Recolha registos do VyOS

Compatível com:

Google secops SIEM

Nota: esta funcionalidade está abrangida pelos Termos das Ofertas de Pré-DG dos Termos Específicos do serviço Google Security Operations. As funcionalidades de pré-DG podem ter suporte limitado e as alterações às funcionalidades de pré-DG podem não ser compatíveis com outras versões de pré-DG. Para mais informações, consulte as diretrizes do serviço de apoio técnico do Google SecOps e os Termos Específicos do Serviço Google SecOps.

Este documento explica como carregar registos do VyOS para o Google Security Operations através do Bindplane. O analisador extrai campos das mensagens syslog, focando-se principalmente nos eventos DHCP. Usa padrões grok para identificar e categorizar mensagens com base no processo (dhcpd, kernel, etc.) e, em seguida, mapeia informações relevantes para campos UDM, processando pedidos DHCP, confirmações, ofertas e outros tipos de eventos de forma diferente. Também preenche detalhes de eventos genéricos para registos não DHCP e mapeia informações de ligação de rede quando disponíveis.

Antes de começar

Certifique-se de que tem os seguintes pré-requisitos:

• Instância do Google SecOps
• Windows 2016 ou posterior, ou um anfitrião Linux com systemd
• Se estiver a ser executado através de um proxy, certifique-se de que as portas da firewall estão abertas
• Acesso privilegiado ao VyOS

Obtenha o ficheiro de autenticação de carregamento do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Agentes de recolha.
3. Transfira o ficheiro de autenticação de carregamento. Guarde o ficheiro de forma segura no sistema onde o Bindplane vai ser instalado.

Obtenha o ID de cliente do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Perfil.
3. Copie e guarde o ID do cliente da secção Detalhes da organização.

Instale o agente do Bindplane

Instale o agente do Bindplane no seu sistema operativo Windows ou Linux de acordo com as seguintes instruções.

Instalação do Windows

1. Abra a Linha de comandos ou o PowerShell como administrador.

2. Execute o seguinte comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute o seguinte comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalação adicionais

Para ver opções de instalação adicionais, consulte o guia de instalação.

Configure o agente Bindplane para carregar o Syslog e enviá-lo para o Google SecOps

1. Aceda ao ficheiro de configuração:
   • Localize o ficheiro config.yaml. Normalmente, encontra-se no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   • Abra o ficheiro com um editor de texto (por exemplo, nano, vi ou Bloco de notas).

2. Edite o ficheiro config.yaml da seguinte forma:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'VYOS'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
   • Substitua <customer_id> pelo ID de cliente real.
   • Atualize /path/to/ingestion-authentication-file.json para o caminho onde o ficheiro de autenticação foi guardado na secção Obtenha o ficheiro de autenticação de carregamento do Google SecOps.

Reinicie o agente do Bindplane para aplicar as alterações

• Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar o agente Bindplane no Windows, pode usar a consola Serviços ou introduzir o seguinte comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configure o Syslog no VyOS

1. Inicie sessão no router VyOS através da CLI.

2. Introduza os seguintes comandos:

   set system syslog marker interval 1200
   set system syslog remote <bindplane-address> facility local0 level info port <bindolane-port> protocol <udp-or-tcp> format include-timezone
   

3. Certifique-se de que substitui os seguintes campos pelos seus detalhes:

   • <bindplane-address>: introduza o endereço IP do agente Bindplane.
   • <bindolane-port>: introduza o número da porta do agente do Bindplane (por exemplo, 514).
   • <udp-or-tcp>: introduza UDP ou TCP, consoante a configuração do Bindplane (por exemplo, UDP).

Tabela de mapeamento da UDM

Campo de registo	Mapeamento de UDM	Lógica
clientIp	principal.ip	Endereço IP do cliente extraído da mensagem DHCP.
clientMac	principal.mac	Endereço MAC do cliente extraído da mensagem DHCP.
datetime	metadata.event_timestamp	A data/hora extraída da mensagem de registo.
dst_ipaddress	target.ip	Endereço IP de destino extraído da mensagem de registo.
hostname	observer.hostname	Nome do anfitrião extraído da mensagem de registo. Determinado pelo analisador com base no elemento process e noutros campos. Pode ser GENERIC_EVENT, NETWORK_CONNECTION, NETWORK_DHCP ou STATUS_UPDATE. Codificado de forma rígida para "VYOS".
msg	metadata.description	A mensagem original do registo ou uma parte da mesma, consoante a lógica de análise. Defina como "DHCP Event" se o process for "dhcpd". Codificado de forma rígida para "VYOS DHCP". Codificado de forma rígida para "VYOS".
network.dhcp.chaddr	network.dhcp.chaddr	Endereço MAC do cliente extraído de mensagens DHCP.
network.dhcp.ciaddr	network.dhcp.ciaddr	Endereço IP do cliente numa mensagem DHCPREQUEST. Código de operação da mensagem DHCP. Definido como "BOOTREQUEST" para DHCPREQUEST e DHCPINFORM, "BOOTREPLY" para DHCPACK e DHCPNAK. Tipo de mensagem DHCP. Derivado de eventType e pode ser REQUEST, ACK, INFORM, NAK ou OFFER.
network.dhcp.yiaddr	network.dhcp.yiaddr	O seu endereço IP (cliente) numa mensagem DHCPACK ou DHCPOFFER. Defina como "DHCP" se o process for "dhcpd".
pri_host	principal.hostname	Nome do anfitrião associado a um cliente em mensagens DHCP.
rem_msg	metadata.description	A parte restante da mensagem após a análise inicial, usada para a descrição em alguns casos.
src_ipaddress	principal.ip	Endereço IP de origem extraído da mensagem de registo.
timestamp	event.timestamp	A data/hora da entrada do registo.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.