Dell 스위치 로그 수집

다음에서 지원:

Google SecOps SIEM

참고: 이 기능에는 Google Security Operations 서비스 특정 약관의 GA 이전 서비스 약관이 적용됩니다. GA 이전 기능에서 지원이 제한될 수 있으며 GA 이전 기능의 변경사항은 다른 GA 이전 버전과 호환되지 않을 수 있습니다. 자세한 내용은 Google Security Operations 기술 지원 서비스 가이드라인 및 Google Security Operations 서비스 특정 약관을 참조하세요.

이 파서는 Dell 스위치 로그를 추출하고 타임스탬프를 정규화하며 grok 패턴을 사용하여 로그 메시지를 키-값 쌍으로 구성합니다. 그런 다음 이러한 추출된 필드를 통합 데이터 모델 (UDM)에 매핑하여 다양한 로그 형식을 처리하고 애셋 세부정보, 보안 심각도와 같은 문맥 정보로 데이터를 보강합니다.

시작하기 전에

• Google Security Operations 인스턴스가 있는지 확인합니다.
• Windows 2016 이상 또는 systemd를 사용하는 Linux 호스트를 사용하고 있는지 확인합니다.
• 프록시 뒤에서 실행하는 경우 방화벽 포트가 열려 있는지 확인합니다.
• Dell 스위치에 대한 활성 연결 및 관리자 사용자 인증 정보가 있는지 확인합니다.

Google SecOps 처리 인증 파일 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 수집 에이전트로 이동합니다.
3. 처리 인증 파일을 다운로드합니다. Bindplane 에이전트가 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 프로필로 이동합니다.
3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

Bindplane 에이전트 설치

Windows 설치

1. 관리자 권한으로 명령 프롬프트 또는 PowerShell을 엽니다.

2. 다음 명령어를 실행합니다.

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 설치

1. 루트 또는 sudo 권한으로 터미널을 엽니다.

2. 다음 명령어를 실행합니다.

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

추가 설치 리소스

• 추가 설치 옵션은 이 설치 가이드를 참고하세요.

Syslog를 수집하고 Google SecOps로 전송하도록 Bindplane 에이전트 구성

1. 구성 파일에 액세스합니다.

   • config.yaml 파일을 찾습니다. 일반적으로 Linux의 /etc/bindplane-agent/ 디렉터리 또는 Windows의 설치 디렉터리에 있습니다.
   • 텍스트 편집기 (예: nano, vi, 메모장)를 사용하여 파일을 엽니다.

2. 다음과 같이 config.yaml 파일을 수정합니다.

   receivers:
       tcplog:
           # Replace the below port <54525> and IP <0.0.0.0> with your specific values
           listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: sell_switch
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 인프라에서 필요에 따라 포트와 IP 주소를 바꿉니다.

4. <customer_id>를 실제 고객 ID로 바꿉니다.

5. /path/to/ingestion-authentication-file.json를 Google SecOps 처리 인증 파일 가져오기 섹션에서 인증 파일이 저장된 경로로 업데이트합니다.

Bindplane 에이전트를 다시 시작하여 변경사항 적용

• Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

  sudo systemctl restart bindplane-agent
  

• Windows에서 Bindplane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Dell 스위치에서 Syslog 내보내기 구성

1. SSH 또는 콘솔 포트를 사용하여 Dell 스위치에 연결합니다.
2. 관리자 사용자 인증 정보로 로그인합니다.

3. 다음 명령어를 사용하여 syslog 서버의 IP 주소 또는 호스트 이름을 지정합니다 (<syslog_server_ip>, <udp|tcp>, <syslog-port-number>를 실제 세부정보로 대체).

   logging host <syslog-server-ip> transport <udp|tcp> port <syslog-port-number>
   

4. 선택사항: syslog 서버로 전송할 메시지의 최소 심각도 수준을 정의합니다. 예를 들어 정보 메시지 이상을 로깅하려면 다음을 실행합니다.

   logging level informational
   

5. 실행 중인 구성을 시작 구성에 저장하여 재부팅 후에도 변경사항이 유지되도록 합니다.

   copy running-config startup-config
   

6. 구성을 저장합니다.

