Mengumpulkan log Cisco Application Control Engine (ACE)

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat Panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.

Dokumen ini menjelaskan cara menyerap log Cisco Application Control Engine (ACE) ke Google Security Operations menggunakan BindPlane. Parser mengekstrak informasi yang relevan dengan keamanan dari pesan SYSLOG. Alat ini menggunakan ekspresi reguler untuk mengidentifikasi jenis peristiwa tertentu, mengekstrak titik data utama seperti alamat dan port IP sumber atau tujuan, serta menyusunnya ke dalam Model Data Terpadu (UDM) untuk analisis yang konsisten.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

• Instance Google SecOps
• Windows 2016 atau yang lebih baru atau host Linux dengan systemd
• Jika berjalan di belakang proxy, pastikan port firewall terbuka
• Akses istimewa ke Cisco Application Control Engine

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download file autentikasi penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan.

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

1. Akses file konfigurasi:
   • Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
   • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

2. Edit file config.yaml sebagai berikut:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'CISCO_ACE'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
   • Ganti <customer_id> dengan ID pelanggan yang sebenarnya.
   • Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart bindplane-agent
  

• Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Mengonfigurasi syslog di Cisco Application Control Engine (ACE)

1. Login ke perangkat Cisco ACE.
2. Buka Menu Utama > Opsi Lanjutan > Konfigurasi Syslog.
3. Klik Add First Server, lalu klik OK.
4. Masukkan alamat IP dan nomor port agen Bindplane di kolom First Syslog Server.
5. Klik OK; sistem akan dimulai ulang dengan setelan baru.
6. Klik Oke lagi.
7. Klik Kembalikan.

Tabel pemetaan UDM

Kolom log	Pemetaan UDM	Logika
tindakan	security_result.action_details	Nilai diambil dari kolom action setelah operasi huruf kecil.
tindakan	security_result.action	Jika action adalah built, tetapkan ke ALLOW. Jika action adalah teardown, tetapkan ke BLOCK.
byte	network.sent_bytes	Hanya diisi untuk event_id 302025.
dst_interface	target.resource.attribute.labels.value
dst_ip	target.ip
dst_port	target.port
event_id	metadata.product_event_type
icmp_code_laddr	additional.fields.value.string_value	Kuncinya adalah icmp_code_laddr.
icmp_code_xlated	additional.fields.value.string_value	Kuncinya adalah icmp_code_xlated.
icmp_seq_num	additional.fields.value.string_value	Kuncinya adalah icmp_seq_num.
protokol	network.ip_protocol
protokol	metadata.description	Digunakan untuk mengisi deskripsi untuk jenis acara tertentu.
src_interface	principal.resource.attribute.labels.value
src_ip	principal.ip
src_port	principal.port
timestamp	metadata.event_timestamp.seconds	Dikonversi menjadi detik epoch.
	metadata.log_type	Hardcode ke CISCO_ACE.
	metadata.event_type	Tetapkan ke NETWORK_CONNECTION untuk ID peristiwa 302024, 302025, 302022, 302023, 302026, 302027. Setel ke SCAN_UNCATEGORIZED untuk ID acara 400000.
	target.resource.attribute.labels.key	Hardcode ke Connection Interface.
	principal.resource.attribute.labels.key	Hardcode ke Connection Interface.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.