收集 Cisco 無線 LAN 控制器 (WLC) 記錄

剖析器版本：12.0

支援：

本文說明如何使用 Bindplane 代理程式，將 Cisco 無線 LAN 控制器 (WLC) 記錄檔擷取至 Google Security Operations。

剖析器會使用 grok 模式從 Cisco WLC 系統記錄訊息中擷取欄位，並處理各種記錄格式，包括 DHCP、驗證和網路事件。並根據 mnemonic 和郵件內容判斷事件類型。

事前準備

請確認您符合下列必要條件：

  • Google SecOps 執行個體
  • Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
  • Bindplane 代理程式與 Cisco WLC 之間的網路連線
  • 如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
  • Cisco WLC 的特殊存取權

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

  • 新部署作業：使用 Chronicle API (選項 1)。
  • 舊版部署作業：在 2027 年 7 月 20 日停用 Ingestion API 前，請繼續使用擷取驗證檔案 (選項 2)。
  1. 登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
  2. 依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
  3. 按一下「建立服務帳戶」。
  4. 請提供下列設定詳細資料：
    • 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如 bindplane-ingest)。
    • 服務帳戶說明：輸入說明 (例如 Bindplane agent log ingestion)。
  5. 點按「Create and continue」(建立並繼續)。
  6. 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
  7. 依序點選「繼續」和「完成」。
  8. 按一下您建立的服務帳戶，然後前往「金鑰」分頁標籤。
  9. 依序點選「新增金鑰」>「建立新的金鑰」。
  10. 選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
  11. 將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
  12. 依序前往「IAM 與管理」>「設定」，然後複製「專案編號」。匯出工具設定時會用到。

方法 2：下載擷取驗證檔案 (舊版)

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案。
  4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。

  3. 複製並儲存「機構詳細資料」部分的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sc query observiq-otel-collector

    服務應顯示為「RUNNING」。

Linux 安裝

  1. 開啟具有 root 或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sudo systemctl status observiq-otel-collector

    服務應顯示為「active (running)」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

  • Linux：

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

  • 將 config.yaml 的全部內容替換為下列設定：

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/cisco_wireless:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: CISCO_WIRELESS
    raw_log_field: body

service:
  pipelines:
    logs/cisco_wireless_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/cisco_wireless

設定參數

替換下列預留位置：

  • 接收器設定：

    • listen_address：要接聽的 IP 位址和通訊埠：
      • 0.0.0.0 在所有介面接聽電話 (建議)
      • 通訊埠 514 是標準的系統記錄通訊埠 (在 Linux 上需要根層級權限；如果沒有根層級權限，請使用 1514)

  • Exporter 設定：

    • creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：
      • Linux：/opt/observiq-otel-collector/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id：從 Google SecOps 控制台複製的客戶 ID
    • location：將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會以這個值做為 chronicle.googleapis.com 的前置字元。如需完整清單，請參閱「區域性端點」。
    • project：依序前往「IAM 與管理」>「設定」，然後將 <PROJECT_NUMBER> 替換為專案編號。
    • endpoint：請將此值設為 chronicle.googleapis.com。

舊版 Ingestion API 匯出工具

  • 如果您使用方式 2 的擷取驗證檔案，請將 exporters 區塊替換成下列內容。將 creds_file_path 設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

    exporters:
  chronicle/cisco_wireless:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CISCO_WIRELESS
    raw_log_field: body

儲存設定檔

  • 編輯完成後，請儲存檔案：
    • Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依序點選「檔案」 > 「儲存」

重新啟動 Bindplane 代理程式，套用變更

  • 如要在 Linux 重新啟動 Bindplane 代理程式，請執行下列指令：

    sudo systemctl restart observiq-otel-collector

    1. 確認服務正在執行：

      sudo systemctl status observiq-otel-collector

    2. 查看記錄檔是否有錯誤：

      sudo journalctl -u observiq-otel-collector -f

  • 如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列任一選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 服務控制台：

      1. 按下 Win+R 鍵，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出「observIQ OpenTelemetry Collector」。
      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

