收集 BlueCat DDI 記錄

剖析器版本：1.0

支援的國家/地區：

本文說明如何使用 Bindplane，將 BlueCat DDI 記錄檔擷取至 Google Security Operations。BlueCat DDI 整合了 DNS、DHCP 和 IP 位址管理 (IPAM) 解決方案，可集中管理及自動化核心網路服務。可協助機構在複雜的企業環境中管理 DNS 區域、DHCP 範圍和 IP 位址分配。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體。
  • 搭載 systemd 的 Windows 2016 以上版本或 Linux 主機。
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟。
  • BlueCat Address Manager 管理控制台的特殊存取權。

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。
  3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

  1. 存取設定檔：

    • 找出 config.yaml 檔案。通常位於 Linux 的 /observiq-otel-collector/ 目錄，或 Windows 的安裝目錄。
    • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

  2. 按照下列方式編輯 config.yaml 檔案：

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/bluecat_ddi:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: BLUECAT_DDI
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/bluecat_ddi:
            receivers:
                - udplog
            exporters:
                - chronicle/bluecat_ddi
  • 視基礎架構需求，替換通訊埠和 IP 位址。
  • 將 <customer_id> 替換為實際的客戶 ID。
  • 將 /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」部分中驗證檔案的儲存路徑。

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列步驟：

  1. 執行下列指令：

    sudo systemctl restart observiq-otel-collector

  2. 確認服務正在執行：

    sudo systemctl status observiq-otel-collector

  3. 檢查記錄中是否有錯誤：

    sudo journalctl -u observiq-otel-collector -f

如要在 Windows 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

  1. 您可以選擇下列其中一個選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：
    net stop observiq-otel-collector && net start observiq-otel-collector
    • 服務控制台：
      1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出 observIQ OpenTelemetry Collector。
      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

  2. 確認服務正在執行：

    sc query observiq-otel-collector

  3. 檢查記錄中是否有錯誤：

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

設定 BlueCat DDI 系統記錄檔轉送功能

在 BlueCat Address Manager 上設定系統記錄

  1. 登入 BlueCat Address Manager 網頁介面。
  2. 從「設定」下拉式選單中選取設定。
  3. 選取「伺服器」分頁標籤。
  4. 在「伺服器」下方，按一下要設定的 BDDS (BlueCat DNS/DHCP 伺服器) 名稱。
  5. 按一下「系統記錄」Syslog分頁標籤。
  6. 在「系統記錄」下方，按一下「新增」。
  7. 請提供下列設定詳細資料：
    • 伺服器位址：輸入 Bindplane 代理程式主機的 IP 位址 (例如 192.168.1.100)。
    • 「Port」(通訊埠)：輸入 514 (或您設定的 Bindplane 代理程式通訊埠)。
    • 傳輸：選取「UDP」。
  8. 按一下「新增」，儲存系統記錄重新導向項目。
  9. 按一下「部署」，將更新後的設定推送至 BDDS 設備。

透過 CLI 在 BlueCat DNS/DHCP 伺服器 (BDDS) 上設定系統記錄

如要直接在 BDDS 設備上設定系統記錄轉送，而不是透過 Address Manager，請按照下列步驟操作：

  1. 透過 SSH 連線至 BDDS 設備。
  2. 使用管理員憑證登入。

  3. 編輯 syslog-ng 設定檔：

    sudo vi /etc/syslog-ng/syslog-ng.conf

  4. 新增下列目的地和記錄陳述式：

    destination d_bindplane {
    udp("<BINDPLANE_IP>" port(514));
};

log {
    source(s_local);
    destination(d_bindplane);
};

