收集 Cisco Secure Network Analytics 記錄

剖析器版本：19.0

本文說明如何使用 Bindplane 代理程式，將 Cisco Secure Network Analytics (前身為 Stealthwatch) 記錄檔擷取至 Google Security Operations。

Cisco Secure Network Analytics 是一項網路流量分析解決方案，可運用現有網路基礎架構的遙測技術偵測威脅。這項服務可提供網路活動的相關資訊、找出異常行為，並偵測指令與控制通訊、橫向移動和資料外洩等進階威脅，且不需要代理程式或額外硬體。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體。
• Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機。
• 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟。
• Cisco Secure Network Analytics Manager (舊稱 Stealthwatch Management Console) 的特殊存取權。
• Cisco Secure Network Analytics Manager 與 Bindplane 代理程式主機之間的網路連線 (透過 UDP 通訊埠 514 或您選擇的系統記錄通訊埠)。

取得 Google SecOps 擷取驗證檔案

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 下載擷取驗證檔案

4. 將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「設定檔」。

3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 等待安裝完成。

4. 執行下列指令，確認安裝成功：

   sc query observiq-otel-collector
   

   服務應顯示為「RUNNING」。

Linux 安裝

1. 開啟具有根層級或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 等待安裝完成。

4. 執行下列指令，確認安裝成功：

   sudo systemctl status observiq-otel-collector
   

   服務應顯示為有效 (執行中)。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

• Linux：

  sudo nano /etc/bindplane-agent/config.yaml
  

• Windows：

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

編輯設定檔

• 將 config.yaml 的所有內容替換為下列設定：

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/cisco_sna:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: 'your-customer-id-here'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: CISCO_STEALTHWATCH
          raw_log_field: body
          ingestion_labels:
  
  service:
      pipelines:
          logs/cisco_sna_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/cisco_sna
  

設定參數

替換下列預留位置：

• 接收器設定：

  • listen_address：要接聽的 IP 位址和通訊埠。使用 0.0.0.0 監聽所有介面。這個通訊埠必須與 Cisco Secure Network Analytics 中設定的通訊埠一致 (預設：514)。

• 匯出工具設定：

  • creds_file_path：擷取驗證檔案的完整路徑：
    • Linux：/etc/bindplane-agent/ingestion-auth.json
    • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id：從 Google SecOps 複製的客戶 ID。
  • endpoint：區域端點網址：
    • 美國：malachiteingestion-pa.googleapis.com
    • 歐洲：europe-malachiteingestion-pa.googleapis.com
    • 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
    • 如需完整清單，請參閱「區域端點」。

儲存設定檔

• 編輯完成後，請儲存檔案：
  • Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
  • Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

• 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

  sudo systemctl restart observiq-otel-collector
  

  1. 確認服務正在執行：

     sudo systemctl status observiq-otel-collector
     

  2. 檢查記錄中是否有錯誤：

     sudo journalctl -u observiq-otel-collector -f
     

• 如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列任一選項：

  • 以管理員身分開啟命令提示字元或 PowerShell：

  net stop observiq-otel-collector && net start observiq-otel-collector
  

  • 服務控制台：

    1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
    2. 找出 observIQ OpenTelemetry Collector。
    3. 按一下滑鼠右鍵，然後選取「重新啟動」。

    4. 確認服務正在執行：

       sc query observiq-otel-collector
       

    5. 檢查記錄中是否有錯誤：

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

設定 Cisco Secure Network Analytics Syslog 轉送

1. 登入 Cisco Secure Network Analytics Manager (舊稱 Stealthwatch Management Console)。
2. 依序前往「設定」>「偵測回應管理」。
3. 按一下「動作」分頁標籤。
4. 在清單中找出預設的「傳送至 Syslog」動作。
5. 在「動作」欄中，按一下「傳送至 Syslog」旁的刪節號 (...)，然後按一下「編輯」。
6. 請提供下列設定詳細資料：
   • 系統記錄伺服器位址：輸入 Bindplane 代理程式主機的 IP 位址。
   • UDP 連接埠：輸入 514 (或在 Bindplane 代理程式 config.yaml 中設定的連接埠)。
   • 訊息格式：選取「CEF」。
7. 按一下右上角的藍色「儲存」按鈕。
8. 按一下「規則」分頁標籤。
9. 按一下「新增規則」或編輯現有規則。
10. 設定規則條件，定義哪些警報會觸發系統記錄動作：
    • 主機警報：選取要轉送的警報類別 (例如「高疑慮指數」、「資料外洩」、「命令與控制」)。
    • 主機群組關係警報：選取要轉送的關係政策 (例如「高流量」、「SYN Flood」)。
11. 在「回應動作」部分，選取「傳送至 Syslog」動作。
12. 按一下 [儲存]。

