收集 Cisco Secure Web Appliance（以前称为 Web Security Appliance）日志

解析器版本：7.0

本文档介绍了如何使用 Bindplane 将 Cisco Secure Web Appliance（以前称为 Web Security Appliance）日志注入到 Google Security Operations。

Cisco Secure Web Appliance 是一种本地 Web 代理和安全网关，可保护组织免受基于 Web 的威胁。它可为所有 HTTP、HTTPS 和 FTP 流量提供网址过滤、恶意软件扫描、数据泄露防护以及应用可见性和控制功能。该设备会强制执行合理使用政策，并检查加密流量以检测和阻止高级威胁。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
• Bindplane 代理与 Cisco Secure Web Appliance 之间的网络连接
• 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开
• 对 Cisco Secure Web Appliance 网页界面的特权访问权限

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。

3. 下载数据注入身份验证文件。将该文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。

3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sc query observiq-otel-collector
   

该服务应显示为 正在运行。

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sudo systemctl status observiq-otel-collector
   

该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

• Linux：

  sudo nano /status observiq-otel-collector/config.yaml
  

• Windows：

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

修改配置文件

• 将 config.yaml 的全部内容替换为以下配置：

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/cisco_wsa:
      compression: gzip
      creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CISCO_WSA
      raw_log_field: body
  
  service:
    pipelines:
      logs/cisco_wsa_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/cisco_wsa
  

配置参数

替换以下占位符：

• 接收器配置：

  • listen_address：要监听的 IP 地址和端口：
    • 0.0.0.0 侦听所有接口（推荐）
    • 端口 514 是标准 syslog 端口（在 Linux 上需要 root 权限；对于非 root 用户，请使用 1514）

• 导出器配置：

  • creds_file_path：提取身份验证文件的完整路径：
    • Linux：/etc/bindplane-agent/ingestion-auth.json
    • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id：从 Google SecOps 控制台复制的客户 ID
  • endpoint：区域端点网址：
    • 美国：malachiteingestion-pa.googleapis.com
    • 欧洲：europe-malachiteingestion-pa.googleapis.com
    • 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
    • 如需查看完整列表，请参阅区域级端点

保存配置文件

• 修改后，保存文件：
  • Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
  • Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

1. 运行以下命令：

   sudo systemctl restart observiq-otel-collector
   

2. 验证服务是否正在运行：

   sudo systemctl status observiq-otel-collector
   

3. 检查日志是否存在错误：

   sudo journalctl -u observiq-otel-collector -f
   

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

1. 请从下列选项中选择一项：

   • 以管理员身份运行命令提示符或 PowerShell：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • 服务控制台：
     1. 按 Win+R，输入 services.msc，然后按 Enter 键。
     2. 找到 observIQ OpenTelemetry 收集器。
     3. 右键点击并选择重新启动。

2. 验证服务是否正在运行：

   sc query observiq-otel-collector
   

3. 检查日志是否存在错误：

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

在 Cisco Secure Web Appliance 上配置 syslog 转发

1. 登录 Cisco Secure Web Appliance 网页界面。
2. 依次前往系统管理 > 日志订阅。
3. 点击 Add Log Subscription。
4. 从日志类型下拉菜单中选择日志类型。对于 Web 代理流量，请选择访问日志。
5. 在日志名称字段中，输入日志订阅的描述性名称（例如 chronicle-access）。

6. 选择访问日志格式：

   • Squid - 标准的 Squid 兼容格式
   • Apache - 与 Apache 兼容的格式
   • W3C Extended - 具有可配置字段的 W3C Extended 日志文件格式

7. 指定日志轮替前的文件大小上限和轮替之间的时间间隔。

8. 选择日志级别。可用的选项包括 Critical、Warning、Information、Debug 或 Trace。

9. 在检索方法部分中，选择 Syslog 推送。

10. 提供以下配置详细信息：

    • 主机名：输入 Bindplane 代理主机（例如 192.168.1.100）的 IP 地址或主机名。
    • 端口：输入在 Bindplane 代理上配置的端口号（例如 514）。
    • 协议：选择 TCP。
    • 消息大小上限：输入要发送到远程 syslog 服务器的日志消息的大小上限（以字节为单位）。
    • 功能：选择所需的 syslog 功能（例如 Local0）。

