Esta página foi traduzida pela API Cloud Translation.

Coletar registros do HPE Aruba Networking Central

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros do HPE Aruba Networking Central no Google SecOps usando o Bindplane. O analisador extrai campos de registros formatados do syslog do Aruba Central. Ele usa grok e/ou kv para analisar a mensagem de registro e mapeia esses valores para o modelo de dados unificado (UDM). Ele define valores de metadados padrão para a origem e o tipo do evento.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

Instância do Google SecOps
Host Windows 2016 ou mais recente ou Linux com systemd
Se você estiver executando um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente BindPlane.
Acesso privilegiado ao console do Aruba Central Management

Receber o arquivo de autenticação de ingestão do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Agentes de coleta.
Baixe o arquivo de autenticação de ingestão. Salve o arquivo de forma segura no sistema em que o Bindplane será instalado.

Receber o ID do cliente do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Perfil.
Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instale o agente do Bindplane no sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

Abra o Prompt de Comando ou o PowerShell como administrador.

Execute este comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

Abra um terminal com privilégios de root ou sudo.

Execute este comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Outros recursos de instalação

Para mais opções de instalação, consulte o guia de instalação.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

Acesse o arquivo de configuração:
- Localize o arquivo config.yaml. Normalmente, ele fica no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
- Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

Edite o arquivo config.yaml da seguinte forma:

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ARUBA_CENTRAL'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
Substitua <customer_id> pelo ID do cliente real.
Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo na seção Receber arquivo de autenticação de ingestão do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças

Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:
```
sudo systemctl restart bindplane-agent
```
Para reiniciar o agente do Bindplane no Windows, use o console Serviços ou insira o seguinte comando:
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

Configurar o Syslog no Aruba Central

Faça login na UI da Web do Aruba Central.
No painel, localize um grupo que contenha os dispositivos que você quer configurar ou defina o filtro como Todos os dispositivos para configurações globais.
Clique no dispositivo ou grupo que você quer configurar.
Acesse Configuração > Sistema > Registro.
Localize a seção Servidores Syslog e clique no botão +.
- Nome do servidor: insira um nome exclusivo e descritivo.
- IP do servidor: insira o endereço IP do agente do Bindplane.
- Porta do servidor: digite o número da porta do agente do Bindplane.
- Formato de registro: selecione Syslog.
- Categoria e instalação: selecione as categorias e instalações para as quais você quer enviar registros.
- Nível de geração de registros: selecione Informativo.
Clique em Save Settings.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.