Esta página foi traduzida pela API Cloud Translation.

Recolha registos do balanceador de carga de rede A10

Compatível com:

Google secops SIEM

Este documento explica como exportar registos do equilibrador de carga de rede A10 para o Google Security Operations através de um agente Bindplane. O analisador usa primeiro padrões grok para extrair campos relevantes. Em seguida, tira partido das declarações condicionais (if) para mapear os campos extraídos para o modelo de dados unificado (UDM) com base na respetiva presença e conteúdo, categorizando, em última análise, o tipo de evento.

Antes de começar

Certifique-se de que tem uma instância do Google SecOps.
Certifique-se de que está a usar o Windows 2016 ou posterior, ou um anfitrião Linux com systemd.
Se estiver a executar o serviço através de um proxy, certifique-se de que as portas da firewall estão abertas.
Certifique-se de que tem acesso privilegiado ao balanceador de carga A10.

Obtenha o ficheiro de autenticação de carregamento do Google SecOps

Inicie sessão na consola Google SecOps.
Aceda a Definições do SIEM > Agentes de recolha.
Transfira o ficheiro de autenticação de carregamento. Guarde o ficheiro de forma segura no sistema onde o Bindplane vai ser instalado.

Obtenha o ID de cliente do Google SecOps

Inicie sessão na consola Google SecOps.
Aceda a Definições do SIEM > Perfil.
Copie e guarde o ID do cliente da secção Detalhes da organização.

Instale o agente do Bindplane

Instalação do Windows

Abra a Linha de comandos ou o PowerShell como administrador.

Execute o seguinte comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

Abra um terminal com privilégios de raiz ou sudo.

Execute o seguinte comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalação adicionais

Para ver opções de instalação adicionais, consulte este guia de instalação.

Configure o agente Bindplane para carregar o Syslog e enviá-lo para o Google SecOps

Aceda ao ficheiro de configuração:
1. Localize o ficheiro config.yaml. Normalmente, encontra-se no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
2. Abra o ficheiro com um editor de texto (por exemplo, nano, vi ou Bloco de notas).

Edite o ficheiro config.yaml da seguinte forma:

receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: A10_LOAD_BALANCER
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
Substitua <customer_id> pelo ID de cliente real.
Atualize /path/to/ingestion-authentication-file.json para o caminho onde o ficheiro de autenticação foi guardado na secção Obtenha o ficheiro de autenticação de carregamento do Google SecOps.

Reinicie o agente do Bindplane para aplicar as alterações

Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:
```
sudo systemctl restart bindplane-agent
```
Para reiniciar o agente do Bindplane no Windows, pode usar a consola Services ou introduzir o seguinte comando:
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

Configure o servidor Syslog no balanceador de carga A10

Estabeleça uma ligação SSH ao balanceador de carga A10 através de um cliente SSH.
Introduza o modo de configuração executando o seguinte comando:
```
config
```
Configure o servidor syslog remoto com o seguinte comando:
```
logging host <bindplane-server-ip> <port-number>
```
- Substitua <bindplane-server-ip> pelo endereço IP do Bindplane e <port-number> pelo valor configurado no Bindplane; por exemplo, 514.
Defina o nível de gravidade com o seguinte comando:
```
logging level information
```
- Esta ação envia mensagens informativas (como avisos e erros) para o agente do Bindplane.
Certifique-se de que o registo syslog está ativado executando o seguinte comando:
```
logging enable
```
Guarde a configuração para garantir que esta se mantém após um reinício:
```
write memory
```

Exemplo de uma configuração completa da CLI:

config
logging host 192.168.1.100 514
logging level info
logging enable
write memory

Tabela de mapeamento da UDM

Campo de registo	Mapeamento do UDM	Lógica
dns	additional.fields.dns.value.string_value	O valor é retirado do campo `dns` extraído pelo padrão grok.
dns_server	additional.fields.dns_server.value.string_value	O valor é retirado do campo `dns_server` extraído pelo padrão grok.
gslb	additional.fields.gslb.value.string_value	O valor é retirado do campo `gslb` extraído pelo padrão grok.
host_name	principal.hostname principal.asset.hostname	O valor é retirado do campo `host_name` extraído pelo padrão grok.
httpmethod	network.http.method	O valor é retirado do campo `httpmethod` extraído pelo padrão grok.
partion_id	additional.fields.partion_id.value.string_value	O valor é retirado do campo `partion_id` extraído pelo padrão grok.
prin_ip	principal.ip principal.asset.ip	O valor é retirado do campo `prin_ip` extraído pelo padrão grok.
prin_mac	principal.mac	O valor é retirado do campo `prin_mac` extraído pelo padrão grok, com os pontos removidos e os dois pontos inseridos a cada dois carateres.
prin_port	principal.port	O valor é retirado do campo `prin_port` extraído pelo padrão grok e convertido num número inteiro.
proto	network.ip_protocol	O valor é retirado do campo `proto` extraído pelo padrão grok. Se o campo `message` contiver `UDP`, o valor é definido como `UDP`.
sessionid	network.session_id	O valor é retirado do campo `sessionid` extraído pelo padrão grok.
status_code	network.http.response_code	O valor é retirado do campo `status_code` extraído pelo padrão grok e convertido num número inteiro.
tar_ip	target.ip target.asset.ip	O valor é retirado do campo `tar_ip` extraído pelo padrão grok.
tar_mac	target.mac	O valor é retirado do campo `tar_mac` extraído pelo padrão grok, com os pontos removidos e os dois pontos inseridos a cada dois carateres.
tar_port	target.port	O valor é retirado do campo `tar_port` extraído pelo padrão grok e convertido num número inteiro.
tempo	metadata.event_timestamp.seconds	O valor é analisado a partir do campo `time` extraído pelo padrão grok, usando vários formatos de data possíveis.
url	target.url	O valor é retirado do campo `url` extraído pelo padrão grok.
utilizador	principal.user.userid	O valor é retirado do campo `user` extraído pelo padrão grok.
N/A	metadata.event_type	Determinado pela lógica de análise com base na presença de informações principais e de destino: - `NETWORK_CONNECTION`: se as informações principais e de destino estiverem presentes. – `STATUS_UPDATE`: se apenas estiverem presentes informações do diretor. - `GENERIC_EVENT`: caso contrário.
N/A	metadata.log_type	Codificado para `A10_LOAD_BALANCER`.
N/A	network.application_protocol	Defina como `HTTP` se o campo `proto` for `HTTP`.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.