收集 Infoblox DNS 日志

支持的平台：

本文档介绍了如何使用 Bindplane 代理将 Infoblox DNS 日志注入到 Google Security Operations。

解析器从 Infoblox DNS SYSLOG 和 CEF 格式的日志中提取字段。它使用 grok 和/或 kv 来解析日志消息，然后将这些值映射到统一数据模型 (UDM)。它还会为事件来源和类型设置默认元数据值。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例
  • Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
  • 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开
  • 对 Infoblox Grid Manager 网页界面的特权访问权限

获取 Google SecOps 注入身份验证文件

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。
  3. 下载数据注入身份验证文件。
  4. 将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 配置文件。
  3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sc query observiq-otel-collector

    该服务应显示为 正在运行。

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sudo systemctl status observiq-otel-collector

    该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

  • Linux：

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

  • 将 config.yaml 的全部内容替换为以下配置：

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: 'INFOBLOX_DNS'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

配置参数

替换以下占位符：

  • 接收器配置：

    • udplog：使用 udplog 表示 UDP syslog，使用 tcplog 表示 TCP syslog
    • 0.0.0.0：要监听的 IP 地址（0.0.0.0 表示监听所有接口）
    • 514：要监听的端口号（标准 syslog 端口）

  • 导出器配置：

    • creds_file_path：提取身份验证文件的完整路径：
      • Linux：/opt/observiq-otel-collector/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID：从“获取客户 ID”部分获取的客户 ID
    • endpoint：区域端点网址：
      • 美国：malachiteingestion-pa.googleapis.com
      • 欧洲：europe-malachiteingestion-pa.googleapis.com
      • 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
      • 如需查看完整列表，请参阅区域级端点
    • log_type：日志类型，与在 Chronicle 中显示的完全一致 (INFOBLOX_DNS)

保存配置文件

  • 修改后，保存文件：
    • Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

  • 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

    sudo systemctl restart observiq-otel-collector

    1. 验证服务是否正在运行：

      sudo systemctl status observiq-otel-collector

    2. 检查日志是否存在错误：

      sudo journalctl -u observiq-otel-collector -f

  • 如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：

    • 以管理员身份运行命令提示符或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 服务控制台：

      1. 按 Win+R，输入 services.msc，然后按 Enter 键。
      2. 找到 observIQ OpenTelemetry 收集器。
      3. 右键点击并选择重新启动。

      4. 验证服务是否正在运行：

        sc query observiq-otel-collector

      5. 检查日志是否存在错误：

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

在 Infoblox DNS 上配置 Syslog 转发

此部分适用于本地 Infoblox NIOS。对于 Infoblox BloxOne（云）部署，请改用下文中的配置 Infoblox BloxOne（数据连接器）部分。

  1. 登录 Infoblox Grid Manager 网页界面。
  2. 依次前往网格 > 网格管理器 > 成员。
  3. 选择要配置的成员，然后点击修改。
  4. 转到监控标签页。
  5. 在 Syslog 下，点击添加以添加新的 Syslog 服务器。
  6. 提供以下配置详细信息：
    • 地址：输入 Bindplane 代理主机所在的 IP 地址。
    • 端口：输入 514。
    • 传输：选择 UDP。
    • 节点 ID：选择 Infoblox 节点（对于 HA 对）。
    • 严重程度：选择信息（或您偏好的严重程度）。
    • 设备：选择 local0（或您偏好的设备）。
  7. 启用以下日志类别：
    • DNS 查询：在网格 DNS 属性 > 日志记录下，选中记录 DNS 查询。
    • DNS 响应：选中记录 DNS 响应。
    • DHCP：在网格 DHCP 属性下启用 DHCP 日志记录。
    • 审核：在 Grid Properties > Monitoring 下启用审核日志记录。
  8. 点击保存并关闭。
  9. 如有必要，请重启 DNS 服务。
  10. 通过检查 Bindplane 代理日志，验证是否正在发送 syslog 消息。

配置 Infoblox BloxOne（数据连接器）以转发 DNS 日志

对于 Infoblox BloxOne（云）部署，请使用 Infoblox Data Connector 通过 syslog 将 DNS 查询和响应日志以 CEF 格式转发到您之前配置的 Bindplane 代理。