13. 查看 Bindplane 代理程式記錄，確認是否收到系統記錄訊息。

詳情請參閱「Cisco Secure Network Analytics 說明文件」和「回應管理系統記錄設定指南」。

UDM 對應表

記錄欄位	UDM 對應	邏輯
_about	about	已合併
about	about	已合併
deviceNtDomain	about.administrative_domain	已重新命名/對應
deviceExternalId	about.asset.asset_id	直接對應
device_product	about.asset.asset_id	直接對應
device_vendor	about.asset.asset_id	直接對應
fileHash	about.file.full_path	直接對應
filePath	about.file.full_path	已重新命名/對應
_hash	about.file.sha256	已重新命名/對應
fileHash	about.file.sha256	已重新命名/對應
fsize	about.file.size	已重新命名/對應
dvchost	about.hostname	已重新命名/對應
ips	about.ip	已合併
dvcmac	about.mac	已合併
mac_address	about.mac	已合併
deviceTranslatedAddress	about.nat_ip	已合併
Emne	about.process.command_line	直接對應
Path	about.process.command_line	直接對應
Subject	about.process.command_line	直接對應
deviceProcessName	about.process.command_line	已重新命名/對應
dvcpid	about.process.pid	已重新命名/對應
permissions	about.resource.attribute.permissions	已合併
additional_cfp1	additional.fields	已合併
additional_cfp2	additional.fields	已合併
additional_cfp3	additional.fields	已合併
additional_cfp4	additional.fields	已合併
additional_cn1	additional.fields	已合併
additional_cn2	additional.fields	已合併
additional_cn3	additional.fields	已合併
additional_cs1	additional.fields	已合併
additional_cs2	additional.fields	已合併
additional_cs3	additional.fields	已合併
additional_cs4	additional.fields	已合併
additional_cs5	additional.fields	已合併
additional_cs6	additional.fields	已合併
additional_cs7	additional.fields	已合併
additional_devicePayloadId	additional.fields	已合併
additional_eventId	additional.fields	已合併
additional_flexString1	additional.fields	已合併
additional_fname	additional.fields	已合併
cs5_label	additional.fields	已合併
field_	additional.fields	已合併
_intermediary	intermediary	已合併
data.short_text	metadata.description	直接對應
desc	metadata.description	直接對應
description	metadata.description	直接對應
leef.fullmessage	metadata.description	直接對應
msg	metadata.description	已重新命名/對應
short_text	metadata.description	直接對應
device_event_class_id	metadata.product_event_type	直接對應
eventData_id	metadata.product_event_type	直接對應
event_name	metadata.product_event_type	直接對應
reportName	metadata.product_event_type	直接對應
externalId	metadata.product_log_id	直接對應
id	metadata.product_log_id	直接對應
device_product	metadata.product_name	直接對應
Version	metadata.product_version	直接對應
device_version	metadata.product_version	直接對應
version	metadata.product_version	直接對應
device_vendor	metadata.vendor_name	已重新命名/對應
app_protocol_output	network.application_protocol	直接對應
protocol	network.application_protocol	直接對應
method	network.http.method	直接對應
requestMethod	network.http.method	已重新命名/對應
requestClientApplication	network.http.user_agent	已重新命名/對應
ip_protocol_out	network.ip_protocol	直接對應
ServerBytes	network.received_bytes	已重新命名/對應
in	network.received_bytes	已重新命名/對應
peerBytes	network.received_bytes	已重新命名/對應
data.packets_in	network.received_packets	直接對應
packets_in	network.received_packets	直接對應
ClientBytes	network.sent_bytes	已重新命名/對應
hostBytes	network.sent_bytes	已重新命名/對應
out	network.sent_bytes	已重新命名/對應
data.packets_out	network.sent_packets	直接對應
packets_out	network.sent_packets	直接對應
session_id	network.session_id	直接對應
SourceModuleType	observer.application	直接對應
leef_flowCollectorIP	observer.asset.ip	已合併
leef.flowCollectorName	observer.hostname	直接對應
leef_flowCollectorIP	observer.ip	已合併
leef.domain	principal.administrative_domain	直接對應
sntdom	principal.administrative_domain	已重新命名/對應
sourceServiceName	principal.application	已重新命名/對應
details.title	principal.asset.hostname	直接對應
hostname	principal.asset.hostname	直接對應
