Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Aruba IPS 記錄

剖析器版本：3.0

支援的服務：

Google SecOps SIEM

本文說明如何使用 Bindplane 代理程式，將 Aruba IPS 記錄擷取至 Google Security Operations。剖析器會從 JSON 格式的記錄中擷取事件、通知、未經授權的 AP，以及 WIDS AP 資訊。這個剖析器會對應欄位、處理各種事件類型 (使用者登入/登出、網路事件、安全性事件)，並加入管道、SSID、BSSID 和嚴重性等背景資訊，將原始記錄資料轉換為 UDM。剖析器也會執行時間戳記正規化，並執行格式錯誤 JSON 的錯誤處理。

事前準備

請確認您符合下列必要條件：

Google SecOps 執行個體
Windows 2016 以上版本或 Linux 主機，並安裝 systemd
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
Aruba 裝置管理控制台或 CLI 的特殊權限

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

新部署作業：使用 Chronicle API (選項 1)。
舊版部署作業：繼續使用擷取驗證檔案 (選項 2)，直到 Ingestion API 於 2027 年 7 月 20 日停用。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
按一下「建立服務帳戶」。
提供下列設定詳細資料：
- 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如 bindplane-ingest)。
- 服務帳戶說明：輸入說明 (例如 Bindplane agent log ingestion)。
點按「Create and continue」(建立並繼續)。
在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
依序點選「繼續」和「完成」。
按一下您建立的服務帳戶，然後前往「金鑰」分頁。
依序點選「新增金鑰」>「建立新的金鑰」。
選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
依序前往「IAM 與管理」>「設定」，然後複製「專案編號」。匯出工具設定時會用到。

方法 2：下載擷取驗證檔案 (舊版)

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」 > 「設定檔」。
複製並儲存「機構詳細資料」部分的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

安裝 Linux

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理，擷取系統記錄檔並傳送至 Google SecOps

存取設定檔：
- 找出 config.yaml 檔案。通常位於 Linux 的 /opt/observiq-otel-collector/ 目錄，或 Windows 的安裝目錄。
- 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

按照下列方式編輯 config.yaml 檔案：

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID_HERE
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ARUBA_IPS'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

視基礎架構需求更換連接埠和 IP 位址。
將 YOUR_CUSTOMER_ID_HERE 替換為實際的客戶 ID。
將 /path/to/ingestion-authentication-file.json 更新為步驟 1 中儲存服務帳戶金鑰檔案 (選項 1) 的檔案路徑。
將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。如需完整清單，請參閱「區域性端點」。
將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。

舊版擷取 API 匯出工具

如果您使用選項 2 的擷取驗證檔案，請將 exporters 區塊替換為下列內容。將 creds_file_path 設為擷取驗證檔案的路徑，如果您的執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID_HERE
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ARUBA_IPS'
    raw_log_field: body
    ingestion_labels:

重新啟動 Bindplane 代理程式，套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
```
sudo systemctl restart observiq-otel-collector
```
如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，也可以輸入下列指令：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

在 Aruba 裝置上設定 Syslog 轉送

請根據 Aruba 裝置類型選擇設定方法：

選項 A：Aruba 控制器 (AOS-8)

使用 WebUI (建議用於 CEF 格式)

登入 Aruba Controller 網頁介面。
在「受管理網路」節點階層中，依序前往「設定」>「系統」>「記錄」>「系統記錄伺服器」。
如要新增記錄伺服器，請按一下「Syslog Servers」部分中的「+」。
提供下列設定詳細資料：
- 伺服器 IP 位址：輸入 Bindplane 代理程式 IP 位址。
- Port：輸入 514 (或在 Bindplane 設定的通訊埠)。
- 通訊協定：根據 Bindplane 代理程式設定，選取「UDP」或「TCP」。
按一下「套用」。
如要選取要記錄的訊息類型，請選取「Logging Levels」。
選取要記錄的類別或子類別。
如要選取類別或子類別的嚴重性等級，請從「Logging Level」(記錄層級) 下拉式選單中選取等級。
從「Format」(格式) 下拉式選單中，選取記錄格式「CEF」或「BSD-standard」。
- 建議使用 ArcSight CEF (通用事件格式) 進行結構化記錄。
按一下「提交」。
按一下「待處理變更」。
在「待處理變更」視窗中，選取核取方塊並點選「部署變更」。

選項 B：Aruba Instant AP

使用網頁版使用者介面

登入 Aruba Instant 網頁介面。
在 Instant 主視窗中，按一下「System」連結。
按一下「顯示進階選項」，顯示進階選項。
點選「監控」分頁標籤。
- 「監控」分頁的詳細資料會隨即顯示。
在「伺服器」部分的「Syslog server」文字方塊中，輸入 Bindplane 代理程式的 IP 位址。
在「Syslog Facility Levels」(Syslog 設施層級) 部分，選取必要的值來設定 Syslog 設施層級。
- Syslog Level：Syslog 層級的詳細記錄。
- AP-Debug：Instant AP 裝置的詳細記錄。
- 網路：網路變更記錄，例如將新的 Instant AP 新增至網路。
- 安全性：記錄網路安全相關資訊，例如用戶端使用錯誤密碼連線時。
- 系統：設定和系統狀態的記錄。
- 使用者：與用戶端相關的重要記錄。
- User-Debug：用戶端的詳細記錄。
- 無線：無線電相關記錄。
按一下「確定」儲存設定。

