此页面由 Cloud Translation API 翻译。

收集 Palo Alto Prisma SD-WAN 日志

支持的语言：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将 Palo Alto Prisma SD-WAN（以前称为 Cloudgenix SD-WAN）日志注入到 Google Security Operations。解析器从 syslog 和流日志中提取字段，并将它们映射到统一数据模型 (UDM)。它可处理结构化和非结构化 syslog 消息，执行键值解析和 Grok 匹配，以提取相关信息（例如源 IP/目标 IP、主机名、事件类型和安全详细信息），并相应地填充 UDM 字段。解析器还会处理流日志，提取网络信息并将其映射到 UDM 的网络、主账号、目标、中介和安全结果架构。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
Windows 2016 或更高版本，或者具有 systemd 的 Linux 主机
如果通过代理运行，请确保防火墙端口处于开放状态
对 Palo Alto Prisma SD-WAN（以前称为 Cloudgenix SD-WAN）的特权访问权限

获取 Google SecOps 注入身份验证文件

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 收集代理。
下载注入身份验证文件。将该文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 配置文件。
复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符或 PowerShell。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安装

打开具有 root 或 sudo 权限的终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安装资源

如需了解其他安装选项，请参阅安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

访问配置文件：
- 找到 config.yaml 文件。通常，它位于 Linux 上的 /etc/bindplane-agent/ 目录中或 Windows 上的安装目录中。
- 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

按如下方式修改 config.yaml 文件：

```yaml
receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'CLOUDGENIX_SDWAN'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
```

根据基础架构的需要替换端口和 IP 地址。
将 <customer_id> 替换为实际的客户 ID。
将 /path/to/ingestion-authentication-file.json 更新为获取 Google SecOps 提取身份验证文件部分中保存身份验证文件的路径。

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请运行以下命令：
```
sudo systemctl restart bindplane-agent
```
如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

配置 Prisma SD-WAN Syslog 配置文件

登录 Prisma SD-WAN。
依次前往管理 > 资源 > 配置配置文件。
选择 Syslog。
点击创建 Syslog 配置文件。
提供以下配置详细信息：
- 名称：输入此配置文件的名称。
- 选中启用流日志记录复选框。
- 严重程度：从“严重”“重大”或“轻微”中选择严重程度。
- 协议：根据 Bindplane 代理配置，选择 UDP 或 TCP 作为协议类型。
- 选择服务器 IP 单选按钮。
- 输入 Bindplane 代理 IP 地址。
- 服务器端口：输入 Bindplane 代理端口号。
点击保存。

UDM 映射表

日志字段	UDM 映射	逻辑
`ACTION`	`security_result.action`	如果 `ACTION_CODE` 为“1”，则设置为“ALLOW”。否则，如果 `ACTION_CODE` 不为空，则设置为“BLOCK”。否则，默认为解析器中之前的“UNKNOWN_ACTION”。
`ACTION_CODE`	`security_result.action`	用于确定 `security_result.action` 的逻辑中。
`APP_NAME`	`network.http.user_agent`	直接映射。
`BYTES_RECVD`	`network.received_bytes`	直接映射，转换为无符号整数。
`BYTES_SENT`	`network.sent_bytes`	直接映射，转换为无符号整数。
`CLOUDGENIX_HOST`	`principal.hostname`	如果 `NAME` 字段为空，则直接映射。如果存在 `NAME`，则用作中间主机名。
`CODE`	`metadata.product_event_type`	与 `FACILITY` 串联以形成 `metadata.product_event_type`。还用于确定 `metadata.event_type`（例如，如果 `CODE` 包含“DOWN”，则将 `metadata.event_type` 设置为“STATUS_SHUTDOWN”）。
`DESTINATION_ZONE_NAME`	`about.labels`	直接映射为键为“DESTINATION_ZONE_NAME”的标签。
`DEVICE_TIME`	`metadata.event_timestamp`	在解析为日期后直接映射。
`DST_INTERFACE`	`target.hostname`	直接映射。
`DST_IP`	`target.ip`	直接映射。
`DST_PORT`	`target.port`	直接映射，转换为整数。
`ELEMENT_ID`	`about.labels`	直接映射为键为“ELEMENT_ID”的标签。
`EVENT_TIME`	`metadata.event_timestamp`	在解析为日期后直接映射。
`FACILITY`	`metadata.product_event_type`	与 `CODE` 串联以形成 `metadata.product_event_type`。
`FLOW_EVENT`	`security_result.summary`	用作 `security_result.summary` 字符串的一部分。
`IDENTIFIER`	`about.labels`	直接映射为键为“IDENTIFIER”的标签。
`ION_HOST`	`principal.hostname`	如果 `CLOUDGENIX_HOST` 和 `NAME` 字段为空，则直接映射。
`MSG`	`metadata.description`	直接映射。还用于正则表达式匹配，以确定 `metadata.event_type` 并提取 `target.ip`。
`NAME`	`principal.hostname`	直接映射。如果存在，则 `CLOUDGENIX_HOST` 会变为 `intermediary.hostname`。
`PROCESS_NAME`	`principal.process.file.full_path`	直接映射。
`PROTOCOL_NAME`	`network.ip_protocol`	直接映射，转换为大写。
`REMOTE_HOSTNAME`	`target.hostname`	直接映射。
`REMOTE_IP`	`target.ip`	直接映射。
`RULE_NAME`	`security_result.rule_name`	直接映射。
`SEVERITY`	`security_result.severity`，`security_result.severity_details`	映射到 `security_result.severity_details`。还用于确定 `security_result.severity`（例如，如果 `SEVERITY` 为“次要”，则将 `security_result.severity` 设置为“低”）。
`SOURCE_ZONE_NAME`	`about.labels`	直接映射为键为“SOURCE_ZONE_NAME”的标签。
`SRC_INTERFACE`	`principal.hostname`	直接映射。
`SRC_IP`	`principal.ip`	直接映射。
`SRC_PORT`	`principal.port`	直接映射，转换为整数。
`VPN_LINK_ID`	`target.resource.id`	直接映射。
（解析器逻辑）	`is_alert`	如果 `log_type` 为“提醒”或“闹钟”，则设置为 true。
（解析器逻辑）	`is_significant`	如果 `log_type` 为“提醒”或“闹钟”，则设置为 true。
（解析器逻辑）	`metadata.event_type`	由一系列基于 `CODE`、`MSG`、`src_ip` 和 `dest_ip` 值的条件语句确定。默认为“GENERIC_EVENT”。
（解析器逻辑）	`metadata.log_type`	设置为“CLOUDGENIX_SDWAN”。
（解析器逻辑）	`metadata.product_event_type`	默认为 `CODE` 和 `FACILITY` 的串联。对于流日志，设置为“cgxFlowLogV1”。
（解析器逻辑）	`metadata.product_name`	设置为“CloudGenix SD-WAN”。
（解析器逻辑）	`metadata.vendor_name`	设置为“Palo Alto Networks”。
（解析器逻辑）	`principal.process.pid`	设置为原始日志中流量日志的 `pid` 值。
（解析器逻辑）	`security_result.action`	默认为“UNKNOWN_ACTION”。
（解析器逻辑）	`security_result.severity`	默认值为“UNKNOWN_SEVERITY”。根据 `SEVERITY` 的值进行设置。对于流日志，设置为“INFORMATIONAL”。
（解析器逻辑）	`security_result.summary`	根据 syslog 消息的 `CODE` 值进行设置。设置为包含 `FLOW_EVENT`、`SRC_IP` 和 `DST_IP` 的描述性字符串（适用于流日志）。