Cette page a été traduite par l'API Cloud Translation.

Collecter les journaux VMware VeloCloud SD-WAN

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux VMware VeloCloud SD-WAN dans Google Security Operations à l'aide de Bindplane.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Instance Google SecOps
Windows 2016 ou version ultérieure, ou un hôte Linux avec systemd
Si vous exécutez le programme derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts.
Accès privilégié à VMware VeloCloud SD-WAN
Un réseau privé virtuel (VPN) cloud (VPN de branche à branche) configuré entre le périphérique Edge et le collecteur Syslog (agent Bindplane)

Obtenir le fichier d'authentification d'ingestion Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres du SIEM > Agents de collecte.
Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM> Profil.
Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de fenêtres

Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

Exécutez la commande suivante :

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installation de Linux

Ouvrez un terminal avec les droits root ou sudo.

Exécutez la commande suivante :

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Ressources d'installation supplémentaires

Pour plus d'options d'installation, consultez le guide d'installation.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

Accédez au fichier de configuration :
- Trouvez le fichier config.yaml. En règle générale, il se trouve dans le répertoire /etc/bindplane-agent/ sous Linux ou dans le répertoire d'installation sous Windows.
- Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou le Bloc-notes).

Modifiez le fichier config.yaml comme suit :

receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'VELO_FIREWALL'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
Remplacez <customer_id> par le numéro client réel.
Mettez à jour /path/to/ingestion-authentication-file.json en indiquant le chemin d'accès où le fichier d'authentification a été enregistré dans la section Obtenir le fichier d'authentification pour l'ingestion Google SecOps.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :
```
sudo systemctl restart bindplane-agent
```
Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

Configurer Syslog pour VMware VeloCloud SD-WAN

Connectez-vous à l'interface utilisateur Web du portail VeloCloud Enterprise.
Accédez à Service SD-WAN > Configurer > Profils.
Cliquez sur le lien Profil pour configurer un profil ou sur le lien Afficher dans la colonne Appareil du profil.
Sélectionnez Menu "Configurer le segment" > Segment global pour configurer les paramètres Syslog.
Sous Télémétrie, accédez à la zone Syslog :
1. Cochez la case Activer Syslog.
2. Cliquez sur + Ajouter.
3. Fournissez les informations de configuration suivantes :
  - Facility : sélectionnez local0.
  - Adresse IP : saisissez l'adresse IP de destination du collecteur Syslog.
  - Protocole : sélectionnez TCP ou UDP comme protocole Syslog.
  - Port : saisissez le numéro de port du collecteur Syslog (la valeur par défaut est 514).
  - Interface source : ce champ est défini sur Auto au niveau du profil. Edge sélectionne automatiquement une interface avec le champ Advertise défini.
  - Rôles : sélectionnez ÉVÉNEMENT DE PARE-FEU ou ÉVÉNEMENT DE PARE-FEU ET DE PÉRIPHÉRIE.
  - Niveau Syslog : sélectionnez INFO.
  - Tous les segments : cochez la case Tous les segments.
    
    Remarque : Si vous ne cochez pas la case Tous les segments, le collecteur Syslog ne recevra les journaux du pare-feu que du segment spécifique dans lequel il est configuré.
Enregistrez les modifications.
Accédez à la page Pare-feu de la configuration du profil.
Cliquez sur Transfert Syslog pour transférer les journaux de pare-feu provenant de l'Edge d'entreprise vers vos collecteurs Syslog configurés.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.