Coletar registros do switch Aruba

Compatível com:

Esse analisador extrai campos de mensagens syslog de chaveamento da Aruba usando padrões Grok e os mapeia para o modelo UDM. Ele processa vários campos, incluindo carimbos de data/hora, nomes de host, nomes de aplicativos, IDs de processo, IDs de evento e descrições, preenchendo os campos relevantes do UDM. O tipo de evento é definido com base na presença de informações principais.

Antes de começar

  • Verifique se você tem uma instância do Google Security Operations.
  • Verifique se você tem um Windows 2016 ou mais recente ou um host Linux com systemd.
  • Se estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas.
  • Garanta acesso privilegiado ao switch Aruba.

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Faça o download do arquivo de autenticação de transferência.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.
  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

  1. Para a instalação do Windows, execute o seguinte script:
    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
  2. Para a instalação do Linux, execute o seguinte script:
    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
  3. Outras opções de instalação podem ser encontradas neste guia de instalação.

Configurar o agente BindPlane para ingerir o Syslog e enviar ao Google SecOps

  1. Acesse a máquina em que o BindPlane está instalado.
  2. Edite o arquivo config.yaml da seguinte forma:

      receivers:
          tcplog:
              # Replace the below port <54525> and IP <0.0.0.0> with your specific values
              listen_address: "0.0.0.0:54525" 
    
      exporters:
          chronicle/chronicle_w_labels:
              compression: gzip
              # Adjust the creds location below according the placement of the credentials file you downloaded
              creds: '{ json file for creds }'
              # Replace <customer_id> below with your actual ID that you copied
              customer_id: <customer_id>
              endpoint: malachiteingestion-pa.googleapis.com
              # You can apply ingestion labels below as preferred
              ingestion_labels:
              log_type: SYSLOG
              namespace: aruba_switch
              raw_log_field: body
      service:
          pipelines:
              logs/source0__chronicle_w_labels-0:
                  receivers:
                      - tcplog
                  exporters:
                      - chronicle/chronicle_w_labels
    
  3. Reinicie o agente do BindPlane para aplicar as mudanças:

    sudo systemctl restart bindplane
    

Configurar o Syslog no switch Aruba

  1. Conecte-se ao switch Aruba pelo Console:

      ssh admin@<switch-ip>
    
  2. Conecte-se ao switch Aruba usando uma interface da Web:

    • Acesse a GUI da Web do switch Aruba.
    • Faça a autenticação com as credenciais de administrador do switch.
  3. Ative o Syslog usando a configuração da CLI:

    • Entrar no modo de configuração global:

      configure terminal
      
    • Especifique o servidor syslog externo:

      logging <bindplane-ip>:<bindplane-port>
      
    • Substitua <bindplane-ip> e <bindplane-port> pelo endereço do agente de bindplane.

  4. Opcional: defina o nível de gravidade da geração de registros:

      logging severity <level>
    
  5. Opcional: adicione um identificador (tag) de origem de registro personalizado:

      logging facility local5
    
  6. Salve a configuração:

      write memory
    
  7. Ative o Syslog usando a configuração da interface da Web:

    • Faça login na interface da Web do switch Aruba.
    • Acesse Sistema > Registros > Syslog.
    • Adicione os parâmetros do servidor syslog:
    • Insira o endereço IP do Bindplane.
    • Insira a porta Bindplane.
    • Defina o Nível de gravidade para controlar a quantidade de detalhes dos registros.
    • Clique em Salvar.

Tabela de mapeamento do UDM

Campo de registro Mapeamento do UDM Lógica
app principal.application O valor do campo app do registro bruto é atribuído diretamente a principal.application.
description security_result.description O valor do campo description do registro bruto é atribuído diretamente a security_result.description.
event_id additional.fields.key A string "event_id" é atribuída a additional.fields.key.
event_id additional.fields.value.string_value O valor do campo event_id do registro bruto é atribuído diretamente a additional.fields.value.string_value.
host principal.asset.hostname O valor do campo host do registro bruto é atribuído diretamente a principal.asset.hostname.
host principal.hostname O valor do campo host do registro bruto é atribuído diretamente a principal.hostname.
pid principal.process.pid O valor do campo pid do registro bruto é atribuído diretamente a principal.process.pid.
ts metadata.event_timestamp O valor do campo ts do registro bruto é convertido em um carimbo de data/hora e atribuído a metadata.event_timestamp. O carimbo de data/hora também é usado para o campo timestamp de nível superior no UDM. O metadata.event_type é definido como "STATUS_UPDATE" porque a variável principal_mid_present é definida como "true" no analisador quando o campo host está presente no registro bruto. A string "ARUBA_SWITCH" é atribuída a metadata.product_name no analisador. A string "ARUBA SWITCH" é atribuída a metadata.vendor_name no analisador. O analisador tenta extrair e analisar o agente do usuário do registro bruto usando client.userAgent.rawUserAgent. Se for bem-sucedido, o agente do usuário analisado será atribuído a network.http.parsed_user_agent. No entanto, como os registros brutos fornecidos não contêm esse campo, ele provavelmente estará vazio. O analisador tenta extrair o agente do usuário bruto do registro bruto usando client.userAgent.rawUserAgent. Se for bem-sucedido, o agente do usuário bruto será atribuído a network.http.user_agent. No entanto, como os registros brutos fornecidos não contêm esse campo, ele provavelmente estará vazio.

Alterações

2024-04-18

  • Parser recém-criado.