Mengumpulkan log VyOS

Didukung di:

Dokumen ini menjelaskan cara menyerap log VyOS ke Google Security Operations menggunakan Bindplane. Parser mengekstrak kolom dari pesan syslog, terutama berfokus pada peristiwa DHCP. Proses ini menggunakan pola grok untuk mengidentifikasi dan mengategorikan pesan berdasarkan proses (dhcpd, kernel, dll.), lalu memetakan informasi yang relevan ke kolom UDM, menangani permintaan DHCP, konfirmasi, penawaran, dan jenis peristiwa lainnya secara berbeda. Selain itu, kolom ini juga mengisi detail peristiwa umum untuk log non-DHCP dan memetakan informasi koneksi jaringan jika tersedia.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

  • Instance Google SecOps
  • Windows 2016 atau yang lebih baru atau host Linux dengan systemd
  • Jika berjalan di belakang proxy, pastikan port firewall terbuka
  • Akses istimewa ke VyOS

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan.

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

  1. Akses file konfigurasi:
    • Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
    • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

  2. Edit file config.yaml sebagai berikut:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'VYOS'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
    • Ganti <customer_id> dengan ID pelanggan yang sebenarnya.
    • Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart bindplane-agent

  • Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

    net stop BindPlaneAgent && net start BindPlaneAgent

Mengonfigurasi Syslog di VyOS

  1. Login ke router VyOS menggunakan CLI.

  2. Masukkan perintah berikut:

    set system syslog marker interval 1200
set system syslog remote <bindplane-address> facility local0 level info port <bindolane-port> protocol <udp-or-tcp> format include-timezone

  3. Pastikan untuk mengganti kolom berikut dengan detail Anda:

    • <bindplane-address>: Masukkan alamat IP agen Bindplane.
    • <bindolane-port>: Masukkan nomor port agen Bindplane (misalnya, 514).
    • <udp-or-tcp>: Masukkan UDP atau TCP, bergantung pada konfigurasi Bindplane Anda (misalnya, UDP).

Tabel Pemetaan UDM

Kolom Log Pemetaan UDM Logika
clientIp principal.ip Alamat IP klien yang diekstrak dari pesan DHCP.
clientMac principal.mac Alamat MAC klien diekstrak dari pesan DHCP.
datetime metadata.event_timestamp Stempel waktu yang diekstrak dari pesan log.
dst_ipaddress target.ip Alamat IP tujuan diekstrak dari pesan log.
hostname observer.hostname Nama host diekstrak dari pesan log. Ditentukan oleh parser berdasarkan process dan kolom lainnya. Dapat berupa GENERIC_EVENT, NETWORK_CONNECTION, NETWORK_DHCP, atau STATUS_UPDATE. Dikodekan secara permanen ke "VYOS".
msg metadata.description Pesan asli dari log, atau sebagiannya, bergantung pada logika parsing. Disetel ke "DHCP Event" jika process adalah "dhcpd". Dikodekan secara permanen ke "VYOS DHCP". Dikodekan secara permanen ke "VYOS".
network.dhcp.chaddr network.dhcp.chaddr Alamat MAC klien diekstrak dari pesan DHCP.
network.dhcp.ciaddr network.dhcp.ciaddr Alamat IP klien dalam pesan DHCPREQUEST. Opcode pesan DHCP. Disetel ke "BOOTREQUEST" untuk DHCPREQUEST dan DHCPINFORM, "BOOTREPLY" untuk DHCPACK dan DHCPNAK. Jenis pesan DHCP. Diperoleh dari eventType dan dapat berupa REQUEST, ACK, INFORM, NAK, atau OFFER.
network.dhcp.yiaddr network.dhcp.yiaddr Alamat IP Anda (klien) dalam pesan DHCPACK atau DHCPOFFER. Tetapkan ke "DHCP" jika process adalah "dhcpd".
pri_host principal.hostname Nama host yang terkait dengan klien dalam pesan DHCP.
rem_msg metadata.description Bagian pesan yang tersisa setelah penguraian awal, digunakan untuk deskripsi dalam beberapa kasus.
src_ipaddress principal.ip Alamat IP sumber yang diekstrak dari pesan log.
timestamp event.timestamp Stempel waktu entri log.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.