Recopila registros de NetScaler

En este documento, se describe cómo puedes recopilar los registros de NetScaler con un retransmisor de Google Security Operations.

Para obtener más información, consulta Descripción general de la transferencia de datos a Google Security Operations.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia CITRIX_NETSCALER.

Configura NetScaler VPX

Para configurar el NetScaler VPX de modo que envíe registros al reenviador de Google Security Operations, haz lo siguiente:

• Verifica la configuración del nombre de host.
• Crea un servidor de auditoría.
• Vincula la política de auditoría creada al servidor.

Verifica la configuración del nombre de host

1. Accede a la interfaz web de NetScaler con las credenciales de administrador.
2. Selecciona Configuración > Configuración.
3. Haz clic en Nombre de host, dirección IP de DNS y zona horaria.
4. Si el campo Nombre de host está vacío, ingresa el nombre de host. No incluyas espacios. Si este campo ya está configurado, no es necesario que realices ninguna acción.
5. En el campo Dirección IP del DNS, verifica si se especificó la dirección IP del DNS local.
6. En el campo Zona horaria, ingresa tu zona horaria.

Crea un servidor de auditoría

1. En la interfaz web de NetScaler, selecciona Configuration > System > Auditing > Syslog > Servers.
2. Especifica los detalles de Syslog en los siguientes campos:
   • Nombre
   • Tipo de servidor
   • Dirección IP
   • Puerto
3. Selecciona Niveles de registro como Personalizado.
4. Selecciona todas las casillas de verificación, excepto el nivel DEBUG en la configuración.
5. En la lista Log facility, selecciona LOCAL0.
6. En la lista Formato de fecha, selecciona MMDDYYYY.
7. Selecciona Zona horaria como GMT.
8. Desmarca las siguientes casillas de verificación:
   • Registro de TCP
   • Registro de LCA
   • Mensajes de registro configurables por el usuario
   • Registro de AppFlow
   • Registro de NAT a gran escala
   • Registro de mensajes de ALG
   • Registro de suscriptores
   • DNS
   • Interceptación de SSL
   • Filtro de URLs
   • Registro de inspección de contenido
9. Haz clic en Aceptar para crear el servidor de auditoría.

Vincula la política de auditoría creada al servidor

1. En la interfaz web de NetScaler, selecciona Configuration > System > Auditing > Syslog.
2. Haz clic en la pestaña Políticas.
3. En el campo Nombre, ingresa un nombre para la política.
4. En la lista Servidor, selecciona la política de la sección anterior.
5. Haz clic en Crear.
6. Haz clic con el botón derecho en la política de auditoría creada y selecciona Acción > Enlaces globales.
7. Haz clic en Agregar vinculación.
8. En la ventana Vinculación de políticas, haz lo siguiente:
   1. En el campo Seleccionar política, ingresa la política de auditoría creada.
   2. En el panel Detalles de vinculación, en el campo Prioridad, ingresa 120, ya que es la prioridad predeterminada.
   3. Haz clic en Bind.

Configura NetScaler SDX

Para configurar el NetScaler SDX de modo que envíe registros al reenviador de Google Security Operations, haz lo siguiente:

• Verifica la configuración del nombre de host para NetScaler SDX.
• Configura el servidor syslog.
• Configura los parámetros de syslog.

Verifica la configuración del nombre de host para NetScaler SDX

1. Accede a la interfaz web de NetScaler con las credenciales de administrador.
2. En la interfaz web de NetScaler, selecciona System > System settings.
3. Si el campo Nombre de host está vacío, ingresa el nombre de host. No incluyas espacios. Si este campo ya está configurado, no es necesario que realices ninguna acción.
4. En el campo Zona horaria, selecciona UTC o GMT.

Configura el servidor syslog

1. En la interfaz web de NetScaler, selecciona System > Notifications > Syslog servers.
2. En el panel Detalles, haz clic en Agregar.
3. En la ventana Crear servidor syslog, especifica valores para los siguientes parámetros del servidor syslog:
   1. En el campo Nombre, ingresa un nombre.
   2. En el campo Dirección IP, ingresa la dirección IP del reenviador de Google Security Operations.
   3. En el campo Puerto, número de puerto.
   4. Selecciona Niveles de registro como Personalizado.
   5. Selecciona todos los niveles de registro, excepto Debug.
4. Haz clic en Crear.

Configura los parámetros de syslog

1. En la interfaz web de NetScaler, selecciona System > Notifications > Syslog servers.
2. En el panel Detalles, haz clic en Parámetros de Syslog.
3. En la página Configurar parámetros de syslog, selecciona Formato de fecha como MMDDYYYY y selecciona Zona horaria como GMT.
4. Haz clic en Aceptar.

Configura el reenvío de Google Security Operations para transferir registros de NetScaler

1. Selecciona Configuración de SIEM > Reenviadores.
2. Haz clic en Agregar un nuevo reenvío.
3. En el campo Nombre del reenviador, ingresa un nombre único para el reenviador.
4. Haz clic en Enviar y, luego, en Confirmar. Se agregará el retransmisor y aparecerá la ventana Add collector configuration.
5. En el campo Nombre del recopilador, escribe un nombre único para el recopilador.
6. Selecciona Citrix NetScaler como el Tipo de registro.
7. En el campo Tipo de recopilador, selecciona Syslog.
8. Configura los siguientes parámetros de entrada obligatorios:
   • Protocolo: Especifica el protocolo de conexión que usa el recopilador para escuchar los datos de Syslog.
   • Dirección: Especifica la dirección IP o el nombre de host de destino en el que reside el recopilador y escucha los datos de syslog.
   • Puerto: Especifica el puerto de destino en el que reside el recopilador y escucha los datos de syslog.
9. Haz clic en Enviar.

Para obtener más información sobre los retransmisores de Google Security Operations, consulta Administra la configuración de los retransmisores a través de la IU de Google Security Operations.

Si tienes problemas para crear reenvíos, comunícate con el equipo de asistencia de Google Security Operations.

Referencia de la asignación de campos

Este analizador procesa los registros de SYSLOG de Citrix Netscaler en formato de clave-valor, extrae datos con formato JSON del campo message y enriquece el UDM con información de otros campos, como host.hostname y user_agent.original, después de limpiarlos. Maneja los casos en los que el mensaje principal está vacío recurriendo al mensaje de registro original.

Tabla de asignación de UDM