   write memory
   

UDM 매핑 표

로그 필드	UDM 매핑	논리
acct	principal.user.userid	user 필드가 없는 경우 userid로 사용됩니다.
addr	principal.asset.ip, principal.ip	IP 주소로 파싱되며 유효한 IP이고 호스트 이름과 다른 경우 사용자의 IP 및 애셋 IP에 사용됩니다.
application	principal.application	직접 매핑됩니다.
asset	principal.asset.attribute.labels.value	저작물 라벨 값에 직접 매핑되며 키는 '저작물 이름'으로 하드코딩됩니다. 애셋 필드가 비어 있고 메시지에 'Dell'이 포함된 경우 애셋이 'Dell'로 설정됩니다.
auid	principal.resource.attribute.labels.value	principal.resource.attribute.labels 내에서 키가 auid인 라벨에 직접 매핑됩니다.
datetime	metadata.event_timestamp	메시지 필드의 다양한 형식에서 파싱되고 타임스탬프로 변환됩니다.
dest_ip	target.asset.ip, target.ip	대상 IP 및 대상 애셋 IP에 매핑됩니다.
enterpriseId	principal.resource.attribute.labels.value	principal.resource.attribute.labels 내에서 키가 enterpriseId인 라벨에 매핑됩니다.
exe	sec_result.detection_fields.value	키가 exe인 감지 필드에 매핑됩니다.
File	target.file.full_path	직접 매핑됩니다.
grantors	principal.resource.attribute.labels.value	principal.resource.attribute.labels 내에서 키가 grantors인 라벨에 매핑됩니다.
host	principal.hostname, principal.asset.hostname, metadata.event_type	기본 호스트 이름 및 애셋 호스트 이름으로 사용됩니다. host가 있는 경우 metadata.event_type가 STATUS_UPDATE로 설정됩니다. 호스트 이름은 있지만 호스트가 없는 경우 호스트 이름이 호스트로 사용됩니다.
hostname	principal.asset.ip, principal.ip, host	유효한 IP인 경우 사용자 인증 정보 IP 및 애셋 IP에 사용됩니다. host가 비어 있으면 host로 사용됩니다.
ID	principal.resource.attribute.labels.value	principal.resource.attribute.labels 내에서 키가 ID인 라벨에 매핑됩니다.
ip	principal.asset.ip, principal.ip	기본 IP 및 애셋 IP에 매핑됩니다.
is_synced	sec_result.detection_fields.value	키가 is_synced인 감지 필드에 매핑됩니다.
local	target.asset.ip, target.ip, target.port	로컬 IP 및 포트를 추출하도록 파싱되고 대상 IP, 대상 애셋 IP, 대상 포트에 매핑됩니다.
local_ip	target.asset.ip, target.ip	local 필드에서 추출하여 대상 IP 및 대상 애셋 IP에 매핑했습니다.
local_port	target.port	local 필드에서 추출하여 대상 포트에 매핑했습니다.
mac	principal.mac	유효한 MAC 주소인 경우 기본 MAC 주소에 매핑됩니다.
msg	metadata.description	있는 경우 이벤트 설명으로 사용됩니다. 추가 필드도 파싱됩니다.
msg1	metadata.description	msg2가 없는 경우 이벤트 설명으로 사용됩니다.
msg2	sec_result.description, metadata.event_type, extensions.auth.type	보안 결과 설명으로 사용됩니다. '사용자가 열었습니다'가 포함된 경우 이벤트 유형은 USER_LOGIN로, 인증 유형은 MACHINE로 설정됩니다. '사용자가 닫음'이 포함된 경우 이벤트 유형은 USER_LOGOUT로, 인증 유형은 MACHINE로 설정됩니다.
op	metadata.product_event_type	제품 이벤트 유형(있는 경우)으로 사용됩니다.
pid	principal.process.pid	직접 매핑됩니다.
port	principal.port	직접 매핑됩니다.
prod_event_type	metadata.product_event_type	제품 이벤트 유형(있는 경우)으로 사용됩니다.
res	sec_result.summary	직접 매핑됩니다.
sec_description	sec_result.description, target.url, target.ip, target.asset.ip, sec_result.action_details	타겟 URL, IP, 작업 세부정보를 파싱하고 보안 결과 설명으로 사용됩니다.
Server_ID	target.resource.product_object_id	직접 매핑됩니다.
server	principal.asset.ip, principal.ip, principal.port	서버 IP 및 포트를 추출하도록 파싱되고, 기본 IP, 기본 애셋 IP, 기본 포트에 매핑됩니다.
server_ip	principal.asset.ip, principal.ip	server 필드에서 추출하여 기본 IP 및 기본 애셋 IP에 매핑했습니다.
server_port	principal.port	server 필드에서 추출하여 기본 포트에 매핑했습니다.
ses	network.session_id	직접 매핑됩니다.
severity	sec_result.severity, metadata.product_event_type	특정 값을 기반으로 보안 결과 심각도 및 제품 이벤트 유형을 결정하는 데 사용됩니다.
software	principal.asset.software	직접 매핑됩니다.
softwareName	software.name	직접 매핑됩니다.
Status	sec_result.summary	res가 없는 경우 보안 결과 요약으로 사용됩니다.
subj	principal.resource.attribute.labels.value	principal.resource.attribute.labels 내에서 키가 subj인 라벨에 매핑됩니다.
swVersion	software.version	직접 매핑됩니다.
target_host	target.hostname, target.asset.hostname	대상 호스트 이름 및 대상 애셋 호스트 이름에 직접 매핑됩니다.
target_ip	target.asset.ip, target.ip	타겟 IP 및 타겟 애셋 IP에 직접 매핑됩니다.
target_url	target.url	직접 매핑됩니다.
target_user_id	target.user.userid	직접 매핑됩니다.
terminal	principal.resource.attribute.labels.value	principal.resource.attribute.labels 내에서 키가 terminal인 라벨에 매핑됩니다.
tzknown	sec_result.detection_fields.value	키가 tzknown인 감지 필드에 매핑됩니다.
uid	principal.resource.attribute.labels.value	principal.resource.attribute.labels 내에서 키가 uid인 라벨에 매핑됩니다.
user	principal.user.userid, metadata.event_type	기본 사용자 ID로 사용됩니다. user가 있으면 metadata.event_type가 USER_UNCATEGORIZED로 설정됩니다.
username	target.user.userid	대상 사용자 ID에 직접 매핑됩니다.
해당 사항 없음	metadata.vendor_name	'Dell'로 하드코딩되었습니다.
해당 사항 없음	metadata.product_name	'Dell Switch'로 하드코딩되었습니다.
해당 사항 없음	extensions.auth.type	특정 로그인/로그아웃 이벤트의 경우 MACHINE로 설정합니다.
해당 사항 없음	metadata.event_type	다양한 필드와 조건을 기반으로 하는 복잡한 로직에 의해 결정되며, 달리 설정하지 않으면 기본값은 GENERIC_EVENT입니다. USER_LOGIN, USER_LOGOUT, USER_UNCATEGORIZED, NETWORK_CONNECTION, NETWORK_UNCATEGORIZED, STATUS_UPDATE, GENERIC_EVENT일 수 있습니다.

