收集 Nokia VitalQIP DDI 日志

支持的平台：

本文档介绍了如何使用 Bindplane 将 Nokia VitalQIP DDI 日志注入到 Google Security Operations。

Nokia VitalQIP（现归 Cygna Labs 所有）是一款企业级 DDI 解决方案，可集中管理 DNS（域名系统）、DHCP（动态主机配置协议）和 IPAM（IP 地址管理）。VitalQIP 提供运营商级 IP 地址管理，以及可伸缩、安全的 DNS/DHCP 服务，专为需要高性能本地和混合云 DDI 解决方案的大型企业、电信提供商和服务提供商而设计。

准备工作

  • 请确保满足以下前提条件：

    • Google SecOps 实例
    • Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
    • Bindplane 代理与 VitalQIP 设备管理软件 (AMS) 之间的网络连接
    • 如果通过代理运行，请确保防火墙端口已根据 Bindplane 代理要求打开
    • 对 VitalQIP 设备管理软件 (AMS) 网页界面的管理员访问权限
    • VitalQIP Appliance Manager 版本 1.7 或更高版本（用于支持多个 syslog 服务器）
    • 您的环境中至少配置了一个 VitalQIP 设备（AMS、ESM 或 AMM）

获取 Google SecOps 注入身份验证文件

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。
  3. 下载注入身份验证文件。将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 配置文件。
  3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安装完成。

  4. 运行以下命令来验证安装：

    sc query observiq-otel-collector

    该服务应显示为 RUNNING。

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安装完成。

  4. 运行以下命令来验证安装：

    sudo systemctl status observiq-otel-collector

    该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

  • Linux：

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

  • 将 config.yaml 的全部内容替换为以下配置：

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/vitalqip:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: VITALQIP
    raw_log_field: body
    ingestion_labels:
      env: production
      source: vitalqip

service:
  pipelines:
    logs/vitalqip_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/vitalqip

配置参数

替换以下占位符：

  • 接收器配置：

    • listen_address：设置为 0.0.0.0:514 可在 UDP 端口 514 上监听所有接口
      • 对于以非 root 身份运行的 Linux 系统，请使用端口 1514 或更高端口
      • 如果您的环境需要使用其他端口，请调整端口号

  • 导出器配置：

    • creds_file_path：提取身份验证文件的完整路径：
      • Linux：/etc/bindplane-agent/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id：将 YOUR_CUSTOMER_ID 替换为上一步中的客户 ID
    • endpoint：区域端点网址：
      • 美国：malachiteingestion-pa.googleapis.com
      • 欧洲：europe-malachiteingestion-pa.googleapis.com
      • 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
      • 如需查看完整列表，请参阅区域级端点
    • log_type：设置为 VITALQIP（与 Chronicle 解析器完全匹配）
    • ingestion_labels：用于过滤和组织的可选标签

保存配置文件

  • 修改后，保存文件：
    • Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

  1. 运行以下命令：

    sudo systemctl restart observiq-otel-collector

  2. 验证服务是否正在运行：

    sudo systemctl status observiq-otel-collector

  3. 检查日志是否存在错误：

    sudo journalctl -u observiq-otel-collector -f

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

  1. 请从下列选项中选择一项：

    • 以管理员身份运行命令提示符或 PowerShell：
    net stop observiq-otel-collector && net start observiq-otel-collector
    • 服务控制台：
      1. 按 Win+R，输入 services.msc，然后按 Enter 键。
      2. 找到 observIQ OpenTelemetry 收集器。
      3. 右键点击并选择重新启动。

  2. 验证服务是否正在运行：

    sc query observiq-otel-collector

  3. 检查日志是否存在错误：

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

配置 VitalQIP syslog 转发

VitalQIP Appliance Manager (AM) 1.7 版及更高版本支持通过 AMS 网页界面为每个设备配置最多 10 个远程 Syslog 服务器。

登录 VitalQIP 设备管理软件

  1. 打开网络浏览器，然后前往 VitalQIP AMS 网页界面网址：

    • 对于非安全连接：http://<AMS_HOSTNAME>:<PORT>/qip
    • 对于安全连接：https://<AMS_HOSTNAME>:<PORT>/qip

