BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren
Rufen Sie die Konfigurationsdatei auf:
Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).
Bearbeiten Sie die Datei config.yamlso:
receivers:udplog:# Replace the port and IP address as requiredlisten_address:"0.0.0.0:514"exporters:chronicle/chronicle_w_labels:compression:gzip# Adjust the path to the credentials file you downloaded in Step 1creds_file_path:'/path/to/ingestion-authentication-file.json'# Replace with your actual customer ID from Step 2customer_id:<customer_id>
endpoint:malachiteingestion-pa.googleapis.com# Add optional ingestion labels for better organizationlog_type:'VELO_FIREWALL'raw_log_field:bodyingestion_labels:service:pipelines:logs/source0__chronicle_w_labels-0:receivers:-udplogexporters:-chronicle/chronicle_w_labels
Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
Ersetzen Sie <customer_id> durch die tatsächliche Kunden-ID.
Bindplane-Agent neu starten, um die Änderungen zu übernehmen
Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:
sudosystemctlrestartbindplane-agent
Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:
net stop BindPlaneAgent && net start BindPlaneAgent
Syslog für VMware VeloCloud SD-WAN konfigurieren
Melden Sie sich in der Web-UI des VeloCloud Enterprise-Portals an.
Gehen Sie zu SD‑WAN-Dienst > Konfigurieren > Profile.
Klicken Sie auf den Link zum Profil, um ein Profil zu konfigurieren, oder in der Spalte Gerät des Profils auf den Link zum Aufrufen.
Wählen Sie Segmentmenü konfigurieren > Globales Segment aus, um die Syslog-Einstellungen zu konfigurieren.
Rufen Sie unter Telemetrie den Bereich Syslog auf:
Klicken Sie das Kästchen Syslog aktivieren an.
Klicken Sie auf + Hinzufügen.
Geben Sie die folgenden Konfigurationsdetails an:
Einrichtung: Wählen Sie local0 aus.
IP: Geben Sie die Ziel-IP-Adresse des Syslog-Collectors ein.
Protokoll: Wählen Sie entweder TCP oder UDP als Syslog-Protokoll aus.
Port: Geben Sie die Portnummer des Syslog-Collectors ein (Standardwert: 514).
Quellschnittstelle: Dieses Feld ist auf Profilebene auf Automatisch festgelegt. Edge wählt automatisch eine Schnittstelle aus, für die das Feld Advertise festgelegt ist.
Rollen: Wählen Sie entweder FIREWALL EVENT (Firewall-Ereignis) oder EDGE AND FIREWALL EVENT (Edge- und Firewall-Ereignis) aus.
Syslog-Ebene: Wählen Sie INFO aus.
Alle Segmente: Klicken Sie das Kästchen Alle Segmente an.
Speichern Sie die Änderungen.
Rufen Sie die Seite Firewall der Profilkonfiguration auf.
Klicken Sie auf Syslog Forwarding (Syslog-Weiterleitung), um Firewall-Logs, die vom Enterprise Edge stammen, an Ihre konfigurierten Syslog-Collector weiterzuleiten.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-02 (UTC)."],[],[],null,["# Collect VMware VeloCloud SD-WAN logs\n====================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis document explains how to ingest VMware VeloCloud SD-WAN logs to Google Security Operations using Bindplane.\n\nBefore you begin\n----------------\n\nMake sure you have the following prerequisites:\n\n- Google SecOps instance\n- Windows 2016 or later or a Linux host with `systemd`\n- If running behind a proxy, ensure firewall [ports](/chronicle/docs/ingestion/use-bindplane-agent#verify_the_firewall_configuration) are open\n- Privileged access to the VMware VeloCloud SD-WAN\n- A Cloud Virtual Private Network (branch-to-branch VPN) configured between the Edge and the Syslog collector (Bindplane agent)\n\nGet Google SecOps ingestion authentication file\n-----------------------------------------------\n\n1. Sign in to the Google SecOps console.\n2. Go to **SIEM Settings \\\u003e Collection Agents**.\n3. Download the **Ingestion Authentication File**. Save the file securely on the system where Bindplane will be installed.\n\nGet Google SecOps customer ID\n-----------------------------\n\n1. Sign in to the Google SecOps console.\n2. Go to **SIEM Settings \\\u003e Profile**.\n3. Copy and save the **Customer ID** from the **Organization Details** section.\n\nInstall the Bindplane agent\n---------------------------\n\nInstall the Bindplane agent on your Windows or Linux operating system according\nto the following instructions.