收集 Cisco WSM 記錄

剖析器版本：1.0

支援的國家/地區：

本文說明如何使用 Bindplane，將 Cisco Wireless Services Module 記錄檔擷取至 Google Security Operations。Cisco Wireless Services Module (WiSM) 是 Cisco Catalyst 6500 系列交換器的整合式無線 LAN 控制器模組，可管理無線存取點、處理用戶端驗證，並在企業無線網路中強制執行無線安全政策。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體。
  • 搭載 systemd 的 Windows 2016 以上版本或 Linux 主機。
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟。
  • Cisco 無線服務模組或無線區域網路控制器 (WLC) 的特殊權限存取權。

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。
  3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

  1. 存取設定檔：

    • 找出 config.yaml 檔案。通常位於 Linux 的 /observiq-otel-collector/ 目錄，或 Windows 的安裝目錄。
    • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

  2. 按照下列方式編輯 config.yaml 檔案：

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/cisco_wsm:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CISCO_WSM
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/cisco_wsm:
      receivers:
        - udplog
      exporters:
        - chronicle/cisco_wsm
  • 視基礎架構需求，替換通訊埠和 IP 位址。
  • 將 <customer_id> 替換為實際的客戶 ID。
  • 將 /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」部分中驗證檔案的儲存路徑。

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列步驟：

  1. 執行下列指令：

    sudo systemctl restart observiq-otel-collector

  2. 確認服務正在執行：

    sudo systemctl status observiq-otel-collector

  3. 檢查記錄中是否有錯誤：

    sudo journalctl -u observiq-otel-collector -f

如要在 Windows 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

  1. 您可以選擇下列其中一個選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：
    net stop observiq-otel-collector && net start observiq-otel-collector
    • 服務控制台：
      1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出 observIQ OpenTelemetry Collector。
      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

  2. 確認服務正在執行：

    sc query observiq-otel-collector

  3. 檢查記錄中是否有錯誤：

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

在 Cisco Wireless Services Module 上設定系統記錄轉送

透過 WLC 網頁介面設定系統記錄

  1. 登入 Cisco Wireless LAN Controller 網頁介面。
  2. 依序前往「管理」>「記錄」>「設定」。
  3. 在「Syslog Server IP Address」(系統記錄伺服器 IP 位址) 欄位中，輸入 Bindplane 代理程式主機的 IP 位址 (例如 192.168.1.100)。
  4. 按一下「新增」。
  5. 設定下列系統記錄參數：
    • 系統記錄層級：選取「資訊」 (或偏好的嚴重程度)。
    • 系統記錄檔設施：選取「Local6」。
  6. 按一下「套用」。

