收集 Array Networks SSL VPN 日志

解析器版本： 1.0

支持：

Google SecOps SIEM

本文档介绍如何使用 Bindplane 代理将 Array Networks SSL VPN 日志注入 Google Security Operations。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
运行 Windows 2016 或更高版本或 Linux 主机，且具有 systemd
如果通过代理运行，请确保防火墙端口根据 Bindplane 代理要求处于开放状态
对 Array Networks SSL VPN 管理控制台或设备（AG 系列或 vxAG）的特权访问权限

获取 Google SecOps 注入身份验证文件

登录 Google SecOps 控制台。
前往 SIEM 设置 > 收集代理。
下载数据注入身份验证文件。
将该文件安全地保存在将安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
前往 SIEM 设置 > 个人资料。
从组织详细信息 部分复制并保存客户 ID 。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符 或 PowerShell 。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安装

使用 root 或 sudo 权限打开终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安装资源

如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并发送到 Google SecOps

访问配置文件：
- 找到 config.yaml 文件。通常，该文件位于 Linux 上的 /etc/bindplane-agent/ 目录或 Windows 上的安装目录中。
- 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

按如下方式修改 config.yaml 文件：

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ARRAYNETWORKS_VPN'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

根据基础架构的需要替换端口和 IP 地址。
将 <CUSTOMER_ID> 替换为实际的客户 ID。
将 /path/to/ingestion-authentication-file.json 更新为在第 1 步中保存身份验证文件的文件路径。
端点 malachiteingestion-pa.googleapis.com 适用于美国区域。如果您的 Google SecOps 实例位于其他区域，请使用租户文档中提供的适合该区域的注入端点。

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请运行以下命令：
```
sudo systemctl restart observiq-otel-collector
```
如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

在 Array Networks SSL VPN 上配置 Syslog 转发

登录 Array Networks SSL VPN 管理控制台 (WebUI)。
在左侧的导航菜单中，点击 ADMIN TOOLS 。
点击监控。
点击 Logging 标签页。
点击 Syslog Servers 子标签页。
在 REMOTE SYSLOG SERVER CONFIGURATION 部分，点击 Add Server Entry 。
提供以下配置详细信息：
- Host IP：输入 Bindplane 代理 IP 地址。
- Host Port：输入 Bindplane 代理端口号（例如 514）。
- 协议：根据您的 Bindplane 代理配置，选择 UDP 或 TCP。
- 源端口：保留默认值，或根据网络配置的需要指定。
- 级别：选择要转发的最低严重级别（例如 Informational、Warning、Error）。
点击添加或保存以应用配置。
点击页面顶部的 Save Configuration 以保存更改。

注意：上述界面路径基于 Array Networks AG 系列和 vxAG 固件。如果您的固件版本不同，确切的菜单标签可能会略有不同。如需了解特定于固件的说明，请参阅 Array Networks 管理指南。

UDM 映射表

日志字段	UDM 映射	逻辑
`clientip`	`principal.ip`	从原始日志消息中的 `clientip` 字段提取的客户端 IP 地址。
`column1`	`principal.ip`	从原始日志中的 `column1` 提取的 IP 地址。
`column1`	`principal.asset.ip`	从原始日志中的 `column1` 提取的 IP 地址。
`column3`	`network.received_bytes`	收到的字节数，转换为无符号整数。
`column4`	`network.http.method`	从原始日志中的 `column4` 提取的 HTTP 方法。
`column7`	`target.ip`	从原始日志中的 `column7` 提取的目标 IP 地址。
`dport`	`target.port`	目标端口，转换为整数。
`dst`	`target.ip`	目标 IP 地址。
`dst`	`target.asset.ip`	目标 IP 地址。
`hostname`	`principal.hostname`	从原始日志消息中的 `hostname` 字段提取的主机名。
`hostname`	`principal.asset.hostname`	从原始日志消息中的 `hostname` 字段提取的主机名。
`http_method`	`network.http.method`	从原始日志消息中提取的 HTTP 方法。
`id`	`principal.application`	原始日志中的应用 ID。
`mac`	`principal.mac`	从原始日志消息中的 `mac` 字段提取的 MAC 地址。
`msg`	`metadata.product_event_type`	原始日志中的消息字段，用作产品事件类型。在移除反斜杠和引号后，也用于 `security_result.description`。
`product_name`	`metadata.product_name`	从原始日志消息中提取的产品名称。
`prxy_ip`	`intermediary.ip`	代理 IP 地址。
`prxy_port`	`intermediary.port`	代理端口，转换为整数。
`response_code`	`network.http.response_code`	HTTP 响应代码，转换为整数。
`security_result.action`	`security_result.action`	由解析器逻辑根据 `column2` 的值确定。如果 `column2` 包含“TCP_MISS”，则为“BLOCK”，否则为“UNKNOWN_ACTION”。
`security_result.description`	`security_result.description`	原始日志中的消息字段，在移除反斜杠和引号后。
`sport`	`principal.port`	来源端口，转换为整数。
`src`	`principal.ip`	来源 IP 地址。
`src`	`principal.asset.ip`	来源 IP 地址。
`target_hostname`	`target.hostname`	从原始日志消息中提取的目标主机名。
`timestamp`	`metadata.event_timestamp`	从原始日志消息中提取并解析为时间戳对象的时间戳。
`uri`	`target.url`	目标网址的一部分。与 `uri_param` 结合形成完整网址。
`uri_param`	`target.url`	目标网址的一部分。与 `uri` 结合形成完整网址。
`user`	`target.user.userid`	从原始日志消息中提取的用户名。
`user_agent_string`	`network.http.user_agent`	从原始日志消息中提取的用户代理字符串。
`vpn`	`target.user.group_identifiers`	从原始日志消息中提取的 VPN 名称。
`metadata.event_type`	`metadata.event_type`	由解析器逻辑根据 `has_principal`、`has_target`、`has_http_value` 和 `user` 等字段的组合确定。可以是“NETWORK_HTTP”“NETWORK_CONNECTION”“STATUS_UPDATE”“USER_UNCATEGORIZED”或“GENERIC_EVENT”。
`network.ip_protocol`	`network.ip_protocol`	如果消息包含“TCP”，则设置为“TCP”。

更新日志

查看此解析器的更新日志