      4. 確認服務正在執行：

        sc query observiq-otel-collector

      5. 查看記錄檔是否有錯誤：

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

在 Cisco WLC 上設定 syslog

  1. 登入 WLC 網頁版 UI。
  2. 依序前往「管理」>「記錄」>「設定」。
  3. 在「Syslog Server IP Address」(系統記錄伺服器 IP 位址) 欄位中，輸入 Bindplane 代理程式 IP 位址。
  4. 按一下「新增」。
  5. 提供下列設定詳細資料：
    • Syslog Severity：選取「Informational」。
    • 系統記錄設施：選取「Local Use 0」。
  6. 按一下「套用」。

  7. 按一下 [Save Configuration] (儲存組態)。

UDM 對應表

記錄欄位 UDM 對應 邏輯
action_data read_only_udm.security_result.action_details 直接從 action_data 欄位對應。
data read_only_udm.metadata.description 經過一些處理 (例如移除時間戳記、額外字元) 後，直接從 data 欄位對應。從記錄訊息開頭的時間戳記擷取。剖析器會處理各種格式。系統會根據 mnemonic 和 messageToProcess 欄位，使用 cisco_wireless.include 檔案中的複雜邏輯判斷。設為「CISCO_WIRELESS」。facility、cisco_severity 和 mnemonic 欄位的串連。從記錄訊息中擷取 (如有)。設為「CISCO_WIRELESS」。從 version 欄位擷取 (如有)。設為「CISCO」。如果事件與 DHCP 相關，請設為「DHCP」。如為廣播網路事件，請設為「BROADCAST」。如為 UDP 網路事件，請設為「UDP」。從說明中擷取 (如有)。從說明中擷取 (如有)。視記錄格式而定，對應至 wlc_controller 或 hostname 欄位。從說明或 MessageSourceAddress (如有) 擷取。視記錄格式而定，從 wlc_controller 或 hostname 欄位對應。如果說明或 MessageSourceAddress 中有相關資訊，系統會擷取並顯示。如果說明中有相關資訊，系統會擷取並顯示。如果說明中有相關資訊，系統會擷取並顯示。如有 SourceModuleName 和 SourceModuleType 欄位，系統會從這些欄位建立。如果使用者 ID 類似電子郵件地址，則從 read_only_udm.principal.user.userid 對應。如果說明中有相關資訊，系統會擷取並顯示。如果說明中有相關資訊，系統會擷取並顯示。根據事件類型和說明決定。根據事件類型和說明決定。根據說明中的特定欄位建立 (如有)。如果說明中有相關資訊，系統會擷取並顯示。有時會結合多個欄位的資訊。根據 cisco_severity 欄位和事件類型決定。衍生自 read_only_udm.security_result.severity 欄位。根據說明和事件類型得出的安全結果簡要摘要。從說明中擷取 (如有)。從說明中擷取 (如有)。如果說明中有相關資訊，系統會擷取並顯示。從說明中擷取 (如有)。如果說明中有相關資訊，系統會擷取並顯示。從說明中擷取 (如有)。如果說明中有相關資訊，系統會擷取並顯示。如要設定修改事件，請設為「SETTING」。從說明中擷取 (如有)。
event_data read_only_udm.metadata.product_event_type 直接從「event_data」欄位對應。
event_id read_only_udm.metadata.product_log_id 直接從 event_id 欄位對應。
event_ts read_only_udm.metadata.event_timestamp 直接從 event_ts 欄位對應。
facility read_only_udm.metadata.product_event_type 直接從 facility 欄位對應。
hostname read_only_udm.principal.hostname 直接從「hostname」欄位對應。
hostname read_only_udm.target.hostname 直接從 hostname 欄位對應。
inter_mac read_only_udm.intermediary.mac 直接從 inter_mac 欄位對應。
intermediary_hostname read_only_udm.intermediary.hostname 直接從「intermediary_hostname」欄位對應。
kv_data read_only_udm.principal.resource.attribute.labels 系統會將這些值剖析為鍵/值組合，並用來填入標籤。
log_message read_only_udm.security_result.description 直接從「log_message」欄位對應。
MessageSourceAddress read_only_udm.principal.asset.ip 直接從「MessageSourceAddress」欄位對應。
MessageSourceAddress read_only_udm.principal.ip 直接從 MessageSourceAddress 欄位對應。
messageToProcess read_only_udm.metadata.description 經過一些處理後，直接從 messageToProcess 欄位對應。
mnemonic read_only_udm.metadata.event_type 與其他欄位搭配使用，判斷事件類型。
mnemonic read_only_udm.metadata.product_event_type 直接從「mnemonic」欄位對應。
severity_data read_only_udm.security_result.severity 從 severity_data 欄位對應而來，並轉換為列舉值。
SourceModuleName read_only_udm.principal.resource.attribute.labels 直接從 SourceModuleName 欄位對應。
SourceModuleType read_only_udm.principal.resource.attribute.labels 直接從 SourceModuleType 欄位對應。
timestamp read_only_udm.metadata.event_timestamp 直接從「timestamp」欄位對應。
version read_only_udm.metadata.product_version 直接從 version 欄位對應。