  1. 如果您尚未部署 Infoblox 数据连接器，请按照部署数据连接器解决方案指南进行部署。
  2. 登录 Infoblox 门户。
  3. 前往集成 > 数据连接器。
  4. 在目标配置标签页上，从创建下拉列表中选择 Syslog。
  5. 在创建 Syslog 目标位置配置向导中，提供以下配置详细信息：
    • 名称：输入一个可区分此目标平台的名称（例如 secops-bindplane）。
    • 状态：使用滑块启用目的地。
    • 格式：选择 CEF。
    • FQDN/IP：输入 Bindplane 代理主机 IP 地址。
    • 端口：输入 Bindplane syslog 接收器监听的端口（例如 514）。
    • 协议：选择与 Bindplane syslog 接收器匹配的协议（UDP 或 TCP）。
  6. 点击保存并关闭。
  7. 选择来源标签页，并确认 DNS 查询和响应来源可用。Infoblox Threat Defense 已预先配置，无需进行任何设置。对于 Universal DDI 或本地 NIOS DNS 源，请先按照配置来源指南在此处配置来源。
  8. 选择流量流配置标签页，点击创建，然后提供以下配置详细信息：
    • 名称：输入一个描述性名称（例如 dns-to-secops）。
    • 来源：选择 DNS 查询和响应来源（Infoblox Threat Defense 查询/响应日志或 Universal DDI DNS 查询/响应日志）。
    • 目标位置：选择您创建的 syslog 目标位置。
    • 服务实例：选择 Data Connector 服务实例（可以选择添加辅助实例以实现故障切换）。
    • 状态：使用滑块启用流量。
  9. 点击保存并关闭。