  5. 將 <BINDPLANE_IP> 替換為 Bindplane 代理程式主機的 IP 位址。

  6. 儲存檔案並重新啟動 syslog-ng 服務：

    sudo systemctl restart syslog-ng

  7. 檢查 Bindplane 代理程式記錄，確認記錄是否已轉送。

UDM 對應表

記錄欄位 UDM 對應 邏輯
auth_mechanism extensions.auth.mechanism 已合併
log_type extensions.auth.mechanism 已對應：systemd → auth_mechanism
log_type extensions.auth.type 已對應：CRON → AUTHTYPE_UNSPECIFIED、audit → AUTHTYPE_UNSPECIFIED
log_type intermediary 已對應：named → intermediary
relay_ip intermediary.ip 已合併
description metadata.description 已重新命名/對應
inner_message metadata.description 直接對應
kv.cat metadata.description 直接對應
msg metadata.description 直接對應
ts metadata.event_timestamp 已剖析為 MMM d HH:mm:ss
ts_date metadata.event_timestamp 已剖析為 MMM d HH:mm:ss
ts_timestamp metadata.event_timestamp 已剖析為 yyyy-MM-dd HH:mm:ss
has_principal metadata.event_type 已對應：true → NETWORK_CONNECTION
log_type metadata.event_type 對應值 (共 15 個，例如 named → USER_UNCATEGORIZED、named → NETWORK_DNS、`dhcp...
message metadata.event_type 已對應：session closed → USER_LOGOUT
operation_type metadata.event_type 已對應：view → USER_UNCATEGORIZED
csv.event_id metadata.product_event_type 直接對應
log_type network.application_protocol 已對應：named → DNS、dhcpd → DHCP
client_mac network.dhcp.chaddr 直接對應
client_ip network.dhcp.ciaddr 直接對應
src_ip network.dhcp.ciaddr 直接對應
relay_ip network.dhcp.giaddr 直接對應
log_type network.dhcp.opcode 已對應：dhcpd → BOOTREQUEST、dhcpd → BOOTREPLY
message_type network.dhcp.opcode 對應值 (共 7 個，例如 DHCPDISCOVER → BOOTREQUEST、"DHCPREQUEST", "BOOTREQUEST" ...
src_ip network.dhcp.siaddr 直接對應
server_host network.dhcp.sname 已重新命名/對應
log_type network.dhcp.type 對應值 (共 7 個，例如 dhcpd → DISCOVER、dhcpd → REQUEST、dhcpd → OFFER)
message_type network.dhcp.type 對應值 (共 7 個，例如 DHCPDISCOVER → DISCOVER、"DHCPREQUEST", "BOOTREQUEST" → `...
src_ip network.dhcp.yiaddr 直接對應
log_type network.dns.answers 已對應：named → response
response network.dns.answers 已合併
log_type network.dns.questions 已對應：named → query
query network.dns.questions 已合併
question network.dns.questions 已合併
ses network.session_id 直接對應
hostname principal.hostname 直接對應
server_host principal.hostname 直接對應
kv.src principal.ip 已合併
log_type principal.ip 對應：named → src_ip、dhcpd → src_ip、syslog-ng → src_ip
src_ip principal.ip 已合併
client_mac principal.mac 已合併
log_type principal.mac 已對應：dhcpd → client_mac
message_type principal.mac 已對應：DHCPDISCOVER → client_mac、"DHCPREQUEST", "BOOTREQUEST" → client_mac、`DHCPR...
src_port principal.port 已重新命名/對應
acct principal.user.userid 直接對應
src_user principal.user.userid 直接對應
application target.application 直接對應
terminal target.application 直接對應
file_path target.file.full_path 直接對應
server_host target.hostname 直接對應
target_host target.hostname 直接對應
log_type target.ip 對應：named → target_ip、dhcpd → target_ip、syslog-ng → target_ip
server_ip target.ip 已合併
target_ip target.ip 已合併
client_mac target.mac 已合併
log_type target.mac 已對應：dhcpd → client_mac
message_type target.mac 已對應："DHCPOFFER", "BOOTREPLY" → client_mac、DHCPACK → client_mac、DHCPNAK → `cl...
tgt_port target.port 已重新命名/對應
cmd target.process.command_line 直接對應
exe target.process.command_line 直接對應
file_path target.process.file.full_path 直接對應
pid target.process.pid 直接對應
不適用 extensions.auth.type 常數：AUTHTYPE_UNSPECIFIED
不適用 metadata.event_type 常數：USER_UNCATEGORIZED
不適用 metadata.product_name 常數：Bluecat DDI
不適用 metadata.vendor_name 常數：Bluecat Networks
不適用 network.application_protocol 常數：DNS
不適用 network.dhcp.opcode 常數：BOOTREQUEST
不適用 network.dhcp.type 常數：DISCOVER

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。