Recoger registros de routers Cisco

Disponible en:

SecOps de Google SIEM

Nota: Esta función está cubierta por los Términos de las Ofertas Previas a la Disponibilidad General de los Términos Específicos del Servicio de Google Security Operations. Las funciones previas a la disponibilidad general pueden tener una asistencia limitada y los cambios que se produzcan en ellas podrían no ser compatibles con otras versiones previas a la disponibilidad general. Para obtener más información, consulta las directrices del servicio de asistencia técnica de Google SecOps y los Términos Específicos del Servicio de Google SecOps.

En este documento se explica cómo ingerir registros de routers Cisco en Google Security Operations mediante un agente de Bindplane. El analizador primero extrae los campos comunes de varios formatos de mensajes syslog mediante una serie de patrones Grok, que gestionan diferentes variaciones de datos de marca de tiempo y de clave-valor. A continuación, aplica una lógica específica basada en el tipo de evento extraído (facility, mnemonics o message_type), enriquece los datos con campos adicionales y los asigna al modelo de datos unificado.

Antes de empezar

• Asegúrate de que tienes una instancia de Google SecOps.
• Asegúrate de usar Windows 2016 o una versión posterior, o un host Linux con systemd.
• Si se ejecuta a través de un proxy, asegúrate de que los puertos del cortafuegos estén abiertos.
• Asegúrate de tener acceso con privilegios a un router de Cisco.

Obtener el archivo de autenticación de ingestión de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recogida.
3. Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instalación de ventanas

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el siguiente comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalación de Linux

1. Abre un terminal con privilegios de superusuario o sudo.

2. Ejecuta el siguiente comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalación adicionales

• Para ver otras opciones de instalación, consulta esta guía de instalación.

Configurar el agente de BindPlane para ingerir Syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración:

   1. Busca el archivo config.yaml. Normalmente, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
   2. Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: CISCO_ROUTER
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Sustituye el puerto y la dirección IP según sea necesario en tu infraestructura.

4. Sustituye <customer_id> por el ID de cliente real.

5. Actualiza /path/to/ingestion-authentication-file.json a la ruta en la que se guardó el archivo de autenticación en la sección Obtener el archivo de autenticación de ingestión de Google SecOps.

Reinicia el agente de Bindplane para aplicar los cambios

• Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurar Syslog en un router Cisco

1. Inicia sesión en el router de Cisco.

2. Escala los privilegios introduciendo el comando enable:

   Switch> enable
   Switch#
   

3. Cambia al modo de configuración introduciendo el comando conf t:

   Switch# conf t
   Switch(config)#
   

4. Introduce los comandos siguientes:

   logging host <bindplane-server-ip> transport <tcp/udp> port <port-number>
   logging source-interface <interface>
   

   • Sustituye <bindplane-server-ip> por la dirección IP del agente de Bindplane y <port-number> por el puerto configurado.
   • Sustituye <tcp/udp> por el protocolo de escucha configurado en el agente de BindPlane. Por ejemplo, udp.
   • Sustituye <interface> por el ID de interfaz de Cisco (por ejemplo, Ethernet1/1).

5. Define el nivel de prioridad introduciendo el siguiente comando:

   logging trap Informational 
   logging console Informational 
   logging severity Informational
   

6. Define la instalación de syslog:

   logging facility local6
   

7. Para habilitar las marcas de tiempo, introduce el siguiente comando:

   service timestamps log datetime
   

8. Guarda los cambios y sal.

9. Configura los ajustes para que se mantengan después de reiniciar introduciendo el siguiente comando:

   copy running-config startup-config
   

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
client_ip	target.ip, target.asset.ip	El valor se toma del campo client_ip extraído por el analizador grok.
client_mac	target.mac	El valor se toma del campo client_mac extraído por el analizador grok.
dst_ip	target.ip, target.asset.ip	El valor se toma del campo dst_ip extraído por el analizador grok.
dst_port	target.port	El valor se toma del campo dst_port extraído por el analizador grok y se convierte en un número entero.
duration	-	Este campo no está asignado a UDM.
host_ip	target.ip, target.asset.ip	El valor se toma del campo host_ip extraído por el analizador grok.
local_proxy	intermediary.ip	El valor se toma del campo local_proxy extraído por el analizador grok.
message_data	metadata.description	El valor se toma del campo message_data extraído por el analizador grok.
protocol	network.ip_protocol	El valor se toma del campo protocol extraído por el analizador grok y se convierte a mayúsculas.
received_bytes	network.received_bytes	El valor se toma del campo received_bytes extraído por el analizador grok y se convierte en un entero sin signo.
referral_url	network.http.referral_url	El valor se toma del campo referral_url extraído por el analizador grok.
remote_proxy	intermediary.ip	El valor se toma del campo remote_proxy extraído por el analizador grok.
send_bytes	network.sent_bytes	El valor se toma del campo send_bytes extraído por el analizador grok y se convierte en un entero sin signo.
sent_bytes	network.sent_bytes	El valor se toma del campo sent_bytes extraído por el analizador grok y se convierte en un entero sin signo.
server_host	target.hostname, target.asset.hostname	El valor se toma del campo server_host extraído por el analizador grok.
server_ip	target.ip, target.asset.ip	El valor se toma del campo server_ip extraído por el analizador grok.
src_ip	principal.ip, principal.asset.ip	El valor se toma del campo src_ip extraído por el analizador grok.
src_port	principal.port	El valor se toma del campo src_port extraído por el analizador grok y se convierte en un número entero.
user_ip	target.ip, target.asset.ip	El valor se toma del campo user_ip extraído por el analizador grok.
user_mail	principal.user.userid, principal.user.email_addresses	El valor se toma del campo user_mail extraído por el analizador grok.
username	target.user.userid	El valor se toma del campo username extraído por el analizador grok.
-	metadata.event_timestamp	El valor se toma del campo create_time.
-	metadata.event_type	El valor predeterminado es GENERIC_EVENT y se cambia a tipos de eventos específicos en función del mensaje de registro analizado.
-	metadata.log_type	El valor se ha definido como CISCO_ROUTER.
-	metadata.product_event_type	El valor se toma del campo message_type, que se genera combinando los campos facility, priority y mnemonics.
-	metadata.product_name	El valor se ha definido como Router.
-	metadata.vendor_name	El valor se ha definido como Cisco.
-	network.application_protocol	El valor es HTTP o HTTPS si el campo protocol es http o https, respectivamente.
-	extensions.auth.type	El valor se define como AUTHTYPE_UNSPECIFIED de forma predeterminada y se cambia a tipos de autenticación específicos en función del mensaje de registro analizado.
-	security_result.action	El valor es ALLOW si el inicio de sesión se ha realizado correctamente y BLOCK si no.
-	security_result.category	El valor es NETWORK_SUSPICIOUS para los eventos con opciones de IP y AUTH_VIOLATION para los inicios de sesión fallidos.
-	security_result.description	El valor que se asigna son mensajes específicos para distintos eventos.
-	security_result.severity	El valor es LOW si el inicio de sesión se realiza correctamente, MEDIUM si no se realiza correctamente y INFORMATIONAL en otros eventos.
-	security_result.severity_details	El valor se toma del campo fail_reason de los inicios de sesión fallidos y se asigna a Informational message en los eventos con opciones de IP.
-	security_result.summary	El valor que se asigna son mensajes específicos para distintos eventos.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.