Coletar registros do VMware VeloCloud SD-WAN

Compatível com:

Google SecOps SIEM

Observação: esse recurso é coberto pelos Termos de ofertas pré-GA dos Termos específicos do serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos do serviço do Google SecOps.

Neste documento, explicamos como ingerir registros do VMware VeloCloud SD-WAN no Google Security Operations usando o Bindplane.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Instância do Google SecOps
• Windows 2016 ou mais recente ou um host Linux com systemd
• Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas.
• Acesso privilegiado à SD-WAN do VMware VeloCloud
• Uma rede privada virtual do Cloud (VPN de filial para filial) configurada entre a borda e o coletor Syslog (agente do Bindplane)

Receber o arquivo de autenticação de ingestão do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Baixe o arquivo de autenticação de ingestão. Salve o arquivo de forma segura no sistema em que o Bindplane será instalado.

Receber o ID do cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.
3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instale o agente do Bindplane no sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

1. Abra o Prompt de Comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de root ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Outros recursos de instalação

Para mais opções de instalação, consulte o guia de instalação.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

1. Acesse o arquivo de configuração:
   • Localize o arquivo config.yaml. Normalmente, ele fica no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

2. Edite o arquivo config.yaml da seguinte forma:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'VELO_FIREWALL'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
   • Substitua <customer_id> pelo ID do cliente real.
   • Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo na seção Receber arquivo de autenticação de ingestão do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças

• Para reiniciar o agente do Bindplane em Linux, execute o seguinte comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar o agente do Bindplane no Windows, use o console Serviços ou insira o seguinte comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurar o Syslog para SD-WAN do VMware VeloCloud

1. Faça login na UI da Web do VeloCloud Enterprise Portal.
2. Acesse Serviço SD-WAN > Configurar > Perfis.
3. Clique no link Perfil para configurar um perfil ou clique no Link de visualização na coluna Dispositivo do perfil.
4. Selecione Menu "Configurar segmento" > Segmento global para configurar as definições de Syslog.

5. Em Telemetria, acesse a área Syslog:

   1. Marque a caixa de seleção Ativar Syslog.
   2. Clique em + Adicionar.

   3. Informe os seguintes detalhes de configuração:

      • Facility: selecione local0.
      • IP: insira o endereço IP de destino do coletor Syslog.
      • Protocolo: selecione TCP ou UDP como o protocolo Syslog.
      • Porta: digite o número da porta do coletor Syslog. O valor padrão é 514.
      • Interface de origem: esse campo é definido como Automático no nível do perfil. O Edge vai selecionar automaticamente uma interface com o campo Anunciar definido.
      • Funções: selecione EVENTO DE FIREWALL ou EVENTO DE BORDAS E FIREWALL.
      • Nível do Syslog: selecione INFO.

      • Todos os segmentos: marque a caixa de seleção Todos os segmentos.

        Observação: se você não marcar a caixa de seleção Todos os segmentos, o coletor do Syslog vai receber registros de firewall apenas do segmento específico em que ele está configurado.

6. Salve as alterações.

7. Acesse a página Firewall da configuração de Perfil.

8. Clique em Encaminhamento de syslog para encaminhar os registros de firewall originados da borda empresarial para os coletores de syslog configurados.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.