Barracuda CloudGen Firewall-Logs erfassen
In diesem Dokument wird beschrieben, wie Sie Barracuda CloudGen Firewall-Logs mit Bindplane in Google Security Operations aufnehmen.
Hinweise
Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:
- Google SecOps-Instanz
- Windows 2016 oder höher oder ein Linux-Host mit
systemd
- Wenn die Ausführung hinter einem Proxy erfolgt, sind die Firewallports geöffnet.
- Barracuda CloudGen Firewall mit Firmware 8.3 oder höher
- Privilegierter Zugriff auf die Barracuda Firewall
Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen
- Melden Sie sich in der Google SecOps-Konsole an.
- Rufen Sie SIEM-Einstellungen > Collection Agents auf.
- Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.
Google SecOps-Kundennummer abrufen
- Melden Sie sich in der Google SecOps-Konsole an.
- Rufen Sie die SIEM-Einstellungen > „Profil“ auf.
- Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.
BindPlane-Agent installieren
Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.
Fenstereinbau
- Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.
Führen Sie dazu diesen Befehl aus:
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
Linux-Installation
- Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.
Führen Sie dazu diesen Befehl aus:
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
Zusätzliche Installationsressourcen
Weitere Installationsoptionen finden Sie im Installationsleitfaden.
BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren
- Rufen Sie die Konfigurationsdatei auf:
- Suchen Sie die Datei
config.yaml
. Normalerweise befindet sie sich unter Linux im Verzeichnis/etc/bindplane-agent/
oder unter Windows im Installationsverzeichnis. - Öffnen Sie die Datei mit einem Texteditor (z. B.
nano
,vi
oder Notepad).
- Suchen Sie die Datei
Bearbeiten Sie die Datei
config.yaml
so:receivers: udplog: # Replace the port and IP address as required listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the path to the credentials file you downloaded in Step 1 creds_file_path: '/path/to/ingestion-authentication-file.json' # Replace with your actual customer ID from Step 2 customer_id: <customer_id> endpoint: malachiteingestion-pa.googleapis.com # Add optional ingestion labels for better organization log_type: 'BARRACUDA_CLOUDGEN_FIREWALL' raw_log_field: body ingestion_labels: service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels
- Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
- Ersetzen Sie
<customer_id>
durch die tatsächliche Kunden-ID. - Aktualisieren Sie
/path/to/ingestion-authentication-file.json
auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen gespeichert wurde.
Bindplane-Agent neu starten, um die Änderungen zu übernehmen
Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:
sudo systemctl restart bindplane-agent
Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:
net stop BindPlaneAgent && net start BindPlaneAgent
Syslog für Barracuda CloudGen Firewall aktivieren
- Melden Sie sich auf Box-Ebene in der Barracuda Firewall Control Center an.
- Gehen Sie zu Konfiguration > Vollständige Konfiguration > Box > Infrastrukturdienste > Syslog-Streaming.
- Klicken Sie auf das Symbol Sperren, um die Bearbeitung zu aktivieren.
- Stellen Sie Enable Syslog Streaming (Syslog-Streaming aktivieren) auf Yes (Ja).
- Klicken Sie auf Änderungen senden> Aktivieren.
Logdatenfilter für Barracuda CloudGen Firewall konfigurieren
- Gehen Sie zu Konfiguration > Vollständige Konfiguration > Box > Infrastrukturdienste > Syslog-Streaming.
- Wählen Sie Logdata Filters (Filter für Protokolldaten) aus.
- Klicken Sie auf das Menü Konfigurationsmodus und wählen Sie Zur erweiterten Ansicht wechseln aus.
- Klicken Sie auf das Symbol Sperren, um die Bearbeitung zu aktivieren.
- Klicken Sie auf add Hinzufügen, um einen neuen Eintrag hinzuzufügen.
- Geben Sie im Dialogfeld Filter einen eindeutigen Namen an.
- Klicken Sie auf OK.
- Wählen Sie im Abschnitt Betroffene Box-Logdaten die Option Über Syslog gesendete Logs aus.
- Klicken Sie neben Datenauswahl auf Hinzufügen Hinzufügen.
- Geben Sie einen eindeutigen Namen für die Gruppe ein.
- Klicken Sie auf OK.
- Wählen Sie die folgenden Elemente unter Datenauswahl oder Ihre spezifischen Kategorien für die Protokollierung aus:
Auth-All
Config-All
Control-All
Event-All
Firewall-All
Network-All
Settings-All
SSH-All
System-All
- Wählen Sie die folgenden Elemente aus Nachrichtentypen oder Ihren spezifischen Schweregrad für die Protokollierung aus:
Panic
Security
Fatal
Error
Warning
Notice
- Klicken Sie auf OK.
- Klicken Sie auf Änderungen senden> Aktivieren.
Logstream-Ziel für Barracuda CloudGen Firewall konfigurieren
- Gehen Sie zu Konfiguration > Vollständige Konfiguration > Box > Infrastrukturdienste > Syslog-Streaming.
- Wählen Sie Logstream-Ziele aus.
- Klicken Sie auf das Menü Konfigurationsmodus und wählen Sie Zur erweiterten Ansicht wechseln aus.
- Klicken Sie auf das Symbol Sperren, um die Bearbeitung zu aktivieren.
- Klicken Sie auf Hinzufügen Hinzufügen, um einen neuen Eintrag hinzuzufügen.
- Geben Sie einen eindeutigen Namen für das Ziel an.
- Klicken Sie auf OK.
- Wählen Sie das neu erstellte Logstream Destination aus.
- Klicken Sie auf Explizite IP-Adresse.
- Geben Sie die folgenden Konfigurationsdetails an:
- Ziel-IP-Adresse: Geben Sie die IP-Adresse des Bindplane-Agents ein.
- Zielport: Geben Sie die Portnummer des Bindplane-Agents ein.
- Übertragungsmodus: Wählen Sie UDP aus.
- Klicken Sie auf OK.
- Klicken Sie auf Änderungen senden> Aktivieren.
Logdatenstreams für Barracuda CloudGen Firewall konfigurieren
- Gehen Sie zu Konfiguration > Vollständige Konfiguration > Box > Infrastrukturdienste > Syslog-Streaming.
- Wählen Sie Logdata Streams aus.
- Klicken Sie auf das Menü Konfigurationsmodus und wählen Sie Zur erweiterten Ansicht wechseln aus.
- Klicken Sie auf das Symbol Sperren, um die Bearbeitung zu aktivieren.
- Klicken Sie auf Hinzufügen Hinzufügen, um einen neuen Eintrag hinzuzufügen.
- Geben Sie einen eindeutigen Namen für die Konfiguration an.
- Klicken Sie auf OK.
- Setzen Sie Active Streams auf Yes.
- Legen Sie für Log Destinations (Protokollziele) das zuvor erstellte Ziel fest.
- Legen Sie für Log Filters (Logfilter) den zuvor erstellten Filter fest.
- Klicken Sie auf OK.
- Klicken Sie auf Änderungen senden> Aktivieren.
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten