Cisco UCS 로그 수집
이 문서에서는 Bindplane을 사용하여 Cisco UCS 로그를 Google Security Operations에 수집하는 방법을 설명합니다. 파서 코드는 먼저 원시 로그 메시지를 JSON으로 파싱하려고 시도합니다. 이 방법이 실패하면 일반적인 Cisco UCS 로그 형식을 기반으로 정규 표현식 (grok
패턴)을 사용하여 메시지에서 필드를 추출합니다.
.
시작하기 전에
다음 기본 요건이 충족되었는지 확인합니다.
- Google SecOps 인스턴스
- Windows 2016 이상 또는 systemd가 있는 Linux 호스트
- 프록시 뒤에서 실행하는 경우 방화벽 포트가 열려 있음
- Cisco UCS에 대한 액세스 권한
Google SecOps 수집 인증 파일 가져오기
- Google SecOps 콘솔에 로그인합니다.
- SIEM 설정 > 수집 에이전트로 이동합니다.
- 수집 인증 파일을 다운로드합니다. Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.
Google SecOps 고객 ID 가져오기
- Google SecOps 콘솔에 로그인합니다.
- SIEM 설정 > 프로필로 이동합니다.
- 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.
Bindplane 에이전트 설치
Windows 설치
- 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.
다음 명령어를 실행합니다.
```cmd msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet ```
Linux 설치
- 루트 또는 sudo 권한으로 터미널을 엽니다.
다음 명령어를 실행합니다.
```bash sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh ```
추가 설치 리소스
추가 설치 옵션은 설치 가이드를 참고하세요.
Syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성
구성 파일에 액세스합니다.
config.yaml
파일을 찾습니다. 일반적으로 Linux에서는/etc/bindplane-agent/
디렉터리에 있고 Windows에서는 설치 디렉터리에 있습니다.- 텍스트 편집기 (예:
nano
,vi
, 메모장)를 사용하여 파일을 엽니다.
다음과 같이
config.yaml
파일을 수정합니다.receivers: udplog: # Replace the port and IP address as required listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the path to the credentials file you downloaded in Step 1 creds: '/path/to/ingestion-authentication-file.json' # Replace with your actual customer ID from Step 2 customer_id: <customer_id> endpoint: malachiteingestion-pa.googleapis.com # Add optional ingestion labels for better organization ingestion_labels: log_type: CISCO_UCS raw_log_field: body service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels
인프라에 필요한 대로 포트와 IP 주소를 바꿉니다.
<customer_id>
를 실제 고객 ID로 바꿉니다.Google SecOps 수집 인증 파일 가져오기 섹션에서 인증 파일이 저장된 경로로
/path/to/ingestion-authentication-file.json
를 업데이트합니다.
Bindplane 에이전트를 다시 시작하여 변경사항 적용
Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.
```bash sudo systemctl restart bindplane-agent ```
Windows에서 Bindplane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.
```cmd net stop BindPlaneAgent && net start BindPlaneAgent ```
Cisco UCS용 Syslog 구성
- Cisco UCS Manager에 로그인합니다.
- 관리 탭을 선택합니다.
- 오류, 이벤트, 감사 로그를 펼칩니다.
- Syslog를 선택합니다.
- 파일 카테고리를 찾아 관리자 상태를 사용 설정됨으로 선택합니다.
- 메뉴에서 알람 수준을 선택합니다 (예: 경고).
- 변경사항 저장을 클릭합니다.
- 오른쪽에서 원격 대상 카테고리를 찾습니다.
- 서버 1 관리자 상태를 사용으로 선택합니다.
- 다음 구성 세부정보를 제공합니다.
- 수준: 정보를 선택합니다.
- 호스트 이름: Bindplane IP 주소를 입력합니다. UCS의 기본 포트는
514
입니다. - Facility: Local7을 선택합니다.
- 변경사항 저장을 클릭합니다.
UDM 매핑 테이블
로그 필드 | UDM 매핑 | 논리 |
---|---|---|
애플리케이션 | read_only_udm.principal.application | Grok 패턴으로 추출된 'application' 필드에서 가져온 값입니다. |
내림차순 | read_only_udm.security_result.description | Grok 패턴으로 추출된 'desc' 필드에서 가져온 값입니다. |
내림차순 | read_only_udm.security_result.severity | 'desc' 필드에 Warning 이 포함된 경우 HIGH 로 설정합니다. |
filename | read_only_udm.principal.process.file.full_path | Grok 패턴으로 추출된 'filename' 필드에서 가져온 값입니다. |
file_size | read_only_udm.principal.process.file.size | Grok 패턴으로 추출된 'file_size' 필드에서 가져온 값으로, 부호 없는 정수로 변환됩니다. |
호스트 | read_only_udm.principal.ip | Grok 패턴으로 추출된 'host' 필드에서 가져온 값입니다. |
호스트 이름 | read_only_udm.principal.hostname | Grok 패턴으로 추출된 'hostname' 필드에서 가져온 값입니다. |
prod_evt_type | read_only_udm.metadata.product_event_type | Grok 패턴으로 추출된 'prod_evt_type' 필드에서 가져온 값입니다. |
서비스 | read_only_udm.target.application | Grok 패턴으로 추출된 'service' 필드에서 가져온 값입니다. |
줄이는 것을 | read_only_udm.security_result.severity | 'severity' 필드에 error 이 포함된 경우 (대소문자 구분 안 함) ERROR 로 설정합니다. |
타임스탬프 | read_only_udm.metadata.event_timestamp.seconds | Grok 패턴으로 추출된 'timestamp' 필드에서 가져온 값으로, 타임스탬프로 파싱됩니다. |
사용자 | read_only_udm.principal.user.userid | Grok 패턴으로 추출된 'user' 필드에서 가져온 값입니다. |
read_only_udm.extensions.auth.type | 'user' 필드가 비어 있지 않으면 MACHINE 로 설정합니다. |
|
read_only_udm.metadata.event_type | 필드 존재 여부에 따른 로직: 'user' 필드가 비어 있지 않은 경우 - USER_LOGIN - 'hostname' 및 'host' 필드가 모두 비어 있는 경우 GENERIC_EVENT - 그렇지 않으면 STATUS_UPDATE 입니다. |
|
read_only_udm.metadata.log_type | CISCO_UCS 로 하드코딩되었습니다. |
|
read_only_udm.metadata.product_name | Cisco UCS 로 하드코딩되었습니다. |
|
read_only_udm.metadata.vendor_name | Cisco 로 하드코딩되었습니다. |
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.