Security Data Lake-ийн оролтууд (Inputs) — 11-р хэсэг: Palo Alto Networks Input

← Үндсэн хуудас

Palo Alto Networks Input

Palo Alto Networks input нь Security Data Lake-д Palo Alto төхөөрөмж болон Palo Alto Panorama системээс SYSTEM, THREAT, TRAFFIC логуудыг шууд хүлээн авах боломж олгоно. Төхөөрөмжийн талд стандарт Syslog гаралт ашиглана. Логууд ердийн syslog толгойтой, дараа нь таслалаар тусгаарласан талбаруудын жагсаалттай илгээгдэнэ. Талбаруудын дараалал PAN OS-ийн хувилбар хооронд өөрчлөгдөж болно.

SYSTEM мессежийн жишээ:

<14>1 2018-09-19T11:50:35-05:00 Panorama-1 - - - - 1,2018/09/19 11:50:35,000710000506,SYSTEM,general,0,2018/09/19 11:50:35,,general,,0,0,general,informational,"Deviating device: Prod--2, Serial: 007255000045717, Object: N/A, Metric: mp-cpu, Value: 34",1163103,0x0,0,0,0,0,,Panorama-1

Эхлэхийн тулд Enterprise > Forwarders > Input Profiles руу орж New Input Profile дээр дарна. Title (Гарчиг) болон (заавал биш) Description (Тайлбар) оруулаад Create дарна. Дараагийн хуудсан дээр Create input дээр дарж, Input Type жагсаалтаас Palo Alto Networks TCP-г сонгоод дахин Create input дарна. Security Data Lake-ийн bind хаяг болон портыг зааж, шаардлагатай бол талбарын мэппингийг тохируулна.

Security Data Lake-д гурван өөр input байдаг:

• Palo Alto Networks TCP (PAN-OS v8.x)
• Palo Alto Networks TCP (PAN-OS v9+)
• Palo Alto Networks TCP (PAN-OS v11+)

PAN-OS 8 Input

Энэ input нь PAN OS 8.1-тэй нийцэх талбарын тохиргоотой ирдэг. Бусад хувилбарыг Security Data Lake-ийн Add/Edit input хуудсан дээрх SYSTEM, THREAT, TRAFFIC мэппингийг өөрчлөх замаар дэмжинэ.

Мессежийн төрөл бүрийн тохиргоо нь position, field, type толгойг заавал агуулсан CSV блок байна.

Жишээ:

1,receive_time,STRING
2,serial_number,STRING
3,type,STRING
4,content_threat_type,STRING
5,future_use1,STRING
...

• `position` — эерэг бүхэл тоо.
• `field` — талбарын нэрэнд ашиглах тасралтгүй тэмдэгт мөр. Нөөцлөгдсөн нэрсийг агуулж болохгүй: _id, message, full_message, source, timestamp, level, streams.
• `type` — дэмжигдсэн төрлүүдийн нэг: BOOLEAN, LONG, STRING.

Palo Alto input эхлэхэд CSV тохиргоо бүрийн зөв эсэхийг шалгана. CSV буруу бүтэцтэй эсвэл хүчингүй шинж чанар агуулсан бол input эхлэхгүй бөгөөд System > Overview хуудасны дээд хэсэгт алдаа харагдана.

Plugin-д суулгасан анхдагч мэппинг нь PAN-OS 8.1-ийн техникийн тодорхойлолтод суурилсан. Та PAN-OS 8.1 ашиглаж байгаа бол мэппингийг засах шаардлагагүй. Харин өөр хувилбар ашиглаж байгаа бол тухайн хувилбарын Palo Alto Networks-ийн албан ёсны логийн талбарын баримтыг үзэж, Add/Edit Input хуудсан дээрх мэппингийг ёсоор нь тохируулна.

PAN-OS 9 Input

PAN-OS 9 input нь хүлээн авсан өгөгдөл 9.0 эсвэл 9.1 хувилбарынх эсэхийг автоматаар таньдаг. 9.1 хувилбарыг автоматаар дэмжих тул нэмэлт тохиргоогүй ажиллана.

Лавлахад зориулж 9.1 хувилбарын албан ёсны баримтын холбоосуудыг хавсаргав:

• 9.1 - Traffic Log Fields
• 9.1 - Threat Log Fields
• 9.1 - HIP Match Log Fields
• 9.1 - GlobalProtect Log Fields
• 9.1 - Config Log Fields
• 9.1 - System Log Fields
• 9.1 - Correlated Events Log Fields

Мөн PAN OS-ийн хуучин хувилбаруудын баримт-ыг үзнэ үү.

PAN-OS 11 Input

PAN-OS 11 input нь хүлээн авсан өгөгдөл 11.0 эсвэл түүнээс хойших хувилбарынх эсэхийг автоматаар таньж, логийн өгөгдлийг боловсруулалтын pipeline эсвэл Illuminate агуулгаар боловсруулна. Энэ input нь мессежийн схемийг бүрэн задалдаггүй; харин event_source_product, vendor_subtype зэрэг гол талбаруудыг гаргаж аваад мессежид нэмнэ.