prin_host	principal.asset.hostname	直接對應
source_name	principal.asset.hostname	直接對應
ClientIP	principal.asset.ip	已合併
MessageSourceAddress	principal.asset.ip	已合併
connected_ip	principal.asset.ip	已合併
data.connected_ip	principal.asset.ip	已合併
details.ip	principal.asset.ip	已合併
host.ipAddress	principal.asset.ip	已合併
host_ip	principal.asset.ip	已合併
ip	principal.asset.ip	已合併
leef.src	principal.asset.ip	已合併
prin_ip	principal.asset.ip	已合併
sourceIPv4Address	principal.asset.ip	已合併
source_name	principal.asset.ip	已合併
src_ip	principal.asset.ip	已合併
Group_name	principal.group.group_display_name	直接對應
Gruppenavn	principal.group.group_display_name	直接對應
Device_name	principal.hostname	直接對應
Enhetsnavn	principal.hostname	直接對應
details.title	principal.hostname	直接對應
hostname	principal.hostname	直接對應
prin_host	principal.hostname	直接對應
shost	principal.hostname	已重新命名/對應
source_name	principal.hostname	直接對應
ClientIP	principal.ip	已合併
MessageSourceAddress	principal.ip	已合併
connected_ip	principal.ip	已合併
data.connected_ip	principal.ip	已合併
details.ip	principal.ip	已合併
host.ipAddress	principal.ip	已合併
host_ip	principal.ip	已合併
ip	principal.ip	已合併
leef.src	principal.ip	已合併
prin_ip	principal.ip	已合併
principal_ip	principal.ip	已合併
shost	principal.ip	已合併
sourceIPv4Address	principal.ip	已合併
source_name	principal.ip	已合併
src_ip	principal.ip	已合併
Source_HG	principal.location.country_or_region	直接對應
host.country	principal.location.country_or_region	直接對應
leef.sourceHG	principal.location.country_or_region	直接對應
ClientMAC	principal.mac	已合併
mac	principal.mac	已合併
source_mac_address	principal.mac	已合併
source_info.namespace	principal.namespace	直接對應
sourceTranslatedAddress	principal.nat_ip	已合併
sourceTranslatedPort	principal.nat_port	已重新命名/對應
ClientPort	principal.port	已重新命名/對應
SourcePort	principal.port	已重新命名/對應
data.port	principal.port	已重新命名/對應
port	principal.port	已重新命名/對應
spt	principal.port	已重新命名/對應
sproc	principal.process.command_line	已重新命名/對應
process_name	principal.process.file.full_path	直接對應
process_pid	principal.process.pid	直接對應
spid	principal.process.pid	已重新命名/對應
Source_HostSnapshot	principal.url	直接對應
leef.sourceHostSnapshot	principal.url	直接對應
principal_role	principal.user.attribute.roles	已合併
actor_email	principal.user.email_addresses	已合併
actor_name	principal.user.email_addresses	已合併
UserName	principal.user.user_display_name	直接對應
actor.username	principal.user.user_display_name	直接對應
data.actor.username	principal.user.user_display_name	直接對應
source_username	principal.user.user_display_name	直接對應
suser	principal.user.user_display_name	直接對應
actor.id	principal.user.userid	直接對應
data.actor.id	principal.user.userid	直接對應
suid	principal.user.userid	已重新命名/對應
user_name	principal.user.userid	直接對應
security_res	security_result	已合併
security_result	security_result	已合併
_action	security_result.action	已合併
Action_Taken	security_result.action_details	直接對應
act	security_result.action_details	直接對應
cat	security_result.category_details	已合併
Scan_Type	security_result.description	直接對應
Type	security_result.description	直接對應
msg_data_2	security_result.description	直接對應
infection_channel_label	security_result.detection_fields	已合併
operasjon_label	security_result.detection_fields	已合併
operation_label	security_result.detection_fields	已合併
permission_label	security_result.detection_fields	已合併
spyware_Grayware_Type_label	security_result.detection_fields	已合併
threat_probability_label	security_result.detection_fields	已合併
tillatelse_label	security_result.detection_fields	已合併
mwProfile	security_result.rule_name	直接對應
Result	security_result.summary	直接對應
