Mengumpulkan log router Yamaha

Didukung di:

Dokumen ini menjelaskan cara menyerap log router Yamaha ke Google Security Operations menggunakan Bindplane. Parser menggunakan pola grok untuk mengekstrak kolom seperti stempel waktu, nama host, pengguna, deskripsi, alamat IP sumber dan tujuan dari pesan syslog. Kemudian, kolom yang diekstrak ini dipetakan ke UDM, mengategorikan jenis peristiwa berdasarkan keberadaan informasi pengguna, target, dan akun utama.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

  • Instance Google SecOps
  • Windows 2016 atau yang lebih baru atau host Linux dengan systemd
  • Jika berjalan di belakang proxy, pastikan port firewall terbuka
  • Akses istimewa ke perlengkapan router Yamaha

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan.

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

  1. Akses file konfigurasi:
    • Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
    • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

  2. Edit file config.yaml sebagai berikut:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'YAMAHA_ROUTER'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
    • Ganti <customer_id> dengan ID pelanggan yang sebenarnya.
    • Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart bindplane-agent

  • Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

    net stop BindPlaneAgent && net start BindPlaneAgent

Mengonfigurasi Syslog untuk router Yamaha

  1. Hubungkan ke router menggunakan SSH atau CLI.

  2. Setel Syslog Host ke IP agen BindPlane:

    • Port default adalah 514/UDP.
    • Ganti <BINDPLANE_IP> dengan alamat IP agen Bindplane yang sebenarnya.
    syslog host <BINDPLANE_IP>

  3. Opsional: Tetapkan fasilitas dan tingkat Syslog:

    syslog facility local0
syslog info

  4. Simpan konfigurasi untuk memastikan perubahan tetap ada setelah perangkat di-reboot:

    save

Aktifkan output Syslog untuk modul yang diperlukan

  1. Mengaktifkan logging untuk fitur tertentu:

    • Logging firewall (filter IP):

      ip filter log on

    • Logging NAT:

      • Dengan 1000 adalah nomor deskriptor NAT yang Anda gunakan (sesuaikan seperlunya).
      nat descriptor log on 1000

    • Logging koneksi PPPoE / WAN:

      pppoe use log on

    • Jika Anda menggunakan DHCP WAN (bukan PPPoE), catat peristiwa DHCP:

      dhcp service log on

    • Untuk logging VPN IPsec:

      ipsec log on

    • Untuk L2TP dan PPTP:

      l2tp log on
pptp log on

    • Mencatat peristiwa aktif/nonaktif antarmuka:

      log state on

    • Anda juga dapat mengaktifkan logging untuk ping keepalive jika Anda menggunakan pemantauan link:

      ping keepalive log on

    • Aktifkan logging untuk akses administratif (seperti SSH atau Telnet):

      console notice
ssh notice
telnet notice

    • Mencatat penetapan DHCP:

      dhcp service log on

    • Pencatatan DNS (jika menggunakan penerusan DNS bawaan):

      dns service log on

    • Pencatatan log transfer email (jika menggunakan notifikasi email):

      smtp service log on

    • Logging DNS dinamis:

      ddns service log on

    • Peristiwa NTP:

      ntpdate log on

    • Logging autentikasi:

      auth log on

    • Logging radius:

      ppp use radius log on

  2. Simpan konfigurasi untuk memastikan perubahan tetap ada setelah dimulai ulang:

    save

Tabel Pemetaan UDM

Kolom Log Pemetaan UDM Logika
data metadata.description Deskripsi diekstrak dari kolom data log mentah menggunakan pola grok. Pola yang berbeda digunakan bergantung pada format pesan log. Contoh: "initiate ISAKMP phase", "Connection closed", "succeeded for SSH".
data metadata.event_timestamp Stempel waktu diekstrak dari kolom data log mentah menggunakan pola grok, lalu dikonversi menjadi objek stempel waktu menggunakan filter date. Format MMM dd HH:mm:ss dan MMM d HH:mm:ss didukung.
data principal.asset.hostname Nama host diekstrak dari kolom data log mentah menggunakan pola grok.
data principal.asset.ip Alamat IP utama diekstrak dari kolom data log mentah menggunakan pola grok. Ini dipetakan ke principal.asset.ip dan principal.ip.
data principal.hostname Nama host diekstrak dari kolom data log mentah menggunakan pola grok.
data principal.ip Alamat IP utama diekstrak dari kolom data log mentah menggunakan pola grok. Ini dipetakan ke principal.asset.ip dan principal.ip.
data principal.user.userid ID pengguna diekstrak dari kolom data log mentah menggunakan pola grok.
data target.asset.ip Alamat IP target diekstrak dari kolom data log mentah menggunakan pola grok.
data target.ip Alamat IP target diekstrak dari kolom data log mentah menggunakan pola grok. Jenis peristiwa ditentukan oleh logika parser berdasarkan keberadaan kolom tertentu. Jika principal dan target ada, jenis acaranya adalah NETWORK_CONNECTION. Jika user ada, jenis peristiwanya adalah USER_UNCATEGORIZED. Jika hanya principal yang ada, jenis peristiwanya adalah STATUS_UPDATE. Jika tidak, nilai defaultnya adalah GENERIC_EVENT. Dikodekan secara permanen ke "YAMAHA_ROUTER". Dikodekan secara permanen ke "YAMAHA_ROUTER". Dikodekan secara permanen ke "YAMAHA_ROUTER".
log_type metadata.log_type Disalin langsung dari kolom log_type log mentah.
timestamp timestamp Ini adalah waktu penyerapan log dan ditambahkan secara otomatis oleh platform Chronicle. Tidak diuraikan dari log mentah.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.