此页面由 Cloud Translation API 翻译。

收集 Cisco 无线入侵防御系统 (WIPS) 日志

支持的语言：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将 Cisco 无线入侵防御系统 (WIPS) 日志注入到 Google Security Operations。解析器从 syslog 消息中提取键值对，然后将这些值映射到 Unified Data Model (UDM) 字段。它会根据正文、目标和用户信息的存在情况确定适当的 event_type，并根据 eventType 和其他字段对安全事件进行分类。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
Windows 2016 或更高版本，或者具有 systemd 的 Linux 主机
如果通过代理运行，请确保防火墙端口处于开放状态
对 Cisco 接入点 (AP) / 无线局域网控制器 (WLC) 的特权访问权限

获取 Google SecOps 注入身份验证文件

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 收集代理。
下载注入身份验证文件。
- 将文件安全地保存在将要安装 BindPlane 的系统上。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 配置文件。
复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符或 PowerShell。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安装

打开具有 root 或 sudo 权限的终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安装资源

如需了解其他安装选项，请参阅安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

访问配置文件：
- 找到 config.yaml 文件。通常，它位于 Linux 上的 /etc/bindplane-agent/ 目录中或 Windows 上的安装目录中。
- 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

按如下方式修改 config.yaml 文件：

receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'CISCO_WIPS'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

根据基础架构的需要替换端口和 IP 地址。
将 <customer_id> 替换为实际的客户 ID。
将 /path/to/ingestion-authentication-file.json 更新为获取 Google SecOps 提取身份验证文件部分中保存身份验证文件的路径。

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请运行以下命令：
```
sudo systemctl restart bindplane-agent
```
如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

在 Cisco Catalyst 上配置自适应无线入侵防御系统 (aWIPS)

使用 SSH 登录 Cisco Catalyst。
输入全局配置，以在 AP 配置文件下启用 aWIPS：
```
configure terminal
ap profile <profile-name>
awips
```
将 syslog 节流间隔配置为 60 秒：
```
awips-syslog throttle period 60
```

使用 Cisco AP 配置文件配置 Syslog

在 AP-join 配置文件中（通过 CLI）：

configure terminal
ap profile <profile-name>
  syslog host <Bindplane_IP_address>
  syslog level informational
  syslog facility local0
end

在 Cisco WLC 上配置 Syslog (GUI)

登录 WLC 网页界面。
依次前往管理 > 日志 > 配置。
在 Syslog 服务器 IP 地址字段中输入 Bindplane 代理 IP 地址。
点击添加。
提供以下配置详细信息：
- Syslog 严重程度：选择 Informational。
- Syslog Facility：选择 Local Use 0。
点击应用。
点击保存配置。

