網路與安全性) >「Installation and Upgrade」(安裝與升級) >「Management」(管理) >「NSX Controller Nodes」(NSX 控制器節點)。
3. 選取管理控制器節點的 NSX Manager。
4. 按一下「Common Controller Attributes Edit」(編輯通用控制器屬性)。
5. 在「系統記錄檔伺服器」對話方塊中，按一下「新增」：
   1. 輸入 Syslog 伺服器名稱或 IP 位址。
   2. 選取 UDP 通訊協定 (視 Bindplane 設定而定)。
   3. 設定「記錄層級」(例如 INFO)。
6. 按一下「確定」儲存設定。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。