11. 点击提交。

12. 点击提交更改以应用配置。

UDM 映射表

日志字段	UDM 映射	逻辑
_field	additional.fields	已合并
case_name_label	additional.fields	已合并
cmf_label	additional.fields	已合并
dcf_label	additional.fields	已合并
err_label	additional.fields	已合并
interaction_mode_label	additional.fields	已合并
proxy_session_id_label	additional.fields	已合并
request_size_label	additional.fields	已合并
total_bytes_label	additional.fields	已合并
transaction_disposition_label	additional.fields	已合并
auth_mechanism	extensions.auth.auth_details	直接映射
wsa_hostname	intermediary.asset.hostname	直接映射
wsa_hostname	intermediary.hostname	直接映射
description	metadata.description	直接映射
time	metadata.event_timestamp	解析为 MMM dd HH:mm:ss
when	metadata.event_timestamp	解析为 UNIX
has_principal	metadata.event_type	已映射：true → NETWORK_HTTP、true → NETWORK_CONNECTION、true → STATUS_UPDATE
has_user	metadata.event_type	已映射：true → USER_UNCATEGORIZED
action	metadata.product_event_type	直接映射
app_proto	network.application_protocol	直接映射
method	network.http.method	直接映射
referer_url	network.http.referral_url	直接映射
returnCode	network.http.response_code	直接映射
user_agent	network.http.user_agent	直接映射
response_size	network.received_bytes	直接映射
bytes_sent	network.sent_bytes	直接映射
size	network.sent_bytes	直接映射
session_id	network.session_id	直接映射
srcip	principal.asset.ip	已合并
srcip	principal.ip	已合并
process_id	principal.process.pid	直接映射
_field	principal.resource.attribute.labels	已合并
key	principal.resource.attribute.labels	已映射：server_response → _field
username	principal.user.userid	直接映射
_security_result	security_result	已合并
domain	target.administrative_domain	直接映射
tgthost	target.asset.hostname	直接映射
tgtip	target.asset.ip	已合并
mime_type	target.file.mime_type	直接映射
tgthost	target.hostname	直接映射
tgtip	target.ip	已合并
tar_city	target.location.city	直接映射
tar_region	target.location.country_or_region	直接映射
tar_state	target.location.state	直接映射
tgtport	target.port	直接映射
kerberos_enctype_label	target.resource.attribute.labels	已合并
kerberos_keytab_label	target.resource.attribute.labels	已合并
kerberos_kvno_label	target.resource.attribute.labels	已合并
server_cert_organization_label	target.resource.attribute.labels	已合并
target_kerberos_realm_label	target.resource.attribute.labels	已合并
url	target.url	直接映射
不适用	metadata.event_type	常量：NETWORK_HTTP
不适用	metadata.product_name	常量：WSA
不适用	metadata.vendor_name	常量：CISCO
information	event.idm.read_only_udm.additional.fields	从变更日志映射
appname	event.idm.read_only_udm.additional.fields	从变更日志映射
facility	event.idm.read_only_udm.additional.fields	从变更日志映射
logtime	event.idm.read_only_udm.additional.fields	从变更日志映射
policy	event.idm.read_only_udm.additional.fields	从变更日志映射
hostname	event.idm.read_only_udm.principal.hostname	从变更日志映射
hostname	event.idm.read_only_udm.principal.asset.hostname	从变更日志映射
ser_url	event.idm.read_only_udm.security_result.description	从变更日志映射
ser_msg	event.idm.read_only_udm.security_result.rule_name	从变更日志映射
ser_data	event.idm.read_only_udm.security_result.detection_fields	从变更日志映射
priority	event.idm.read_only_udm.security_result.severity_details	从变更日志映射
srcport	event.idm.read_only_udm.principal.port	从变更日志映射
category	event.idm.read_only_udm.security_result.category_details	从变更日志映射
sha_value	event.idm.read_only_udm.target.file.sha256	从变更日志映射
cmf	event.idm.read_only_udm.additional.fields	从变更日志映射
dcf	event.idm.read_only_udm.additional.fields	从变更日志映射
err	event.idm.read_only_udm.additional.fields	从变更日志映射
case_name	event.idm.read_only_udm.additional.fields	从变更日志映射
total_bytes	event.idm.read_only_udm.additional.fields	从变更日志映射
request_size	event.idm.read_only_udm.additional.fields	从变更日志映射
transaction_disposition	event.idm.read_only_udm.additional.fields	从变更日志映射
application	event.idm.read_only_udm.additional.fields	从变更日志映射
bytes_sent	event.idm.read_only_udm.network.sent_bytes	从变更日志映射
response_size	event.idm.read_only_udm.network.received_bytes	从变更日志映射
description	event.idm.read_only_udm.metadata.description	从变更日志映射
referer_url	event.idm.read_only_udm.network.http.referral_url	从变更日志映射
wsa_hostname	event.idm.read_only_udm.intermediary.hostname，event.idm.read_only_udm.intermediary.asset.hostname	从变更日志映射

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。