Raccogliere i log del sistema di prevenzione delle intrusioni wireless (WIPS) di Cisco

Questo documento spiega come importare i log del sistema di prevenzione delle intrusioni wireless (WIPS) di Cisco in Google Security Operations utilizzando Bindplane. Il parser estrae le coppie chiave-valore dai messaggi syslog, quindi mappa questi valori ai campi del modello UDM (Unified Data Model). Determina il event_type appropriato in base alla presenza di informazioni su principal, target e utente e classifica gli eventi di sicurezza in base a eventType e ad altri campi.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Istanza Google SecOps
• Windows 2016 o versioni successive oppure un host Linux con systemd
• Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte.
• Accesso con privilegi al punto di accesso (AP) Cisco/al controller LAN wireless (WLC)

Recuperare il file di autenticazione importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione importazione.
   • Salva il file in modo sicuro sul sistema in cui verrà installato BindPlane.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

1. Accedi al file di configurazione:
   • Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'CISCO_WIPS'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
   • Sostituisci <customer_id> con l'ID cliente effettivo.
   • Aggiorna /path/to/ingestion-authentication-file.json al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart bindplane-agent
  

• Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurare il sistema di prevenzione delle intrusioni wireless adattivo (aWIPS) su Cisco Catalyst

1. Accedi a Cisco Catalyst utilizzando SSH.

2. Inserisci la configurazione globale per attivare aWIPS nel profilo AP:

   configure terminal
   ap profile <profile-name>
   awips
   

3. Configura l'intervallo di limitazione di syslog per 60 secondi:

   awips-syslog throttle period 60
   

Configurare Syslog utilizzando i profili AP Cisco

1. Nel profilo AP-join (tramite CLI):

   configure terminal
   ap profile <profile-name>
     syslog host <Bindplane_IP_address>
     syslog level informational
     syslog facility local0
   end
   

Configura Syslog su Cisco WLC (GUI)

1. Accedi all'UI web di WLC.
2. Vai a Gestione > Log > Configurazione.
3. Inserisci l'indirizzo IP dell'agente Bindplane nel campo Indirizzo IP server Syslog.
4. Fai clic su Aggiungi.
5. Fornisci i seguenti dettagli di configurazione:
   • Gravità Syslog: seleziona Informativo.
   • Syslog Facility (Funzione Syslog): seleziona Local Use 0 (Uso locale 0).
6. Fai clic su Applica.
7. Fai clic su Salva configurazione.

Configura Syslog sui punti di accesso utilizzando WLC (CLI)

1. Host syslog AP globale:

   config ap syslog host global <Bindplane_IP_address>
   

2. Configura l'host syslog AP specifico:

   config ap syslog host specific <AP-name> <Bindplane_IP_address>
   

3. Imposta la gravità di syslog AP:

   config ap logging syslog level informational
   

4. Imposta la struttura per i messaggi AP:

   config logging syslog facility local0
   

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.