收集 Nokia VitalQIP DDI 日志

支持的环境：

本文档介绍了如何使用 Bindplane 将 Nokia VitalQIP DDI 日志注入到 Google Security Operations。

Nokia VitalQIP（现归 Cygna Labs 所有）是一种企业级 DDI 解决方案，可集中管理 DNS（域名系统）、DHCP（动态主机配置协议）和 IPAM（IP 地址管理）。VitalQIP 提供运营商级 IP 地址管理，以及可伸缩的 DNS/DHCP 服务，专为需要高性能本地和混合云 DDI 解决方案的大型企业、电信提供商和服务提供商而设计。

准备工作

  • 请确保满足以下前提条件：

    • Google SecOps 实例
    • Windows Server 2016 或更高版本，或具有 systemd 的 Linux 主机
    • Bindplane 代理与 VitalQIP 设备管理软件 (AMS) 之间的网络连接
    • 如果通过代理运行，请确保防火墙端口根据 Bindplane 代理要求处于打开状态
    • 对 VitalQIP 设备管理软件 (AMS) 网页界面拥有管理员权限
    • VitalQIP 设备管理器 1.7 或更高版本（用于支持多个 Syslog 服务器）
    • 您的环境中至少配置了一个 VitalQIP 设备（AMS、ESM 或 AMM）

获取 Google SecOps 提取身份验证文件

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。
  3. 下载数据注入身份验证文件。将该文件安全地保存在将安装 Bindplane 的 系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 个人资料。
  3. 从组织详细信息 部分复制并保存客户 ID 。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符 或 PowerShell 。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sc query observiq-otel-collector

    该服务应显示为 RUNNING 。

Linux 安装

  1. 打开具有根权限或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sudo systemctl status observiq-otel-collector

    该服务应显示为 active (running) 。

其他安装资源

如需了解其他安装选项和问题排查，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

找到配置文件

  • Linux ：

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows ：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

  • 将 config.yaml 的全部内容替换为以下配置：

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/vitalqip:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: VITALQIP
    raw_log_field: body
    ingestion_labels:
      env: production
      source: vitalqip

service:
  pipelines:
    logs/vitalqip_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/vitalqip

配置参数

替换以下占位符：

  • 接收器配置：

    • listen_address：设置为 0.0.0.0:514 以监听 UDP 端口 514 上的所有接口
      • 对于以非根身份运行的 Linux 系统，请使用端口 1514 或更高版本
      • 如果您的环境需要其他端口，请调整端口号

  • 导出器配置：

    • creds_file_path：提取身份验证文件的完整路径：
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id：将 YOUR_CUSTOMER_ID 替换为上一步中的客户 ID
    • endpoint：区域级端点网址：
      • 美国：malachiteingestion-pa.googleapis.com
      • 欧洲: europe-malachiteingestion-pa.googleapis.com
      • 亚洲: asia-southeast1-malachiteingestion-pa.googleapis.com
      • 如需查看完整列表，请参阅区域级端点
    • log_type：设置为 VITALQIP（与 Chronicle 解析器完全匹配）
    • ingestion_labels：用于过滤和组织的可选标签

保存配置文件

  • 修改后，保存文件：
    • Linux：按 Ctrl+O，然后按 Enter，再按 Ctrl+X
    • Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

  1. 运行以下命令：

    sudo systemctl restart observiq-otel-collector

  2. 验证服务正在运行：

    sudo systemctl status observiq-otel-collector

  3. 检查日志中的错误：

    sudo journalctl -u observiq-otel-collector -f

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

  1. 请从下列选项中选择一项：

    • 以管理员身份运行命令提示符或 PowerShell：
    net stop observiq-otel-collector && net start observiq-otel-collector
    • 服务控制台：
      1. 按 Win+R，输入 services.msc，然后按 Enter 键。
      2. 找到 observIQ OpenTelemetry Collector 。
      3. 右键点击并选择重启 。

  2. 验证服务正在运行：

    sc query observiq-otel-collector

  3. 检查日志中的错误：

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

配置 VitalQIP Syslog 转发

VitalQIP 设备管理器 (AM) 1.7 及更高版本支持通过 AMS 网页界面为每个设备配置最多 10 个远程 Syslog 服务器。

登录 VitalQIP 设备管理软件

  1. 打开网络浏览器，然后前往您的 VitalQIP AMS 网页界面网址：

    • 对于非安全连接：http://<AMS_HOSTNAME>:<PORT>/qip
    • 对于安全连接：https://<AMS_HOSTNAME>:<PORT>/qip