변경사항

2024-04-25

• 새 로그 유형을 파싱하는 Grok 패턴을 추가했습니다.
• op를 metadata.product_event_type에 매핑했습니다.
• mac를 principal.mac에 매핑했습니다.
• addr를 principal.ip에 매핑했습니다.
• hostname를 principal.ip에 매핑했습니다.
• server_ip를 principal.ip에 매핑했습니다.
• server_port를 principal.port에 매핑했습니다.
• acct를 principal.user.userid에 매핑했습니다.
• target_ip를 target.ip에 매핑했습니다.
• local_ip를 target.ip에 매핑했습니다.
• local_port를 target.port에 매핑했습니다.
• File를 target.file.full_path에 매핑했습니다.
• target_host를 target.hostname에 매핑했습니다.
• target_user_id를 target.user.userid에 매핑했습니다.
• Server_ID를 target.resource.product_object_id에 매핑했습니다.
• tzknown, is_synced, exe를 security_result.detection_fields에 매핑했습니다.
• res를 security_result.summary에 매핑했습니다.
• res 필드의 값이 ''인 경우 status을 security_result.summary에 매핑합니다.
• uid, enterpriseId, auid, terminal, subj, grantors, ID를 principal.resource.attribute.labels에 매핑했습니다.

2024-04-04

• 새 로그 유형을 파싱하는 Grok 패턴을 추가했습니다.
• prod_event_type를 metadata.product_event_type에 매핑했습니다.
• ip를 principal.ip에 매핑했습니다.
• dest_ip를 target.ip에 매핑했습니다.
• target_url를 target.url에 매핑했습니다.
• sec_description를 security_result.description에 매핑했습니다.
• action_details를 security_result.action_details에 매핑했습니다.

2024-01-04

• 새로 처리된 로그에 대한 Grok 패턴이 추가되었습니다.
• datetime가 SYSLOGTIMESTAMP 형식일 때 날짜 블록을 추가했습니다.
• softwareName를 principal.asset.software.name에 매핑했습니다.
• swVersion를 principal.asset.software.version에 매핑했습니다.
• port를 principal_port에 매핑했습니다.
• user를 principal.user.userid로 매핑하고 user가 있는 경우 metadata.event_type를 USER_UNCATEGORIZED로 설정했습니다.
• application를 principal.application에 매핑했습니다.
• ip를 principal.ip에 매핑했습니다.
• severity이 IFMGR-5-OSTATE_DN이면 sec_result.severity를 INFORMATIONAL로 설정합니다.
• msg를 metadata.description에 매핑했습니다.

2023-11-02

• 파서를 새로 만들었습니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받으세요.