appcategory	security_result.summary	直接對應
reason	security_result.summary	已重新命名/對應
Spyware	security_result.threat_name	直接對應
Unknown_Threat	security_result.threat_name	直接對應
Virus_Malware_Name	security_result.threat_name	直接對應
oldFilePath	src.file.full_path	已重新命名/對應
oldFileSize	src.file.size	已重新命名/對應
old_permissions	src.resource.attribute.permissions	已合併
dntdom	target.administrative_domain	已重新命名/對應
destinationServiceName	target.application	已重新命名/對應
target_hostname	target.asset.hostname	直接對應
DestIPv4Address	target.asset.ip	已合併
ServerIP	target.asset.ip	已合併
ipt	target.asset.ip	已合併
leef.dst	target.asset.ip	已合併
peer.ipAddress	target.asset.ip	已合併
file_path	target.file.full_path	直接對應
file_type	target.file.mime_type	直接對應
target_hostname	target.hostname	直接對應
temp_dhost	target.hostname	直接對應
DestIPv4Address	target.ip	已合併
IPv6_Address	target.ip	已合併
ServerIP	target.ip	已合併
dst_ip	target.ip	已合併
ipt	target.ip	已合併
leef.dst	target.ip	已合併
peer.ipAddress	target.ip	已合併
peer.country	target.location.country_or_region	直接對應
ServerMAC	target.mac	已合併
mac_address	target.mac	已合併
target_mac_address	target.mac	已合併
destination_translated_address	target.nat_ip	已合併
destinationTranslatedPort	target.nat_port	已重新命名/對應
DestPort	target.port	已重新命名/對應
ServerPort	target.port	已重新命名/對應
dpt	target.port	已重新命名/對應
dproc	target.process.command_line	已重新命名/對應
File_name	target.process.file.full_path	直接對應
Infected_Resource	target.process.file.full_path	直接對應
Object	target.process.file.full_path	直接對應
Objekt	target.process.file.full_path	直接對應
dpid	target.process.pid	已重新命名/對應
process_id	target.process.pid	直接對應
resource_Type_label	target.resource.attribute.labels	已合併
SourceModuleName	target.resource.name	直接對應
Target_HostSnapshot	target.url	直接對應
leef.targetHostSnapshot	target.url	直接對應
request	target.url	直接對應
target_role	target.user.attribute.roles	已合併
CustomerName	target.user.user_display_name	直接對應
temp_duser	target.user.user_display_name	直接對應
Bruker	target.user.userid	直接對應
User_value	target.user.userid	直接對應
temp_duid	target.user.userid	直接對應
sid	target.user.windows_sid	直接對應
不適用	about	常數：about
不適用	about.ip	常數：ips
不適用	about.mac	常數：mac_address
不適用	about.nat_ip	常數：deviceTranslatedAddress
不適用	about.resource.attribute.permissions	常數：permissions
不適用	additional.fields	常數：additional_eventId
不適用	intermediary	常數：_intermediary
不適用	metadata.event_type	常數：PROCESS_UNCATEGORIZED
不適用	metadata.product_name	常數：Cisco Stealthwatch
不適用	metadata.vendor_name	常數：Cisco
不適用	network.direction	常數：INBOUND
不適用	network.ip_protocol	常數：TCP
不適用	observer.asset.ip	常數：leef_flowCollectorIP
不適用	observer.ip	常數：leef_flowCollectorIP
不適用	principal.asset.ip	常數：host_ip
不適用	principal.ip	常數：host_ip
不適用	principal.mac	常數：mac
不適用	principal.nat_ip	常數：sourceTranslatedAddress
不適用	principal.user.attribute.roles	常數：principal_role
不適用	principal.user.email_addresses	常數：actor_name
不適用	security_result	常數：security_result
不適用	security_result.action	常數：_action
不適用	security_result.category_details	常數：cat
不適用	security_result.detection_fields	常數：operation_label
不適用	security_result.severity	常數：LOW
不適用	src.resource.attribute.permissions	常數：old_permissions
不適用	target.asset.ip	常數：leef.dst
不適用	target.ip	常數：leef.dst
不適用	target.mac	常數：mac_address
不適用	target.nat_ip	常數：destination_translated_address
不適用	target.resource.attribute.labels	常數：resource_Type_label
不適用	target.user.attribute.roles	常數：target_role
ProtocolIdentifier	network.ip_protocol	從變更記錄對應
inputSNMPIface", "outputSNMPIface", "InPackets	additional.fields	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。