Mengumpulkan log Cisco Firewall Service Module (FWSM)

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat Panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.

Dokumen ini menjelaskan cara menyerap log Cisco Firewall Service Module (FWSM) ke Google Security Operations menggunakan Bindplane. Parser pertama-tama mengekstrak kolom umum seperti stempel waktu, alamat IP, dan deskripsi peristiwa dari pesan syslog appliance menggunakan pola Grok. Kemudian, informasi yang diekstrak dipetakan ke skema Model Data Terpadu (UDM) standar, mengonversi jenis data, mengganti nama kolom, dan memperkaya output dengan klasifikasi terkait keamanan berdasarkan nilai dan kata kunci tertentu.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

• Instance Google SecOps
• Windows 2016 atau yang lebih baru, atau host Linux dengan systemd
• Jika berjalan di belakang proxy, pastikan port firewall terbuka
• Akses istimewa ke appliance Cisco FWSM

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download file autentikasi penyerapan.
   • Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan.

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

1. Akses file konfigurasi:
   • Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
   • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

2. Edit file config.yaml sebagai berikut:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'CISCO_FWSM'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
   • Ganti <customer_id> dengan ID pelanggan yang sebenarnya.
   • Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart bindplane-agent
  

• Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Mengonfigurasi Syslog di Cisco FWSM

1. Login ke Cisco FWSM menggunakan SSH atau koneksi konsol.

2. Mengonfigurasi logging:

   logging on
   

3. Mengonfigurasi tingkat logging:

   logging trap <level>
   

   • Ubah tingkat perangkap logging menjadi 6 (informasi).

4. Konfigurasi setelan syslog:

   logging host [interface] bindplane_ip_address udp[/bindplane_port]
   

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
1.1.1.1	observer.ip	Diekstrak dari pesan log menggunakan pola grok.
2.2.2.2	principal.ip target.ip	Diekstrak dari pesan log menggunakan pola grok. IP tujuan dipetakan ke principal.ip atau target.ip berdasarkan arah koneksi. Jika dst outside, alamat IP akan dipetakan ke principal.ip, jika tidak, akan dipetakan ke target.ip.
3.3.3.3	principal.ip target.ip	Diekstrak dari pesan log menggunakan pola grok. IP sumber dipetakan ke principal.ip atau target.ip berdasarkan arah koneksi. Jika dst outside, alamat IP akan dipetakan ke principal.ip, jika tidak, akan dipetakan ke target.ip.
3 Apr 10.35.40		Stempel waktu ini tidak dicatat di UDM.
3 Apr 10.44.38		Stempel waktu ini tidak dicatat di UDM.
3 Apr 11.20.34		Stempel waktu ini tidak dicatat di UDM.
3 Apr 11.20.38		Stempel waktu ini tidak dicatat di UDM.
29 Apr 16:09:44		Stempel waktu ini tidak dicatat di UDM.
Tolak	security_result.action_details	Diekstrak dari pesan log menggunakan pola grok.
Ditolak	security_result.action_details	Diekstrak dari pesan log menggunakan pola grok.
FWSM-3-106011	metadata.product_event_type	Diekstrak dari pesan log menggunakan pola grok.
FWSM-3-313001	metadata.product_event_type	Diekstrak dari pesan log menggunakan pola grok.
FWSM-4-106023	metadata.product_event_type	Diekstrak dari pesan log menggunakan pola grok.
FWSM-4-302010	metadata.product_event_type	Diekstrak dari pesan log menggunakan pola grok.
FWSM-4-302016	metadata.product_event_type	Diekstrak dari pesan log menggunakan pola grok.
ICMP	network.ip_protocol	Diekstrak dari pesan log menggunakan pola grok dan dikonversi menjadi huruf besar.
TCP	network.ip_protocol	Diekstrak dari pesan log menggunakan pola grok dan dikonversi menjadi huruf besar.
Pembongkaran	security_result.action_details	Diekstrak dari pesan log menggunakan pola grok.
UDP	network.ip_protocol	Diekstrak dari pesan log menggunakan pola grok dan dikonversi menjadi huruf besar.
111	target.port	Diekstrak dari pesan log menggunakan pola grok dan dikonversi menjadi bilangan bulat. Jika dst outside, maka akan dipetakan ke principal.port, jika tidak, maka akan dipetakan ke target.port.
17608	principal.port	Diekstrak dari pesan log menggunakan pola grok dan dikonversi menjadi bilangan bulat. Jika dst outside, maka akan dipetakan ke principal.port, jika tidak, maka akan dipetakan ke target.port.
3000	principal.port	Diekstrak dari pesan log menggunakan pola grok dan dikonversi menjadi bilangan bulat. Jika dst outside, maka akan dipetakan ke principal.port, jika tidak, maka akan dipetakan ke target.port.
33103	target.port	Diekstrak dari pesan log menggunakan pola grok dan dikonversi menjadi bilangan bulat. Jika dst outside, maka akan dipetakan ke principal.port, jika tidak, maka akan dipetakan ke target.port.
514	principal.port target.port	Diekstrak dari pesan log menggunakan pola grok dan dikonversi menjadi bilangan bulat. Jika dst outside, maka akan dipetakan ke principal.port, jika tidak, maka akan dipetakan ke target.port.
	metadata.description	Seluruh kolom descrip dari log mentah dipetakan ke kolom ini.
	metadata.event_timestamp	Stempel waktu dari objek batch digunakan sebagai stempel waktu peristiwa.
	metadata.event_type	Ditentukan berdasarkan keberadaan IP sumber dan tujuan: - NETWORK_CONNECTION: IP sumber dan tujuan ada. - STATUS_UPDATE: hanya IP sumber yang ada. - GENERIC_EVENT: IP sumber maupun tujuan tidak ada.
	metadata.product_name	Hardcode ke CISCO_FWSM.
	metadata.vendor_name	Hardcode ke CISCO.
	principal.resource.type	Dipetakan dari kolom facility yang diekstrak dari pesan log.
	security_result.action	Tetapkan ke BLOCK jika kolom action adalah salah satu dari Deny, Teardown, denied, atau Denied.
	security_result.severity	Ditentukan berdasarkan kolom severity_level: - 7, 6: INFORMASI - 5: RENDAH - 4: SEDANG - 3: ERROR - 2: TINGGI - lainnya: KRITIS
	network.direction	Dipetakan dari kolom direction yang diekstrak dari pesan log. Jika kolom direction adalah inbound, kolom ini akan ditetapkan ke INBOUND.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.