wlc_controller read_only_udm.principal.hostname 直接從「wlc_controller」欄位對應。
wlc_controller read_only_udm.target.hostname 直接從「wlc_controller」欄位對應。
mnemonic event.idm.read_only_udm.metadata.product_event_type 從變更記錄對應
urlHolder event.idm.read_only_udm.target.url 從變更記錄對應
syslog_sequence event.idm.read_only_udm.additional.fields 從變更記錄對應
userid event.idm.read_only_udm.principal.user.userid 從變更記錄對應
principal_mac event.idm.read_only_udm.principal.mac 從變更記錄對應
obs_host event.idm.read_only_udm.observer.hostname 從變更記錄對應
obs_desc event.idm.read_only_udm.observer.labels 從變更記錄對應
addr event.idm.read_only_udm.additional.fields 從變更記錄對應
component_status event.idm.read_only_udm.additional.fields 從變更記錄對應
ecc event.idm.read_only_udm.additional.fields 從變更記錄對應
multipleErrorsDetected event.idm.read_only_udm.additional.fields 從變更記錄對應
rep[0] event.idm.read_only_udm.additional.fields 從變更記錄對應
rep[1] event.idm.read_only_udm.additional.fields 從變更記錄對應
rep[2] event.idm.read_only_udm.additional.fields 從變更記錄對應
suppressed_times event.idm.read_only_udm.additional.fields 從變更記錄對應
valid event.idm.read_only_udm.additional.fields 從變更記錄對應
interface event.idm.read_only_udm.additional.fields 從變更記錄對應
event_id event.idm.read_only_udm.metadata.product_log_id 從變更記錄對應
principal_hostname event.idm.read_only_udm.principal.hostname 和 event.idm.read_only_udm.principal.asset.hostname 從變更記錄對應
wlc_controller event.idm.read_only_udm.principal.hostname 和 event.idm.read_only_udm.principal.asset.hostname 從變更記錄對應
src_ip_1 event.idm.read_only_udm.principal.ip 從變更記錄對應
src_ip_2 event.idm.read_only_udm.principal.ip 從變更記錄對應
mac1 event.idm.read_only_udm.principal.mac 從變更記錄對應
mac2 event.idm.read_only_udm.principal.mac 從變更記錄對應
slot event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
username event.idm.read_only_udm.principal.user.userid 從變更記錄對應
src_ip event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
ssid event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
SourceModuleName" and "SourceModuleType principal.resource.attribute.labels 從變更記錄對應
client_host", and "hostname principal.hostname 從變更記錄對應
client_ip principal.ip 從變更記錄對應
client_mac principal.mac 從變更記錄對應
ap_ip target.ip 從變更記錄對應
ap_mac target.mac 從變更記錄對應
messageToProcess" and "description metadata.description 從變更記錄對應
inter_url intermediary.url 從變更記錄對應
inter_ip intermediary.ip 從變更記錄對應
sec_desc security_result.description 從變更記錄對應
latest_version", "current_version", "certificate", "expiry_date", "clostest_sensor", "ssid", "client", "xid", "failure_reason", "auth_failure_reason", and "interface security_result.detection_fields 從變更記錄對應
action_data security_result.acion_details 從變更記錄對應
username principal.user.userid 從變更記錄對應
vendor", and "RSSI principal.resource.attribute.labels 從變更記錄對應
vendor", "security_setting", "channel", "protocol", and "RSSI target.resource.attribute.labels 從變更記錄對應
msg1 metadata.description 從變更記錄對應
wlc_controller event.idm.read_only_udm.principal.hostname 從變更記錄對應
event.idm.read_only_udm.metadata.event_type USER_RESOURCE_ACCESS 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。