  2. 输入您的 VitalQIP 管理员凭据，然后点击 Login （登录）。

为设备配置远程 Syslog 服务器

  1. 在 VitalQIP AMS 网页界面中，展开左侧导航面板中的 Appliances （设备）部分。
  2. 选择要为其配置 Syslog 转发的设备（AMS、ESM 或 AMM 设备）。
  3. 前往设备配置设置。
  4. 找到 Remote Logging （远程日志记录）或 Syslog Configuration （Syslog 配置）部分。
  5. 点击 Add （添加）以添加新的远程 Syslog 服务器。
  6. 配置以下 Syslog 服务器参数：
    • Server Name（服务器名称）：输入描述性名称（例如 Chronicle-Bindplane）
    • IP Address（IP 地址）：输入 Bindplane 代理主机的 IP 地址
    • 端口：输入 514（或在 Bindplane 代理中配置的端口）
    • Protocol（协议）：选择 UDP
    • Facility（设施）：选择 local0 到 local7 （或根据组织的要求）
    • Severity Level（严重程度）：选择 Info（信息）或 Debug（调试）以捕获所有相关日志事件
  7. 点击 Save （保存）或 Apply （应用）以保存 Syslog 服务器配置。
  8. 将配置部署到设备：
    1. 前往设备部署部分。
    2. 选择配置更改。
    3. 点击 Deploy （部署）以将 Syslog 配置推送到设备。
  9. 针对要从中转发日志的每个 VitalQIP 设备（ESM、AMM）重复第 2-8 步。

验证 Syslog 转发

  1. 在 VitalQIP 中生成测试活动：
    • 执行 DNS 查询
    • 分配或释放 DHCP 租约
    • 在 VitalQIP GUI 中进行管理更改
  2. 检查 Bindplane 代理日志以验证日志接收情况：
    • Linux: sudo journalctl -u observiq-otel-collector -f
    • Windows: type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
  3. 登录 Google SecOps 控制台，并验证 VitalQIP 日志是否显示在日志搜索中。

其他配置说明

  • VitalQIP 日志包括 DNS 查询日志、DHCP 租约事件、IP 地址管理操作以及管理员活动的审核跟踪记录。
  • VitalQIP 支持符合 RFC 3164 (BSD Syslog) 的 Syslog 格式。
  • 对于大容量环境，请考虑配置多个具有负载均衡功能的 Bindplane 代理。
  • 可以将 VitalQIP 设备配置为同时将日志发送到多个远程 Syslog 服务器（在 AM 1.7+ 中，每个设备最多 10 个服务器）。
  • 确保网络连接和防火墙规则允许从 VitalQIP 设备到 Bindplane 代理主机的 UDP 端口 514（或您配置的端口）。

UDM 映射表

日志字段 UDM 映射 逻辑
tty additional.fields 与终端 (tty)、pwd 和子网的标签合并
pwd additional.fields
子网 additional.fields
dhcp_client_ip dhcp.ciaddr 为“删除租约”或“自动释放”设置
req_addr dhcp.requested_address 直接复制值
dhcp.type dhcp.type 对于“删除租约”或“自动释放”，设置为“RELEASE”；对于“续订租约”或“授予租约”，设置为“ACK”
dhcp_client_ip dhcp.yiaddr 为“续订租约”或“授予租约”重命名
log_msg metadata.description 直接复制值
event_type metadata.event_type 如果不为空，则设置为 event_type，否则设置为“GENERIC_EVENT”
log_source network.application_protocol 对于命名的 log_source，设置为“DNS”；对于 dhcpd，设置为“DHCP”
dhcp_domain principal.administrative_domain 直接复制值
log_source principal.application 如果 log_source 不包含 / 或 sudo，则设置
dns_server principal.ip 直接复制值
log_source principal.process.command_line 如果包含 / 或 sudo，则设置为 log_source，否则设置为 cmd
cmd principal.process.command_line
pid principal.process.pid 直接复制值
用户 principal.user.userid 直接复制值
questions_name questions.name 直接复制值
QTYPE questions.type 转换为 uinteger
client_id target.asset_id 设置为“id: ” + client_id
dhcp_client_hostname target.hostname 直接复制值
client_ip_address target.ip 从 client_ip_address (DNS) 或 dhcp_client_ip (DHCP) 合并
dhcp_client_ip target.ip
client_mac target.mac 直接复制值（格式化后）
client_port target.port 转换为整数
metadata.product_name metadata.product_name 设置为“VITALQIP”
metadata.vendor_name metadata.vendor_name 设置为“NOKIA”

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。