Mengumpulkan log NetScaler

Dokumen ini menjelaskan cara mengumpulkan log NetScaler menggunakan penerus Google Security Operations.

Untuk mengetahui informasi selengkapnya, lihat Ringkasan penyerapan data ke Google Security Operations.

Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah ke format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser dengan label penyerapan CITRIX_NETSCALER ingestion.

Mengonfigurasi NetScaler VPX

Untuk mengonfigurasi NetScaler VPX agar mengirim log ke penerus Google Security Operations, lakukan hal berikut:

• Verifikasi konfigurasi nama host.
• Buat server audit.
• Ikat kebijakan audit yang dibuat ke server.

Memverifikasi konfigurasi nama host

1. Login ke antarmuka web NetScaler menggunakan kredensial administrator.
2. Pilih Configuration > Settings.
3. Klik Nama host, alamat IP DNS, dan Zona waktu.
4. Jika kolom Host name kosong, masukkan nama host. Jangan sertakan spasi. Jika kolom ini sudah dikonfigurasi, Anda tidak perlu melakukan tindakan apa pun.
5. Di kolom DNS IP address, verifikasi apakah alamat IP DNS lokal ditentukan.
6. Di kolom Zona waktu, masukkan zona waktu Anda.

Membuat server audit

1. Di antarmuka web NetScaler, pilih Configuration > System > Auditing > Syslog > Servers.
2. Tentukan detail syslog di kolom berikut:
   • Nama
   • Jenis server
   • Alamat IP
   • Port
3. Pilih Tingkat log sebagai Kustom.
4. Centang semua kotak kecuali tingkat DEBUG dalam konfigurasi.
5. Dalam daftar Fasilitas log, pilih LOCAL0.
6. Dalam daftar Format tanggal, pilih MMDDYYYY.
7. Pilih Zona waktu sebagai GMT.
8. Hapus centang pada kotak berikut:
   • Logging TCP
   • Logging ACL
   • Pesan log yang dapat dikonfigurasi pengguna
   • Pencatatan log AppFlow
   • Logging NAT skala besar
   • Logging pesan ALG
   • Pencatatan log pelanggan
   • DNS
   • Penyadapan SSL
   • Pemfilteran URL
   • Logging pemeriksaan konten
9. Klik Ok untuk membuat server audit.

Mengaitkan kebijakan audit yang dibuat ke server

1. Di antarmuka web NetScaler, pilih Configuration > System > Auditing > Syslog.
2. Klik tab Kebijakan.
3. Di kolom Name, masukkan nama untuk kebijakan.
4. Di daftar Server, pilih kebijakan dari bagian sebelumnya.
5. Klik Create.
6. Klik kanan kebijakan audit yang dibuat, lalu pilih Action > Global bindings.
7. Klik Tambahkan binding.
8. Di jendela Policy binding, lakukan langkah berikut:
   1. Di kolom Select policy, masukkan kebijakan audit yang dibuat.
   2. Di panel Detail binding, di kolom Priority, masukkan 120 karena ini adalah prioritas default.
   3. Klik Tautkan.

Mengonfigurasi NetScaler SDX

Untuk mengonfigurasi NetScaler SDX agar mengirim log ke penerus Google Security Operations, lakukan hal berikut:

• Verifikasi konfigurasi nama host untuk NetScaler SDX.
• Konfigurasi server syslog.
• Konfigurasi parameter syslog.

Memverifikasi konfigurasi nama host untuk NetScaler SDX

1. Login ke antarmuka web NetScaler menggunakan kredensial administrator.
2. Di antarmuka web NetScaler, pilih System > System settings.
3. Jika kolom Host name kosong, masukkan nama host. Jangan sertakan spasi. Jika kolom ini sudah dikonfigurasi, Anda tidak perlu melakukan tindakan apa pun.
4. Di kolom Zona waktu, pilih UTC atau GMT.

Mengonfigurasi server syslog

1. Di antarmuka web NetScaler, pilih System > Notifications > Syslog servers.
2. Di panel Detail, klik Tambahkan.
3. Di jendela Create syslog server, tentukan nilai untuk parameter server syslog berikut:
   1. Di kolom Name, masukkan nama.
   2. Di kolom IP address, masukkan alamat IP penerusan Google Security Operations.
   3. Di kolom Port, masukkan nomor port.
   4. Pilih Tingkat log sebagai Kustom.
   5. Pilih semua tingkat log kecuali Debug.
4. Klik Create.

Mengonfigurasi parameter syslog

1. Di antarmuka web NetScaler, pilih System > Notifications > Syslog servers.
2. Di panel Details, klik Syslog parameters.
3. Di halaman Configure syslog parameters, pilih Date format sebagai MMDDYYYY dan pilih Time zone sebagai GMT.
4. Klik Ok.

Mengonfigurasi penerusan Google Security Operations untuk memproses log NetScaler

1. Pilih Setelan SIEM > Forwarder.
2. Klik Tambahkan penerusan baru.
3. Di kolom Nama penerusan, masukkan nama unik untuk penerusan.
4. Klik Kirim, lalu klik Konfirmasi. Forwarder ditambahkan dan jendela Add collector configuration akan muncul.
5. Di kolom Nama pengumpul, ketik nama unik untuk pengumpul.
6. Pilih Citrix NetScaler sebagai Jenis log.
7. Di kolom Collector type, pilih Syslog.
8. Konfigurasi parameter input wajib diisi berikut:
   • Protokol: tentukan protokol koneksi yang digunakan pengumpul untuk memproses data syslog.
   • Alamat: tentukan alamat IP atau nama host target tempat pengumpul berada dan memproses data syslog.
   • Port: tentukan port target tempat pengumpul berada dan memproses data syslog.
9. Klik Kirim.

Untuk mengetahui informasi selengkapnya tentang penerus Google Security Operations, lihat Mengelola konfigurasi penerus melalui UI Google Security Operations.

Jika Anda mengalami masalah saat membuat penerusan, hubungi dukungan Google Security Operations.

Referensi pemetaan kolom

Parser ini memproses log SYSLOG Citrix Netscaler dalam format key-value, mengekstrak data berformat JSON dari kolom message, dan memperkaya UDM dengan informasi dari kolom lain seperti host.hostname dan user_agent.original setelah membersihkannya. Fungsi ini menangani kasus saat pesan utama kosong dengan kembali ke pesan log asli.

Tabel pemetaan UDM