Raccogliere i log di Cisco VCS

Supportato in:

Google secops SIEM

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini specifici del servizio Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per ulteriori informazioni, consulta le linee guida per il servizio di assistenza tecnica di Google SecOps e i Termini di servizio specifici di Google SecOps.

Questo documento spiega come importare i log di Cisco VCS (Video Communication Service), (controllato tramite ExpressWay) in Google Security Operations utilizzando Bindplane. Il parser estrae i campi dai messaggi syslog, li normalizza in un Unified Data Model (UDM) e classifica il tipo di evento in base ai dettagli estratti, come indirizzi IP, porte e azioni. Gestisce vari formati di log, estrae le coppie chiave-valore e mappa i livelli di gravità ai valori standardizzati per l'analisi della sicurezza.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Istanza Google SecOps
• Un host Windows 2016 o versioni successive oppure Linux con systemd
• Se l'esecuzione avviene tramite un proxy, le porte del firewall sono aperte
• Accesso con privilegi a Cisco ExpressWay

Recuperare il file di autenticazione importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato BindPlane.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

1. Accedi al file di configurazione:
   • Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'CISCO_VCS'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
   • Sostituisci <customer_id> con l'ID cliente effettivo.
   • Aggiorna /path/to/ingestion-authentication-file.json al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart bindplane-agent
  

• Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurare Syslog per Cisco ExpressWay

1. Accedi all'UI web di Cisco ExpressWay.
2. Vai a Manutenzione > Logging.
3. Inserisci gli indirizzi IP dell'agente Bindplane come Server syslog remoto.
4. Fai clic su Opzioni.
5. Fornisci i seguenti dettagli di configurazione:
   • Trasporto: seleziona UDP.
   • Porta: inserisci il numero di porta dell'agente Bindplane.
   • Formato messaggio: seleziona BSD. L'altra opzione possibile è IETF.
   • Filtra per gravità: seleziona Informativo.
6. Fai clic su Salva.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logic
Azione	read_only_udm.security_result.action_details	Il valore del campo Action del log non elaborato.
Codice	read_only_udm.network.http.response_code	Il valore del campo Code del log non elaborato, convertito in numero intero. Utilizzato quando Response-code non è presente.
Dettagli	read_only_udm.security_result.description	Il valore del campo Detail del log non elaborato.
Dst-ip	read_only_udm.target.ip	Il valore del campo Dst-ip del log non elaborato. Utilizzato quando Action non è Received.
Dst-port	read_only_udm.target.port	Il valore del campo Dst-port del log non elaborato, convertito in numero intero. Utilizzato quando Action non è Received.
Evento	read_only_udm.metadata.product_event_type	Il valore del campo Event del log non elaborato.
Livello	read_only_udm.security_result.severity_details	Il valore del campo Level del log non elaborato.
Livello	read_only_udm.security_result.severity	Mappato in base al valore del campo Level del log non elaborato: - 9, 10, VERY-HIGH: CRITICAL - error, warning, 7, 8, HIGH: HIGH - notice, 4, 5, 6, MEDIUM: MEDIUM - information, info, 0, 1, 2, 3, LOW: LOW
Local-ip	read_only_udm.principal.ip	Il valore del campo Local-ip del log non elaborato. Utilizzato quando Action non è Received.
Local-ip	read_only_udm.target.ip	Il valore del campo Local-ip del log non elaborato. Utilizzato quando Action è Received.
Local-port	read_only_udm.principal.port	Il valore del campo Local-port del log non elaborato, convertito in numero intero. Utilizzato quando Action non è Received.
Local-port	read_only_udm.target.port	Il valore del campo Local-port del log non elaborato, convertito in numero intero. Utilizzato quando Action è Received.
Metodo	read_only_udm.network.http.method	Il valore del campo Method del log non elaborato.
Modulo	read_only_udm.additional.fields.value.string_value	Il valore del campo Module del log non elaborato.
Nodo	read_only_udm.additional.fields.value.string_value	Il valore del campo Node del log non elaborato.
Protocollo	read_only_udm.network.ip_protocol	Il valore del campo Protocol del log non elaborato, analizzato e mappato al nome del protocollo IP corrispondente utilizzando la logica parse_ip_protocol.include.
Response-code	read_only_udm.network.http.response_code	Il valore del campo Response-code del log non elaborato, convertito in numero intero.
Src-ip	read_only_udm.principal.ip	Il valore del campo Src-ip del log non elaborato. Utilizzato quando Action è Received.
Src-ip	read_only_udm.principal.ip	Il valore del campo Src-ip del log non elaborato. Utilizzato quando Action non è Received e Local-ip non è presente.
Src-port	read_only_udm.principal.port	Il valore del campo Src-port del log non elaborato, convertito in numero intero. Utilizzato quando Action è Received.
Src-port	read_only_udm.principal.port	Il valore del campo Src-port del log non elaborato, convertito in numero intero. Utilizzato quando Action non è Received e Local-port non è presente.
applicazione	read_only_udm.target.application	Il valore del campo application del log non elaborato.
description	read_only_udm.security_result.description	Il valore del campo description del log non elaborato.
inner_msg	read_only_udm.security_result.description	Il valore del campo inner_msg del log non elaborato. Utilizzato quando si verifica inner_msg_grok_failure.
principal_hostname	read_only_udm.principal.hostname	Il valore del campo principal_hostname del log non elaborato.
timestamp	read_only_udm.metadata.event_timestamp.seconds	Il timestamp epoch estratto dal campo timestamp nel log non elaborato.
timestamp	read_only_udm.events.timestamp.seconds	Il timestamp epoch estratto dal campo timestamp nel log non elaborato.
	read_only_udm.additional.fields.key	Valore hardcoded: Module, Node
	read_only_udm.metadata.log_type	Valore hardcoded: CISCO_VCS
	read_only_udm.metadata.product_name	Valore hardcoded: CISCO VCS
	read_only_udm.metadata.vendor_name	Valore hardcoded: CISCO VCS
	read_only_udm.metadata.event_type	Determinato in base ai valori dei campi Action, Src-ip, principal_hostname, Local-ip e Dst-ip: - NETWORK_CONNECTION: se (Action è Received e Local-ip è presente) o (Action non è Received e Dst-ip è presente) - STATUS_UPDATE: altrimenti

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.