Mengumpulkan log Cisco APIC

Didukung di:

Dokumen ini menjelaskan cara menyerap log Cisco APIC ke Google Security Operations menggunakan Bindplane. Parser mengekstrak kolom dari log yang diformat syslog. Log ini menggunakan grok dan/atau kv untuk mengurai pesan log, lalu memetakan nilai ini ke Model Data Terpadu (UDM). Layanan ini juga menetapkan nilai metadata default untuk sumber dan jenis peristiwa.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

  • Instance Google SecOps
  • Windows 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Jika berjalan di belakang proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
  • Akses istimewa ke konsol pengelolaan Cisco APIC

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi penginstalan tambahan

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

  1. Akses file konfigurasi:

    1. Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
    2. Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

  2. Edit file config.yaml sebagai berikut:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Specify the log type that matches your Chronicle feed configuration
    # Commonly used: CISCO_ACI or CISCO_APIC depending on your setup
    log_type: 'CISCO_APIC'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
    • Ganti <customer_id> dengan ID pelanggan yang sebenarnya.
    • Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.
    • Pastikan nilai log_type cocok dengan Jenis log yang dipilih dalam konfigurasi feed Google SecOps Anda.

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart bindplane-agent

  • Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

    net stop BindPlaneAgent && net start BindPlaneAgent

Mengonfigurasi penerusan Syslog di Cisco APIC

Mengonfigurasi Kontrak Pengelolaan

  1. Login ke konsol Cisco APIC.
  2. Buka Tenants > mgmt > Security Policies.
  3. Periksa apakah kontrak pengelolaan mengizinkan UDP di port 514:
    • Untuk pengelolaan Out-of-Band: Pastikan kontrak OOB mengizinkan port UDP 514.
    • Untuk pengelolaan Dalam Band (In-Band): Pastikan kontrak INB mengizinkan port UDP 514.
  4. Jika diperlukan, buat atau ubah filter untuk mengizinkan port UDP 514 untuk EPG pengelolaan yang dipilih.

Membuat Grup Tujuan Pemantauan Syslog

  1. Buka Admin > Pengumpul Data Eksternal > Tujuan Pemantauan > Syslog.
  2. Klik tanda + untuk Membuat Grup Tujuan Pemantauan Syslog.
  3. Berikan detail konfigurasi berikut:
    • Nama: Masukkan nama deskriptif (misalnya, Google SecOps Syslog).
    • Deskripsi: Masukkan deskripsi (misalnya, Syslog destination for Google SecOps).
    • Admin State: Pilih enabled.
    • Format: Pilih aci (direkomendasikan) atau nxos.
  4. Klik Berikutnya.
  5. Di bagian Create Syslog Remote Destination, berikan detail konfigurasi berikut:
    • Nama Host/IP: Masukkan alamat IP BindPlane Agent.
    • Nama: Masukkan nama deskriptif untuk tujuan.
    • Admin State: Pilih enabled.
    • Tingkat keparahan: Pilih informasi (atau tingkat keparahan pilihan Anda).
    • Port: Masukkan 514 (atau port yang dikonfigurasi di Agen BindPlane).
    • EPG pengelolaan: Pilih EPG pengelolaan yang sesuai:
      • default (Out-of-Band) untuk pengelolaan OOB
      • inb-default untuk pengelolaan In-Band
    • Fasilitas Penerusan: Pilih local7 (atau fasilitas pilihan Anda).
  6. Klik Oke.
  7. Tinjau konfigurasi, lalu klik Selesai.

Mengonfigurasi Sumber Syslog Kebijakan Fabric

  1. Buka Fabric > Fabric Policies > Monitoring Policies.
  2. Luaskan default, lalu pilih Callhome/SNMP/Syslog.
  3. Klik tanda + untuk membuat sumber syslog.
  4. Berikan detail konfigurasi berikut:
    • Nama Sumber: Masukkan nama (misalnya, fabric-syslog-source).
    • Tingkat Keparahan Min: Pilih informasi.
    • Sertakan: Pilih Centang Semua untuk menyertakan Log audit, Peristiwa, Kesalahan, dan Log sesi.
    • Grup Tujuan: Pilih grup tujuan pemantauan syslog yang dibuat sebelumnya.
  5. Klik Kirim.

Mengonfigurasi Sumber Syslog Kebijakan Umum

  1. Buka Fabric > Fabric Policies > Monitoring Policies.
  2. Luaskan common, lalu pilih Callhome/SNMP/Syslog.
  3. Klik + untuk membuat sumber syslog.
  4. Berikan detail konfigurasi berikut:
    • Nama Sumber: Masukkan nama (misalnya, common-syslog-source).
    • Tingkat Keparahan Min: Pilih informasi.
    • Sertakan: Pilih Centang Semua untuk menyertakan Log audit, Peristiwa, Kesalahan, dan Log sesi.
    • Grup Tujuan: Pilih grup tujuan pemantauan syslog yang dibuat sebelumnya.
  5. Klik Kirim.

Mengonfigurasi Sumber Syslog Kebijakan Akses

  1. Buka Fabric > Access Policies > Monitoring Policies.
  2. Luaskan default, lalu pilih Callhome/SNMP/Syslog.
  3. Klik tanda + untuk membuat sumber syslog.
  4. Berikan detail konfigurasi berikut:
    • Nama Sumber: Masukkan nama (misalnya, access-syslog-source).
    • Tingkat Keparahan Min: Pilih informasi.
    • Sertakan: Pilih Centang Semua untuk menyertakan Log audit, Peristiwa, Kesalahan, dan Log sesi.
    • Grup Tujuan: Pilih grup tujuan pemantauan syslog yang dibuat sebelumnya.
  5. Klik Kirim.

Mengonfigurasi Kebijakan Pesan Sistem (Opsional)

  1. Buka Fabric > Fabric Policies > Monitoring Policies.
  2. Luaskan common > System Message Policies.
  3. Pilih Kebijakan untuk Pesan Syslog Sistem.
  4. Pilih fasilitas default.
  5. Ubah Tingkat keparahan menjadi informasi.
  6. Klik Perbarui.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.