使用 CLI

登入 Aruba Instant AP CLI。
進入設定模式：
```
configure terminal
```
設定系統記錄伺服器和層級：
```
syslog-server <BINDPLANE_IP_ADDRESS>
syslog-level warnings
```
- 將 <BINDPLANE_IP_ADDRESS> 替換為 Bindplane 代理程式主機的 IP 位址。
- 視需要調整嚴重程度。

選項 C：Aruba AOS-S (交換器)

登入 Aruba AOS-S 交換器 CLI。
進入設定模式：
```
configure
```
設定 syslog 伺服器：
```
logging <BINDPLANE_IP_ADDRESS>
logging severity warnings
```
- 將 <BINDPLANE_IP_ADDRESS> 替換為 Bindplane 代理程式主機的 IP 位址。
- 視需要調整嚴重性等級。
儲存設定：
```
write memory
```

選項 D：Aruba Central (地端部署)

登入 Aruba Central 網頁介面。
依序前往「System」(系統) >「System Administration」(系統管理) >「Notifications」(通知) >「Syslog Server」(系統記錄伺服器)。
按一下「新增」或「啟用」。
提供下列設定詳細資料：
- Host：輸入 Bindplane 代理程式 IP 位址。
- Port：輸入 514 (或在 Bindplane 設定的通訊埠)。
- 通訊協定：根據 Bindplane 代理程式設定，選取「UDP」或「TCP」。
- Facility：選取「Local7」或視需要選取。
- 「嚴重性」：選取最低記錄層級 (例如「警告」或「資訊」)。
按一下 [儲存]。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`notifications.created_timestamp`	`metadata.event_timestamp.seconds`	原始記錄欄位 `notifications.created_timestamp` 會轉換為秒並對應。轉換時會遺失奈秒。
`notifications.customer_id`	`metadata.product_log_id`	直接對應。
`notifications.device_id`	`principal.resource.product_object_id`	直接對應。
`notifications.group_name`	`principal.group.group_display_name`	直接對應。
`notifications.id`	`metadata.product_log_id`	直接對應。
`notifications.timestamp`	`metadata.event_timestamp.seconds`	原始記錄欄位 `notifications.timestamp` 會轉換為秒數並對應。
`rogue_aps.acknowledged`	`security_result.detection_fields.value`，其中 `security_result.detection_fields.key` 為「acknowledged」	轉換為字串並對應。
`rogue_aps.containment_status`	`metadata.description`	直接對應。
`rogue_aps.cust_id`	`metadata.product_log_id`	直接對應。
`rogue_aps.encryption`	`security_result.detection_fields.value`，其中 `security_result.detection_fields.key` 為「encryption」	直接對應。
`rogue_aps.first_det_device`	`principal.resource.product_object_id`	直接對應。
`rogue_aps.first_det_device_name`	`principal.hostname`	直接對應。
`rogue_aps.first_seen`	`principal.domain.first_seen_time.seconds`	剖析為日期，並對應自 Epoch 起算的秒數。
`rogue_aps.group_name`	`principal.group.group_display_name`	直接對應。
`rogue_aps.id`	`principal.mac`	小寫並對應。
`rogue_aps.labels`	`security_result.detection_fields.value`，其中 `security_result.detection_fields.key` 為「labels」	直接對應。
`rogue_aps.last_det_device`	`security_result.about.user.product_object_id`	直接對應。
`rogue_aps.last_det_device_name`	`target.hostname`	直接對應。
`rogue_aps.last_seen`	`principal.domain.last_seen_time.seconds`	剖析為日期，並對應自 Epoch 起算的秒數。如果存在，也會用作事件時間戳記。
`rogue_aps.mac_vendor`	`target.administrative_domain`	直接對應。
`rogue_aps.name`	`target.user.userid`	直接對應。
`rogue_aps.overriden`	`security_result.detection_fields.value`，其中 `security_result.detection_fields.key` 為「overriden」	轉換為字串並對應。
`rogue_aps.signal`	`security_result.detection_fields.value`，其中 `security_result.detection_fields.key` 為「signal」	轉換為字串並對應。
`rogue_aps.ssid`	`security_result.detection_fields.value`，其中 `security_result.detection_fields.key` 為「ssid」	直接對應。
`site`	`principal.location.name`	直接對應。
`wids_aps_info_list.attack_type`	`metadata.description`	直接對應。
`wids_aps_info_list.detected_ap`	`principal.hostname`	直接對應。
`wids_aps_info_list.description`	`security_result.description`	直接對應。也用於使用 grok 擷取多個欄位。
`wids_aps_info_list.event_time`	`metadata.event_timestamp.seconds`	轉換為字串，並做為事件時間戳記 (如有)。