UDM 映射表

日志字段 UDM 映射 逻辑
message about 已映射：CEF: → about
deviceNtDomain about.administrative_domain 已重命名/已映射
deviceExternalId about.asset.asset_id 直接映射
device_product about.asset.asset_id 直接映射
device_vendor about.asset.asset_id 直接映射
fileHash about.file.full_path 直接映射
filePath about.file.full_path 已重命名/已映射
_hash about.file.sha256 已重命名/已映射
fileHash about.file.sha256 已重命名/已映射
fsize about.file.size 已重命名/已映射
dvchost about.hostname 已重命名/已映射
ips about.ip 已合并
message about.ip 已映射：CEF: → ips
dvc_mac about.mac 已映射：slot → mac_address
dvcmac about.mac 已合并
mac_address about.mac 已合并
message about.mac 已映射：CEF: → mac_address、CEF: → dvcmac
deviceTranslatedAddress about.nat_ip 已合并
message about.nat_ip 已映射：CEF: → deviceTranslatedAddress
Emne about.process.command_line 直接映射
Path about.process.command_line 直接映射
Subject about.process.command_line 直接映射
deviceProcessName about.process.command_line 已重命名/已映射
dvcpid about.process.pid 已重命名/已映射
message about.resource.attribute.permissions 已映射：CEF: → permissions
permissions about.resource.attribute.permissions 已合并
_field additional.fields 已合并
additional_cfp1 additional.fields 已合并
additional_cfp2 additional.fields 已合并
additional_cfp3 additional.fields 已合并
additional_cfp4 additional.fields 已合并
additional_cn1 additional.fields 已合并
additional_cn2 additional.fields 已合并
additional_cn3 additional.fields 已合并
additional_cs1 additional.fields 已合并
additional_cs2 additional.fields 已合并
additional_cs3 additional.fields 已合并
additional_cs4 additional.fields 已合并
additional_cs5 additional.fields 已合并
additional_cs6 additional.fields 已合并
additional_cs7 additional.fields 已合并
additional_devicePayloadId additional.fields 已合并
additional_eventId additional.fields 已合并
additional_flexString1 additional.fields 已合并
additional_fname additional.fields 已合并
allow_recursion_label additional.fields 已合并
auth_type_label additional.fields 已合并
create_ptr_for_bulk_hosts_label additional.fields 已合并
create_ptr_for_hosts_label additional.fields 已合并
cs2 additional.fields 已映射：arc_test → additional_cs2
cs5_label additional.fields 已合并
ddns_principal_group_label additional.fields 已合并
exclude_subobj_label additional.fields 已合并
is_multimaster_label additional.fields 已合并
locked_label additional.fields 已合并
message additional.fields 映射值（总共 34 个，例如 CEF: → additional_eventId、CEF: → `additional_devicePayl...
mgm_private_label additional.fields 已合并
ms_ad_integrated_label additional.fields 已合并
network_view_label additional.fields 已合并
object_type additional.fields 映射值（共 12 个，例如 DnsView → allow_recursion_label、DnsView → `ddns_princip...
use_ssh_keys_label additional.fields 已合并
view_label additional.fields 已合并
zone_format_label additional.fields 已合并
_intermediary intermediary 已合并
message intermediary 已映射：CEF: → _intermediary
description metadata.description 直接映射
msg metadata.description 已重命名/已映射
Generated metadata.event_timestamp 解析为 yyyy-MM-ddTHH:mm:ss
Received metadata.event_timestamp 解析为 yyyy-MM-ddTHH:mm:ss
datetime metadata.event_timestamp 解析为 dd-MMM-yyyy HH:mm:ss.SSS
rt metadata.event_timestamp 解析为 yyyy-MM-ddTHH:mm:ssZ
syslog_timestamp metadata.event_timestamp 解析为 MMM d HH:mm:ss
event_name metadata.event_type 已映射："LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
event_type metadata.event_type 已重命名/已映射
has_user metadata.event_type 已映射：true → USER_UNCATEGORIZED
message metadata.event_type 映射：CEF: → PROCESS_UNCATEGORIZED、CEF: → SCAN_UNCATEGORIZED、CEF: → `USER_UNCA...
device_event_class_id metadata.product_event_type 直接映射
event_name metadata.product_event_type 直接映射
evt_type metadata.product_event_type 直接映射
object_type metadata.product_event_type 直接映射
externalId metadata.product_log_id 直接映射
device_product metadata.product_name 直接映射
message metadata.product_name 已映射：CEF: → Infoblox DNS
device_version metadata.product_version 直接映射
device_vendor metadata.vendor_name 已重命名/已映射
message metadata.vendor_name 已映射：CEF: → INFOBLOX
app_protocol_output network.application_protocol 直接映射
message network.application_protocol 已映射：CEF: → DNS
deviceDirection network.direction 映射：0 → INBOUND，1 → OUTBOUND
message network.direction 已映射：CEF: → INBOUND、CEF: → OUTBOUND
answers1 network.dns.answers 已合并
answers2 network.dns.answers 已合并
dns_answer network.dns.answers 已合并
message network.dns.answers 已映射：CEF: → dns_answer、CEF: → answers1、CEF: → answers2
msg2 network.dns.answers 已映射：; → dns_answer
authority network.dns.authority 已合并
dns_authority network.dns.authority 已合并
message network.dns.authority 已映射：CEF: → dns_authority、CEF: → authority
dns_question network.dns.questions 已合并
message network.dns.questions 已映射：CEF: → dns_question
dns.response_code network.dns.response_code 已重命名/已映射
requestMethod network.http.method 已重命名/已映射
requestClientApplication network.http.user_agent 已重命名/已映射
ip_protocol_out network.ip_protocol 直接映射
protocol network.ip_protocol 直接映射
in network.received_bytes 已重命名/已映射
out network.sent_bytes 已重命名/已映射
sntdom principal.administrative_domain 已重命名/已映射
sourceServiceName principal.application 已重命名/已映射
src_host principal.asset.hostname 直接映射
src_ip principal.asset.hostname 直接映射
message principal.asset.ip 已映射：CEF: → src_ip
src_ip principal.asset.ip 已合并
Group_name principal.group.group_display_name 直接映射
Gruppenavn principal.group.group_display_name 直接映射
Device_name principal.hostname 直接映射
Enhetsnavn principal.hostname 直接映射