\n\n### Windows installation\n\n1. Open the **Command Prompt** or **PowerShell** as an administrator.\n2. Run the following command:\n\n msiexec /i \"https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi\" /quiet\n\n### Linux installation\n\n1. Open a terminal with root or sudo privileges.\n2. Run the following command:\n\n sudo sh -c \"$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)\" install_unix.sh\n\n### Additional installation resources\n\nFor additional installation options, consult the [installation guide](/chronicle/docs/ingestion/use-bindplane-agent#install_the_bindplane_agent).\n\nConfigure the Bindplane agent to ingest Syslog and send to Google SecOps\n------------------------------------------------------------------------\n\n1. Access the configuration file:\n - Locate the `config.yaml` file. Typically, it's in the `/etc/bindplane-agent/` directory on Linux or in the installation directory on Windows.\n - Open the file using a text editor (for example, `nano`, `vi`, or Notepad).\n2. Edit the `config.yaml` file as follows:\n\n receivers:\n udplog:\n # Replace the port and IP address as required\n listen_address: \"0.0.0.0:514\"\n\n exporters:\n chronicle/chronicle_w_labels:\n compression: gzip\n # Adjust the path to the credentials file you downloaded in Step 1\n creds_file_path: '/path/to/ingestion-authentication-file.json'\n # Replace with your actual customer ID from Step 2\n customer_id: \u003ccustomer_id\u003e\n endpoint: malachiteingestion-pa.googleapis.com\n # Add optional ingestion labels for better organization\n log_type: 'VELO_FIREWALL'\n raw_log_field: body\n ingestion_labels:\n\n service:\n pipelines:\n logs/source0__chronicle_w_labels-0:\n receivers:\n - udplog\n exporters:\n - chronicle/chronicle_w_labels\n\n - Replace the port and IP address as required in your infrastructure.\n - Replace `\u003ccustomer_id\u003e` with the actual customer ID.\n - Update `/path/to/ingestion-authentication-file.json` to the path where the authentication file was saved in the [Get Google SecOps ingestion authentication file](/chronicle/docs/ingestion/default-parsers/vmware-velocloud-sdwan#get-auth-file) section.\n\nRestart the Bindplane agent to apply the changes\n------------------------------------------------\n\n- To restart the Bindplane agent in **Linux**, run the following command:\n\n sudo systemctl restart bindplane-agent\n\n- To restart the Bindplane agent in **Windows** , you can either use the\n **Services** console or enter the following command:\n\n net stop BindPlaneAgent && net start BindPlaneAgent\n\nConfigure Syslog for VMware VeloCloud SD-WAN\n--------------------------------------------\n\n1. Sign in to the **VeloCloud Enterprise Portal** web UI.\n2. Go to **SD-WAN service \\\u003e Configure \\\u003e Profiles**.\n3. Click the link to the **Profile** to configure a profile or click the **View link** in the **Device** column of the profile.\n4. Select **Configure Segment menu \\\u003e Global Segment** to configure **Syslog** settings.\n5. Under **Telemetry** , go to the **Syslog** area:\n\n 1. Select the **Enable Syslog** checkbox.\n 2. Click **+ Add**.\n 3. Provide the following configuration details:\n\n - **Facility** : Select **local0**.\n - **IP**: Enter the destination IP address of the Syslog collector.\n - **Protocol** : Select either **TCP** or **UDP** as the Syslog protocol.\n - **Port**: Enter the port number of the Syslog collector (default value is 514).\n - **Source Interface** : This field is set to **Auto** at the profile level. The Edge will automatically select an interface with the **Advertise** field set.\n - **Roles** : Select either **FIREWALL EVENT** or **EDGE AND FIREWALL EVENT**.\n - **Syslog Level** : Select **INFO**.\n - **All Segments** : Select the **All Segments** checkbox.\n\n | **Note:** If you don't select the **All Segments** checkbox, the Syslog collector will receive firewall logs only from the specific segment in which it is configured.\n6. Save your changes.\n\n7. Go to the **Firewall** page of the **Profile** configuration.\n\n8. Click **Syslog Forwarding** to forward firewall logs originating from the enterprise Edge to your configured Syslog collectors.\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