  7. 按一下「儲存設定」，儲存設定。

透過 WLC CLI 設定系統記錄

  1. 透過 SSH 或控制台連線至 Cisco 無線 LAN 控制器。

  2. 新增系統記錄伺服器 (將 <BINDPLANE_IP> 替換為 Bindplane 代理主機的 IP 位址)：

    config logging syslog host <BINDPLANE_IP>

  3. 設定系統記錄記錄層級：

    config logging syslog level informational

  4. 設定系統記錄設施：

    config logging syslog facility local6

  5. 儲存設定：

    save config

  6. 驗證系統記錄設定：

    show logging

UDM 對應表

記錄欄位 UDM 對應 邏輯
auth_mechanism extensions.auth.mechanism 已合併
cisco_mnemonic extensions.auth.mechanism 已對應：AAA_MAX_RETRY → auth_mechanism
cisco_mnemonic extensions.auth.type 已對應："LOGOUT","SESS_LOGOUT","RELOAD" → MACHINE, `"LOGIN_SUCCESS","WEBLOGIN_SUCCESS","...
hostname intermediary.hostname 直接對應
intermediary_ip intermediary.ip 已合併
cisco_message metadata.description 直接對應
syslogtimestamp metadata.event_timestamp 已剖析為 MMM d HH:mm:ss
cisco_mnemonic metadata.event_type 對應值 (共 20 個，例如 "LOGOUT","SESS_LOGOUT","RELOAD" → NETWORK_CONNECTION、「LO...
cisco_tag metadata.product_event_type 直接對應
auditid metadata.product_log_id 直接對應
cisco_mnemonic network.direction 對應：`"USER_NAME_CREATED", "Q_IND","INVALID_STATE_EVENT","ENTRY_CHANGED","ENTRY_DELETED",...
cisco_mnemonic network.ip_protocol 已對應："ESTABLISHED_TO_PEER", "HANDSHAKE_FAILURE" → UDP
cipher network.tls.cipher 直接對應
hostname principal.hostname 直接對應
principal_hostname principal.hostname 直接對應
cisco_mnemonic principal.ip 已對應："LOGOUT","SESS_LOGOUT","RELOAD" → principal_ip, `"LOGIN_SUCCESS","WEBLOGIN_SUCCE...
principal_ip principal.ip 已合併
cisco_mnemonic principal.mac 對應值 (共 6 個)，例如 `"USER_NAME_CREATED", "Q_IND","INVALID_STATE_EVENT","ENTRY_CHAN...
principal_mac principal.mac 已對應：^(([0-9a-fA-F]{2}:){5}[0-9a-fA-F]{2})$ → principal_mac
principal_port principal.port 直接對應
principal_process_id principal.process.pid 直接對應
cisco_facility principal.resource.type 直接對應
username principal.user.userid 直接對應
action security_result.action 已合併
cisco_mnemonic security_result.action 已對應："ESTABLISHED_TO_PEER", "HANDSHAKE_FAILURE" → action、"SIG_INFO1", "ECHO_ERR" →...
category security_result.category 已合併
cisco_mnemonic security_result.category 已對應：AAA_MAX_RETRY → category、ABORT_AUTH → category
cisco_mnemonic security_result.description 對應值 (共 7 個，例如 `"USER_NAME_CREATED"、"Q_IND"、"INVALID_STATE_EVENT"、"ENTRY_CHAN...
database_detection_fields security_result.detection_fields 已合併
profile_detection_fields security_result.detection_fields 已合併
tls_local_ip_detection_fields security_result.detection_fields 已合併
tls_remote_detection_fields security_result.detection_fields 已合併
cisco_severity security_result.severity 對應值 (共 8 個，例如 0 → ALERT、1 → CRITICAL、2 → HIGH)
cisco_severity security_result.severity_details 對應值 (共 8 個，例如 0 → System unusable、1 → Immediate action needed、2 ...
cisco_mnemonic security_result.summary 對應值 (共 11 個，例如 `"USER_NAME_CREATED"、"Q_IND"、"INVALID_STATE_EVENT"、"ENTRY_CHA...
reason_message security_result.summary 直接對應
terminal target.hostname 直接對應
cisco_mnemonic target.ip 已對應："LOGOUT","SESS_LOGOUT","RELOAD" → target_ip、`"USER_NAME_CREATED", "Q_IND","INVA...
target_ip target.ip 已合併
cisco_mnemonic target.mac 對應：`"USER_NAME_CREATED", "Q_IND","INVALID_STATE_EVENT","ENTRY_CHANGED","ENTRY_DELETED",...
target_mac target.mac 已對應：^(([0-9a-fA-F]{2}:){5}[0-9a-fA-F]{2})$ → target_mac
username target.user.userid 直接對應
不適用 extensions.auth.type 常數：MACHINE
不適用 metadata.event_type 常數：NETWORK_CONNECTION
不適用 metadata.product_name 常數：CISCO_WSM
不適用 metadata.vendor_name 常數：CISCO_WSM
不適用 network.direction 常數：BROADCAST
不適用 network.ip_protocol 常數：UDP
不適用 security_result.description 常數：The system has detected an orphaned ARP packet
不適用 security_result.severity 常數：ALERT
不適用 security_result.severity_details 常數：System unusable
不適用 security_result.summary 常數：ARP request received with invalid Source IP Address

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。