  2. 输入您的 VitalQIP 管理员凭据，然后点击登录。

为设备配置远程 Syslog 服务器

  1. 在 VitalQIP AMS 网页界面中，展开左侧导航面板中的 Appliances 部分。
  2. 选择要配置为转发 syslog 的设备（AMS、ESM 或 AMM 设备）。
  3. 前往设备配置设置。
  4. 找到远程日志记录或 Syslog 配置部分。
  5. 点击添加以添加新的远程 syslog 服务器。
  6. 配置以下 syslog 服务器参数：
    • 服务器名称：输入一个描述性名称（例如 Chronicle-Bindplane）
    • IP 地址：输入 Bindplane 代理主机 IP 地址
    • 端口：输入 514（或在 Bindplane 代理中配置的端口）
    • 协议：选择 UDP
    • 设施：选择 local0 到 local7（或根据组织的要求选择）
    • 严重程度：选择信息或调试以捕获所有相关日志事件
  7. 点击保存或应用以保存 syslog 服务器配置。
  8. 将配置部署到设备：
    1. 前往设备部署部分。
    2. 选择配置更改。
    3. 点击部署，将 syslog 配置推送到设备。
  9. 针对要从中转发日志的每个 VitalQIP 设备（ESM、AMM）重复执行第 2-8 步。

验证 Syslog 转发

  1. 在 VitalQIP 中生成测试活动：
    • 执行 DNS 查询
    • 分配或释放 DHCP 租约
    • 在 VitalQIP GUI 中进行管理更改
  2. 检查 Bindplane 代理日志以验证日志接收情况：
    • Linux：sudo journalctl -u observiq-otel-collector -f
    • Windows：type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
  3. 登录 Google SecOps 控制台，并验证 VitalQIP 日志是否显示在日志搜索中。

其他配置说明

  • VitalQIP 日志包括 DNS 查询日志、DHCP 租约事件、IP 地址管理操作和管理员活动的审核轨迹。
  • VitalQIP 支持符合 RFC 3164 (BSD syslog) 的 syslog 格式。
  • 对于高流量环境，请考虑配置多个具有负载均衡功能的 Bindplane 代理。
  • 您可以将 VitalQIP 设备配置为同时将日志发送到多个远程 Syslog 服务器（在 AM 1.7 及更高版本中，每个设备最多可发送到 10 个服务器）。
  • 确保网络连接和防火墙规则允许从 VitalQIP 设备到 Bindplane 代理主机使用 UDP 端口 514（或您配置的端口）。

UDM 映射表

日志字段 UDM 映射 逻辑
tty additional.fields 与终端 (tty)、pwd 和子网的标签合并
pwd additional.fields
子网 additional.fields
dhcp_client_ip dhcp.ciaddr 设置为删除租约或自动释放
req_addr dhcp.requested_address 直接复制值
dhcp.type dhcp.type 对于 DeleteLease 或 Auto Release，设置为“RELEASE”；对于 RenewLease 或 GrantLease，设置为“ACK”
dhcp_client_ip dhcp.yiaddr 针对 RenewLease 或 GrantLease 进行了重命名
log_msg metadata.description 直接复制值
event_type metadata.event_type 如果不为空，则设置为 event_type，否则设置为“GENERIC_EVENT”
log_source network.application_protocol 对于命名为 log_source 的日志源，设置为“DNS”；对于 dhcpd，设置为“DHCP”
dhcp_domain principal.administrative_domain 直接复制值
log_source principal.application 如果 log_source 不包含“/”或“sudo”，则进行设置
dns_server principal.ip 直接复制值
log_source principal.process.command_line 如果包含“/”或“sudo”，则设置为 log_source；否则设置为 cmd
cmd principal.process.command_line
pid principal.process.pid 直接复制值
用户 principal.user.userid 直接复制值
questions_name questions.name 直接复制值
QTYPE questions.type 已转换为 uinteger
client_id target.asset_id 设置为“id: ” + client_id
dhcp_client_hostname target.hostname 直接复制值
client_ip_address target.ip 从 client_ip_address (DNS) 或 dhcp_client_ip (DHCP) 合并
dhcp_client_ip target.ip
client_mac target.mac 直接复制的值（格式化后）
client_port target.port 转换为整数
metadata.product_name metadata.product_name 设置为“VITALQIP”
metadata.vendor_name metadata.vendor_name 设置为“NOKIA”

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。