收集 BlueCat Edge DNS Resolver 記錄

支援的國家/地區：

Google SecOps SIEM

注意： 這項功能受《Google Security Operations 服務專屬條款》的《正式發布前產品條款》規範。正式發布前的功能或許只提供部分支援，而且這類功能的變更可能與其他正式發布前版本不相容。詳情請參閱《Google SecOps 技術支援服務指南》和《Google SecOps 服務專屬條款》。

本文說明如何使用 Bindplane，將 BlueCat Edge DNS Resolver 擷取至 Google Security Operations。剖析器會先嘗試將輸入訊息剖析為 JSON。如果成功，系統會將各種欄位擷取並建構為 Unified Data Model (UDM) 結構定義，特別是與 DNS 相關的資訊。如果 JSON 剖析失敗，系統會嘗試其他剖析方法 (例如 grok 和鍵/值組合)，擷取相關資料並對應至 UDM 架構。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• Windows 2016 以上版本，或搭載 systemd 的 Linux 主機
• 如果透過 Proxy 執行，防火牆通訊埠已開啟
• BlueCat DNS/DHCP 的特殊存取權

取得 Google SecOps 擷取驗證檔案

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「設定檔」。
3. 複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以系統管理員身分開啟「命令提示字元」或「PowerShell」。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安裝

1. 開啟具有根層級或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安裝資源

如需其他安裝選項，請參閱安裝指南。

設定 BindPlane 代理程式，擷取 Syslog 並傳送至 Google SecOps

1. 存取設定檔：
   • 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄，或 Windows 的安裝目錄。
   • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

2. 按照下列方式編輯 config.yaml 檔案：

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: 'BLUECAT_EDGE'
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • 視基礎架構需求，替換通訊埠和 IP 位址。
   • 將 <customer_id> 替換為實際的客戶 ID。
   • 將 /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」一節中驗證檔案的儲存路徑。

重新啟動 Bindplane 代理程式，以套用變更

• 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

  sudo systemctl restart bindplane-agent
  

• 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，或輸入下列指令：

  net stop BindPlaneAgent && net start BindPlaneAgent
  

在 BlueCat Edge DNS Resolver 上設定 Syslog

1. 登入 BDDS 網頁 UI。
2. 前往「設定」>「伺服器」分頁。
3. 選取 BDDS 的名稱，開啟伺服器的「詳細資料」分頁。
4. 依序點選「伺服器名稱選單」>「服務設定」。
5. 依序點選「服務類型」>「Syslog」。
6. 提供下列設定詳細資料：
   • 選取「ISO 8601 時間戳記」核取方塊，即可為本機記錄的訊息使用 ISO 8601 時間戳記格式。
   • 伺服器：輸入 Bindplane 代理程式 IP 位址。
   • 「Port」(通訊埠)：輸入 Bindplane 代理程式通訊埠編號。
   • 等級：選取「資訊型」。
   • 選取「Use RFC5 424 Syslog Protocol」(使用 RFC5 424 系統記錄檔通訊協定) 核取方塊，即可為系統記錄檔訊息使用 RFC5 424 系統記錄檔通訊協定。
   • 選取「ISO 8601 時間戳記」核取方塊，即可對重新導向至遠端系統記錄伺服器的系統記錄訊息，使用 ISO 8601 時間戳記格式。
   • 在「服務類型」下方，選取「DNS」、「DHCP」和「所有其他服務」。
   • 傳輸：選取「UDP」。
   • 按一下「新增」。
7. 按一下「更新」。

UDM 對應表

記錄欄位	UDM 對應	邏輯
answer.domainName	network.dns.answers.name	DNS 回應 answer 區段中的網域名稱。移除結尾的 .。
answer.recordTypeId	network.dns.answers.type	DNS 回應 answer 區段中的記錄類型 ID，已轉換為不帶正負號的整數。
answer.ttl	network.dns.answers.ttl	DNS 回應 answer 部分的存留時間 (TTL) 值，已轉換為不帶正負號的整數。
customerId	target.user.userid	記錄中的客戶 ID，代表啟動 DNS 要求的使用者。
domain.domainName	network.dns.authority.data	DNS 回應的 authority 或 additional 區段中的網域名稱。移除結尾的 .。
主機名稱	principal.hostname	從原始記錄檔的 Host 標頭擷取的主機名稱，前提是記錄檔不是 JSON 格式。
方法	network.http.method	從原始記錄擷取的 HTTP 方法，僅限記錄不是 JSON 格式時。
parentDomain	principal.administrative_domain	所查詢 DNS 名稱的上層網域。移除結尾的 .。
通訊埠	principal.port	從原始記錄的 Host 標頭擷取的連接埠號碼 (僅限記錄不是 JSON 格式時)，並轉換為整數。
question.domainName	network.dns.questions.name	DNS 要求的 question 區段中的網域名稱。移除結尾的 .。
question.questionTypeId	network.dns.questions.type	DNS 要求的 question 部分中的問題類型 ID，已轉換為不帶正負號的整數。
responseData.header.aa	network.dns.authoritative	DNS 回應是否為權威回應，從 responseData 區段擷取。
responseData.header.id	network.dns.id	從 responseData 區段擷取的 DNS 訊息 ID，並轉換為不帶正負號的整數。
responseData.header.opcode	network.dns.opcode	從 responseData 區段擷取的 DNS 訊息運算碼，轉換為不帶正負號的整數。
responseData.header.ra	network.dns.recursion_available	是否提供遞迴，從 responseData 區段擷取。
responseData.header.rcode	network.dns.response_code	從 responseData 區段擷取的 DNS 回應代碼，轉換為不帶正負號的整數。
responseData.header.rd	network.dns.recursion_desired	是否選取遞迴，從 responseData 區段擷取。
responseData.header.tc	network.dns.truncated	DNS 訊息是否遭到截斷，或從 responseData 區段擷取。
servicePointId	additional.fields.value.string_value	記錄中的服務點 ID。
siteId	additional.fields.value.string_value	記錄中的網站 ID。
socketProtocol	network.ip_protocol	用於 DNS 要求的網路通訊協定 (TCP 或 UDP)。
sourceAddress	principal.ip	DNS 用戶端的 IP 位址。
sourcePort	principal.port	DNS 用戶端的通訊埠號碼，轉換為整數。
threat.indicators	security_result.category_details	與偵測到的威脅相關聯的指標。
threat.type	security_result.threat_name	偵測到的威脅類型。
時間	metadata.event_timestamp.seconds	從 time 欄位擷取 DNS 事件的時間戳記，並將單位從毫秒轉換為秒。
使用者代理程式	network.http.user_agent	從原始記錄擷取的使用者代理程式字串 (僅限記錄不是 JSON 格式時)。
	additional.fields.key	servicePointId、siteId、Content-Type 或 Content-Length，視原始記錄的內容而定。
	metadata.event_type	事件類型，如有 DNS 問題，請設為 NETWORK_DNS，否則請設為 GENERIC_EVENT。
	metadata.log_type	記錄類型，一律設為 BLUECAT_EDGE。
	network.application_protocol	應用程式通訊協定，如果存在 DNS 問題，則設為 DNS；如果擷取 HTTP 方法，則設為 HTTP；否則留空。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。