`wids_aps_info_list.event_type`	`metadata.product_event_type`	直接對應。
`wids_aps_info_list.macaddr`	`principal.mac`	轉換為小寫並對應。
`wids_aps_info_list.radio_band`	`security_result.detection_fields.value`，其中 `security_result.detection_fields.key` 為「radio_band」	直接對應。
`wids_aps_info_list.virtual_controller`	`target.hostname`	直接對應。如果 `notifications.severity` 為「Emergency」、「Alert」或「Critical」，請設為 `true`。如果 `notifications.severity` 為「緊急」、「警示」或「重大」，請設為 `true`。由 `events.event_type` 或 `notifications.type` 欄位決定，或預設為 `GENERIC_EVENT`。系統會根據邏輯衍生多個對應項：`STATUS_STARTUP`、`STATUS_SHUTDOWN`、`STATUS_UPDATE`、`USER_LOGIN`、`USER_LOGOUT`。一律設為「ARUBA_IPS」。一律設為「ARUBA_IPS」。一律設為「ARUBA」。如果 `events.event_type` 為「Client DHCP Acknowledged」或「Client DHCP Timeout」，請設為「DHCP」。如果 `events.event_type` 為「Client DHCP Acknowledged」或「Client DHCP Timeout」，請設為「BOOTREPLY」。如果 `events.event_type` 為「Client DHCP Acknowledged」，則使用 grok 從 `events.description` 擷取。如果 `events.event_type` 為「Client DHCP Acknowledged」且 `events.description` 包含 IP 位址，請設為「ACK」。否則請設為「WIN_EXPIRED」。如果 `events.event_type` 的開頭是「Radio」、「WLAN」、「AP」或「Security」，請設為「ACCESS POINT」。如果 `events.event_type` 的開頭是「Radio」、「WLAN」、「AP」或「Security」，請設為「DEVICE」。大多數用戶端事件會對應 `events.client_mac`，惡意 AP 事件則會對應 `rogue_aps.last_det_device`。如果 `events.event_type` 為特定值，或 `notifications.description` 包含「DoS 攻擊」或「disconnect attack」，請設為「AUTH_VIOLATION」。為特定 `events.event_type` 值設定。系統會根據擷取的欄位 (例如 `bssid`、`channel`、`previous_channel`、`ssid`、`previous bssid`、`acknowledged`、`overriden`、`encryption`、`signal`、`labels`、`radio_band`) 新增多個鍵值組。從 `wids_aps_info_list.description` 對應至 wids 事件。由 `notifications.severity` 或 `wids_aps_info_list.level` 決定。如果是 wids 事件，請設為「level: %{wids_aps_info_list.level}」。設定特定 `events.event_type` 值。從 `rogue_aps.mac_vendor` 對應，用於惡意 AP 事件。從 `rogue_aps.last_det_device_name` (用於惡意 AP 事件) 或 `wids_aps_info_list.virtual_controller` (用於 wids 事件) 對應。如果 `events.event_type` 為「Security」，則使用 grok 從 `events.description` 擷取。從通知事件的 `notifications.client_mac`、用戶端事件的 `events.client_mac`、從 WID 事件的 `wids_aps_info_list.description` 擷取的 `target_mac`，或從未經授權的 AP 事件的 `rogue_aps.id` 對應。大多數用戶端事件都應設為「CLIENT」。大多數用戶端事件都應設為「DEVICE」。如果 `events.event_type` 為「Security」，請設為「ACTIVE」。從 `rogue_aps.name` 對應至未經授權的 AP 事件。
`events.bssid`	`security_result.detection_fields.value`，其中 `security_result.detection_fields.key` 為「bssid」	直接對應。
`events.client_mac`	`target.mac`	直接對應。也用於填入用戶端事件的 `security_result.about.user.product_object_id`，以及「安全性」事件的 `target.ip`。
`events.description`	`metadata.description`	直接對應 AP 和無線電事件。用於使用 grok 擷取其他事件類型的多個欄位。
`events.device_mac`	`principal.mac`	直接對應。
`events.device_serial`	`principal.resource.product_object_id`	直接對應。
`events.events_details.2.channel`	`security_result.detection_fields.value`，其中 `security_result.detection_fields.key` 為「channel」	直接對應。
`events.group_name`	`principal.group.group_display_name`	直接對應。
`events.hostname`	`principal.hostname`	直接對應。
`events.timestamp`	`metadata.event_timestamp.seconds`	轉換為字串、移除毫秒，然後進行對應。如果存在，也會用作事件時間戳記。
`timestamp`	`metadata.event_timestamp`	如果沒有其他時間戳記欄位，系統會將這個欄位做為事件時間戳記。大多數用戶端事件和「安全性」事件都應設為「ACTIVE」。如果 `events.event_type` 為「Client 802.1x Radius Reject」，請設為「AUTHTYPE_UNSPECIFIED」。如果 `events.event_type` 為「Security」，則使用 grok 從 `events.description` 擷取。

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。