Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Arista VeloCloud SD-WAN 記錄

支援的服務：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 Arista VeloCloud SD-WAN (舊稱 VMware VeloCloud) 記錄檔擷取至 Google Security Operations。

Arista VeloCloud SD-WAN 是軟體定義廣域網路解決方案，可虛擬化 WAN 連線，並透過 SD-WAN Orchestrator 提供集中管理功能，簡化分支辦公室網路。這項技術可為分散式企業環境提供應用程式感知路由、動態路徑選取，以及整合式防火牆功能。

事前準備

請確認您符合下列必要條件：

Google SecOps 執行個體
Windows 2016 以上版本或 Linux 主機，並安裝 systemd
如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
Arista VeloCloud SD-WAN Orchestrator 的特殊存取權

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

新部署作業：使用 Chronicle API (選項 1)。
舊版部署作業：繼續使用擷取驗證檔案 (選項 2)，直到 Ingestion API 於 2027 年 7 月 20 日停用。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

登入 Google Cloud 控制台，然後選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
按一下「建立服務帳戶」。
請提供下列設定詳細資料：
- 服務帳戶名稱：輸入帳戶名稱 (例如 bindplane-ingest)。
- 「服務帳戶說明」：輸入說明 (例如 Bindplane agent log ingestion)。
點按「Create and continue」(建立並繼續)。
在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
依序點選「繼續」和「完成」。
按一下您建立的服務帳戶，然後前往「金鑰」分頁。
依序點選「新增金鑰」>「建立新的金鑰」。
選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
依序前往「IAM 與管理」>「設定」，然後複製「專案編號」。設定匯出工具時會用到。

方法 2：下載擷取驗證檔案 (舊版)

登入 Google SecOps 控制台。
依序前往「SIEM Settings」 > 「Collection Agents」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM Settings」(SIEM 設定) >「Profile」(設定檔)。
複製並儲存「機構詳細資料」部分的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟命令提示字元或 PowerShell。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

存取設定檔：
- 找出 config.yaml 檔案。通常位於 Linux 的 /opt/observiq-otel-collector/ 目錄，或 Windows 的安裝目錄。
- 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

按照下列方式編輯 config.yaml 檔案：

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'VELO_FIREWALL'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

視基礎架構需求更換連接埠和 IP 位址。
將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。
將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。
將 <PLACEHOLDER_CUSTOMER_ID> 替換為實際的客戶 ID。
將 /path/to/ingestion-authentication-file.json 更新為服務帳戶金鑰檔案 (選項 1) 在步驟 1 中儲存的檔案路徑。

舊版擷取 API 匯出工具

如果您使用選項 2 的擷取驗證檔案，請將 exporters 區塊替換為下列內容。將 creds_file_path 設為擷取驗證檔案的路徑，如果您的執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'VELO_FIREWALL'
    raw_log_field: body
    ingestion_labels:

重新啟動 Bindplane 代理程式，套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
```
sudo systemctl restart observiq-otel-collector
```
如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，也可以輸入下列指令：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

在 Arista VeloCloud SD-WAN 設定系統記錄轉送

登入 VeloCloud SD-WAN Orchestrator 網頁介面。
依序前往「設定」>「設定檔」。
選取要監控的邊緣裝置所指派的設定檔。
為適當的網路區隔點選「設定區隔」。
選取「Syslog」Syslog分頁標籤。
按一下「新增規則」，建立新的系統記錄轉送規則。
提供下列設定詳細資料：
- Syslog 收集器 IP：輸入 Bindplane 代理程式主機的 IP 位址 (例如 192.168.1.100)。
- 通訊埠：輸入 514。
- 「通訊協定」：選取「UDP」。
- Facility：選取適當的 syslog 設施 (例如 LOCAL0)。
- 嚴重性：選取要轉送的最低嚴重性等級 (例如選取「資訊」，即可擷取所有資訊和嚴重性較高的事件)。
- 標記：可選擇輸入標記來識別這些記錄 (例如 velocloud)。
- Source Interface：選取管理介面或適當的來源介面。
在「角色」部分，選取要轉送的記錄類別：
- FIREWALL - 轉送防火牆事件記錄。
- EDGE：轉送邊緣裝置作業記錄。
按一下 [儲存變更]。
如要為特定 Edge 覆寫設定檔設定，請依序前往「Configure」>「Edges」，選取 Edge，然後在「Device」分頁中重複 syslog 設定。

注意： 在設定檔層級所做的變更，會套用至使用該設定檔的所有 Edge。只有在特定 Edge 需要不同的系統記錄設定時，才使用 Edge 層級的覆寫值。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`cloud_software_label`	`additional.fields`	已合併
`in_label`	`additional.fields`	已合併
`proto_label`	`additional.fields`	已合併
`segment_label`	`additional.fields`	已合併
`segment_name_label`	`additional.fields`	已合併
`inter_hostname`	`intermediary.hostname`	直接對應
`description`	`metadata.description`	直接對應
`timestamp`	`metadata.event_timestamp`	剖析為 `MMM d HH:mm:ss`
`principal_present`	`metadata.event_type`	已對應：`true` → `NETWORK_CONNECTION`、`true` → `STATUS_UPDATE`
`product_event_type`	`metadata.product_event_type`	直接對應
`ip_protocol_out`	`network.ip_protocol`	已重新命名/對應
`BYTES_RECEIVED`	`network.received_bytes`	直接對應
`BYTES_SENT`	`network.sent_bytes`	直接對應
`DURATION_SECS`	`network.session_duration.seconds`	直接對應
`SRC`	`principal.asset.ip`	已合併
`SRC`	`principal.ip`	已合併
`NAT_SRC`	`principal.nat_ip`	已合併
`NAT_SPT`	`principal.nat_port`	直接對應
`SPT`	`principal.port`	直接對應
`security_result_action`	`security_result.action`	已合併
`ACTION`	`security_result.action_details`	直接對應
`FW_POLICY_NAME`	`security_result.rule_name`	直接對應
`REASON`	`security_result.summary`	直接對應
`DEST_DOMAIN`	`target.administrative_domain`	直接對應
`DEST_NAME`	`target.asset.hostname`	直接對應
`DST`	`target.asset.ip`	已合併
`DEST_NAME`	`target.hostname`	直接對應
`DST`	`target.ip`	已合併
`DPT`	`target.port`	直接對應
不適用	`metadata.event_type`	常數：`GENERIC_EVENT`
不適用	`metadata.product_name`	常數：`VELO_FIREWALL`
不適用	`metadata.vendor_name`	常數：`VELO_FIREWALL`
`description`	`event.idm.read_only_udm.metadata.description`	從變更記錄對應
`product_event_type`	`event.idm.read_only_udm.metadata.product_event_type`	從變更記錄對應
`cloud_software`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。