shost principal.hostname 已重命名/已映射
src_host principal.hostname 直接映射
src_ip principal.hostname 直接映射
message principal.ip 已映射：CEF: → principal_ip、CEF: → shost、CEF: → src_ip
principal_ip principal.ip 已合并
shost principal.ip 已合并
src_ip principal.ip 已合并
InfobloxB1Region principal.location.country_or_region 直接映射
mac principal.mac 已合并
message principal.mac 已映射：CEF: → mac
message principal.nat_ip 已映射：CEF: → sourceTranslatedAddress
sourceTranslatedAddress principal.nat_ip 已合并
sourceTranslatedPort principal.nat_port 已重命名/已映射
spt principal.port 已重命名/已映射
src_port principal.port 直接映射
sproc principal.process.command_line 已重命名/已映射
spid principal.process.pid 已重命名/已映射
message principal.user.attribute.roles 已映射：CEF: → principal_role
principal_role principal.user.attribute.roles 已合并
suser principal.user.user_display_name 直接映射
actor_details principal.user.userid 直接映射
suid principal.user.userid 已重命名/已映射
message security_result 已映射：CEF: → security_result、CEF: → sec_result
sec_result security_result 已合并
_action security_result.action 已合并
act security_result.action 映射：accept → _action，deny → _action
message security_result.action 已映射：CEF: → _action
Action_Taken security_result.action_details 直接映射
act security_result.action_details 直接映射
cat security_result.category_details 已合并
message security_result.category_details 已映射：CEF: → cat
Scan_Type security_result.description 直接映射
Type security_result.description 直接映射
msg_data_2 security_result.description 直接映射
infection_channel_label security_result.detection_fields 已合并
message security_result.detection_fields 映射的值（总共 7 个，例如 CEF: → operation_label、CEF: → operasjon_label、CEF: ...
operasjon_label security_result.detection_fields 已合并
operation_label security_result.detection_fields 已合并
permission_label security_result.detection_fields 已合并
spyware_Grayware_Type_label security_result.detection_fields 已合并
threat_probability_label security_result.detection_fields 已合并
tillatelse_label security_result.detection_fields 已合并
mwProfile security_result.rule_name 直接映射
message security_result.severity 已映射：CEF: → LOW、CEF: → MEDIUM、CEF: → HIGH、CEF: → CRITICAL
severity security_result.severity 映射："0", "1", "2", "3", "LOW" → LOW，`"4", "5", "6", "MEDIUM", "SUBSTANTIAL", "INFO"...
Result security_result.summary 直接映射
appcategory security_result.summary 直接映射
reason security_result.summary 已重命名/已映射
Spyware security_result.threat_name 直接映射
Unknown_Threat security_result.threat_name 直接映射
Virus_Malware_Name security_result.threat_name 直接映射
oldFilePath src.file.full_path 已重命名/已映射
oldFileSize src.file.size 已重命名/已映射
message src.resource.attribute.permissions 已映射：CEF: → old_permissions
old_permissions src.resource.attribute.permissions 已合并
dntdom target.administrative_domain 已重命名/已映射
destinationServiceName target.application 已重命名/已映射
dst_ip target.asset.hostname 直接映射
dst_ip1 target.asset.hostname 直接映射
dst_ip1 target.asset.ip 已合并
message target.asset.ip 已映射：CEF: → dst_ip1
message target.asset.mac 已映射：CEF: → target_mac
target_mac target.asset.mac 已映射：^([0-9A-Fa-f]{2}[:-]){5}[0-9A-Fa-f]{2}$ → target_mac
dst_ip target.hostname 直接映射
dst_ip1 target.hostname 直接映射
fqdn target.hostname 直接映射
temp_dhost target.hostname 直接映射
IPv6_Address target.ip 已合并
dst_ip target.ip 已合并
dst_ip1 target.ip 已合并
ipv6 target.ip 已映射：- → IPv6_Address
message target.ip 已映射：CEF: → dst_ip、CEF: → IPv6_Address、CEF: → dst_ip1
mac_address target.mac 已合并
message target.mac 已映射：CEF: → mac_address、CEF: → target_mac
target_mac target.mac 已映射：^([0-9A-Fa-f]{2}[:-]){5}[0-9A-Fa-f]{2}$ → target_mac
destination_translated_address target.nat_ip 已合并
message target.nat_ip 已映射：CEF: → destination_translated_address
destinationTranslatedPort target.nat_port 已重命名/已映射
dpt target.port 已重命名/已映射
dst_port target.port 直接映射
dproc target.process.command_line 已重命名/已映射
File_name target.process.file.full_path 直接映射
Infected_Resource target.process.file.full_path 直接映射
Object target.process.file.full_path 直接映射
Objekt target.process.file.full_path 直接映射
dpid target.process.pid 已重命名/已映射
message target.resource.attribute.labels 已映射：CEF: → resource_Type_label
resource_Type_label target.resource.attribute.labels 已合并
name target.resource.name 直接映射
object_name target.resource.name 直接映射
request target.url 直接映射
message target.user.attribute.roles 已映射：CEF: → target_role
target_role target.user.attribute.roles 已合并
group_id target.user.group_identifiers 已合并
message target.user.group_identifiers 已映射：CEF: → group_id
object_type target.user.group_identifiers 已映射：AdminMember → group_id
CustomerName target.user.user_display_name 直接映射
name target.user.user_display_name 已重命名/已映射
temp_duser target.user.user_display_name 直接映射
Bruker target.user.userid 直接映射
User_value target.user.userid 直接映射
object_name target.user.userid 直接映射
temp_duid target.user.userid 直接映射
不适用 metadata.event_type 常量：PROCESS_UNCATEGORIZED
不适用 metadata.product_name 常量：Infoblox DNS
不适用 metadata.vendor_name 常量：INFOBLOX
不适用 network.application_protocol 常量：DNS
不适用 network.direction 常量：INBOUND
不适用 security_result.severity 常量：LOW
dns_domain dns.answers.name 从变更日志映射
ttl_data dns.answers.ttl 从变更日志映射
dns_query_type dns.answer.type 从变更日志映射
dns_class dns.answer.class 从变更日志映射
intermediary_ip" or "intermediary_host dns.answer.data 从变更日志映射

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。