使用 WLC (CLI) 在接入点上配置 Syslog

全局 AP syslog 主机：

config ap syslog host global <Bindplane_IP_address>

配置特定的 AP syslog 主机：

config ap syslog host specific <AP-name> <Bindplane_IP_address>

设置 AP syslog 严重程度：

config ap logging syslog level informational

设置 AP 消息的设施：
```
config logging syslog facility local0
```

UDM 映射表

日志字段	UDM 映射	逻辑
`applicationCategoryData`	`security_result.summary`	直接映射。
`applicationSpecificAlarmID`	`target.resource.attribute.labels.applicationSpecificAlarmID`	已转换为目标资源上的标签。
`attackerMacAddr`	`target.mac`	直接映射。
`authEntityId`	`principal.resource.attribute.labels.authEntityId`	已转换为主账号资源上的标签。
`category`	`security_result.category_details`	直接映射。
`detectingApCount`	`target.resource.attribute.labels.detectingApCount`	已转换为目标资源上的标签。
`description`	`metadata.description`	直接映射。
`displayName`	`principal.user.userid`	如果模式匹配，则使用正则表达式 `host/(?P<user_id>[\\w-]+)` 从 `displayName` 中提取。
`eventType`	`metadata.product_event_type`	直接映射。
`instanceId`	`principal.resource.attribute.labels.instanceId`	已转换为主账号资源上的标签。
`instanceUuid`	`metadata.product_log_id`	直接映射。
`instanceVersion`	`principal.resource.attribute.labels.instanceVersion`	已转换为主账号资源上的标签。
`macInfo`	`target.resource.attribute.labels.macInfo`	已转换为目标资源上的标签。
`notificationDeliveryMechanism`	`target.resource.attribute.labels.notificationDeliveryMechanism`，`network.ip_protocol`	已转换为目标资源上的标签。如果该值包含“snmp”（不区分大小写），则 `network.ip_protocol` 设置为“UDP”。
`previousSeverity`	`target.resource.attribute.labels.previousSeverity`	已转换为目标资源上的标签。如果 `eventType` 为“USER_AUTHENTICATION_FAILURE”且 `user_id` 不为空，则设置为“AUTHTYPE_UNSPECIFIED”。从日志的 `timestamp` 复制。由解析器逻辑根据以下多个条件确定：如果 `eventType` 为“USER_AUTHENTICATION_FAILURE”且 `user_id` 不为空，则为“USER_LOGIN”。如果 `is_target_present` 和 `is_principal_present` 均为 true，则为“NETWORK_CONNECTION”。如果 `is_principal_present` 为 true，则为 “STATUS_UPDATE”。如果 `user_id` 不为空，则为“USER_UNCATEGORIZED”。否则为 “GENERIC_EVENT”。硬编码为“CISCO_WIPS”。硬编码为“无线入侵防御系统 (WIPS)”。硬编码为“Cisco”。如果 `notificationDeliveryMechanism` 包含“snmp”（不区分大小写），则设置为“UDP”。如果 `reportingEntityAddress` 或 `source` 不是 IP，则从它们映射。如果 `reportingEntityAddress` 或 `source` 是 IP，则从它们映射。如果 `source` 是 MAC 地址，则使用正则表达式从其中提取。已转换为主账号资源上的标签。已转换为主账号资源上的标签。
`reportingEntityAddress`	`principal.ip`，`principal.hostname`	如果它是 IP 地址，则映射到 `principal.ip`。否则，映射到 `principal.hostname`。
`severity`	`security_result.severity`	根据以下条件进行映射：如果 `severity` 为“0”“1”“CRITICAL”或“VERY-HIGH”，则为“CRITICAL”。如果 `severity` 为“2”“3”“4”或“HIGH”，则为“HIGH”。如果 `severity` 为“5”或“MEDIUM”，则为“MEDIUM”。如果 `severity` 为“6”“7”或“LOW”，则为“LOW”。
`sigAlertDescription`	`security_result.description`	直接映射。
`signatureName`	`target.resource.attribute.labels.signatureName`	已转换为目标资源上的标签。
`source`	`principal.hostname`、`principal.ip`、`principal.mac`	如果它是 IP 地址，则映射到 `principal.ip`。如果它是 MAC 地址，则映射到 `principal.mac`。否则，映射到 `principal.hostname`。
`srcObjectClassId`	`principal.resource.attribute.labels.srcObjectClassId`	已转换为主账号资源上的标签。
`srcObjectId`	`principal.resource.attribute.labels.srcObjectId`	已转换为主账号资源上的标签。
`subclassName`	`security_result.rule_name`	直接映射。如果 `applicationSpecificAlarmID` 包含“BlockList”（不区分大小写），或者 `eventType` 是“SIGNATURE_ATTACK”“MALICIOUS_ROGUE_AP_DETECTED”或“USER_AUTHENTICATION_FAILURE”之一，则设置为“BLOCK”。由解析器逻辑根据 `eventType` 确定：如果 `eventType` 为“MALICIOUS_ROGUE_AP_DETECTED”，则为 “NETWORK_MALICIOUS”。如果 `eventType` 为“SIGNATURE_ATTACK”，则为“NETWORK_SUSPICIOUS”。如果 `eventType` 为“USER_AUTHENTICATION_FAILURE”，则为“AUTH_VIOLATION”。
`timestamp`	`metadata.event_timestamp`	`seconds` 和 `nanos` 字段直接映射。