Лавлахад зориулж 11.0 хувилбарын албан ёсны баримтын холбоосуудыг хавсаргав:

• 11.0 - Traffic Log Fields
• 11.0 - Threat Log Fields
• 11.0 - HIP Match Log Fields
• 11.0 - Globetrotting Log Fields
• 11.0 - Config Log Fields
• 11.0 - System Log Fields
• 11.0 - Correlated Events Log Fields

Random HTTP message generator

Random HTTP Message Generator input нь Security Data Lake-ийн туршилт, гүйцэтгэлийн хэмжилт, үзүүлэн таниулахад зориулж зохиомол HTTP мессежийн урсгал үүсгэдэг хэрэгсэл юм. Гадны өгөгдлийн эх сурвалж ашиглахгүйгээр өөрөө HTTP төст мессежүүдийг тохируулсан давтамжтай үүсгэж, Security Data Lake-ийн боловсруулалтын pipeline руу илгээнэ. Энэ нь амьд лог эх сурвалжгүйгээр stream дүрэм, extractor, pipeline, хяналтын самбарыг турших үед онцгой ашигтай.

Энэ input нь мессежийн хугацаа болон эх сурвалжийн мэдээлэлд санамсаргүй өөрчлөлт оруулж, жигд бус бодит урсгалыг дуурайлгана.

Шаардлага ба бэлтгэл

Энэ input руу мессеж илгээх гадны систем шаардлагагүй, учир нь мессежүүдийг Security Data Lake өөрөө дотооддоо үүсгэдэг. Гэхдээ идэвхжүүлэхээс өмнө дараахыг анхаарна:

• Ашиглах орчин — Энэ input нь зохиомол өгөгдөл үүсгэж, ердийн мессеж боловсруулалтын статистикт нөлөөлж болзошгүй тул үндсэндээ production биш, туршилтын болон staging орчинд ашиглах зориулалттай.
• Хүлээн авах тохиргоо — Security Data Lake-ийн pipeline, stream, extractor-ууд эдгээр туршилтын мессежийг зохих ёсоор боловсруулах эсвэл хаяхаар тохируулагдсан эсэхийг шалгана.

Security Data Lake дахь тохиргоо

Input үүсгэх, тохируулах талаар Setting up a new Input-ийг үзнэ үү.

Дараах сонголтуудыг тохируулж input-ыг тохируулна:

• Title — Input-ыг бусдаас нь хялбар ялгах захиалгат нэр. Жишээ: Test HTTP Generator.
• Sleep time — Үүсгэсэн хоёр мессежийн хоорондох үндсэн саатал (миллисекундээр). Утга бага байх тусам мессежийн урсгал өндөр болно.
• Maximum random sleep time deviation — Жигд бус урсгалыг дуурайлгахын тулд үндсэн саатал дээр (энэ утгаас хэтрэхгүй миллисекундээр) санамсаргүй саатал нэмнэ. Жишээлбэл, үндсэн саатал 25 мс, хазайлт 30 мс бол мессеж бүр 25–55 мс-ээр саатна.
• Source name — Үүсгэсэн мессежийн source талбарт орох хостын нэр эсвэл тодорхойлогч. example.org, local-test гэх мэт дурын нэр байж болно.
• Allow throttling this input — Идэвхжүүлсэн үед боловсруулалтын pipeline хоцорвол input мессеж үүсгэхээ автоматаар түр зогсоож, Security Data Lake-ийг ачаалалд оруулахаас сэргийлнэ. Бүрэн хурд хэрэгтэй зохиомол туршилтад ихэвчлэн идэвхжүүлэхгүй орхино.
• Override source (заавал биш) — Хүлээн авсан пакетаас гаргаж авсан анхдагч хостын нэрийг гараар дарж өөрчлөх боломж олгоно. Бүх үүсгэсэн мессежийг тодорхой нэг хостоос ирсэн мэт харуулахыг хүсвэл ашиглахад тохиромжтой.
• Encoding (optional) — Үүсгэсэн мессежийн тэмдэгтийн кодчилолыг тохируулна. Анхдагч утга нь UTF-8 бөгөөд кодчилолын тусгай туршилт хийхээс бусад үед үүнийг ашиглана.

Ашиглалтын тэмдэглэл

• Гүйцэтгэлийн туршилт — Sleep time болон Maximum random deviation-ийг тохируулж, мессеж хүлээн авах өөр өөр хурд, огцом ачааллын хэв маягийг дуурайлгана.
• Stream-ийн баталгаажуулалт — Үүсгэсэн мессежүүдээр Security Data Lake-ийн stream дүрэм, extractor, pipeline боловсруулалтын логикийг шалгаж болно.
• Тусгаарлалт — Алдаа засах үед ойлгомжтой байлгахын тулд өвөрмөц Source name тохируулбал хайлтын интерфейс дээр эдгээр мессежийг хялбар шүүнэ.
• Цэвэрлэгээ — Энэ input нь чухал бус өгөгдөл үүсгэдэг тул туршилтын дараа зогсоох эсвэл устгахаа март­ахгүй байгаарай, тэгвэл мессежийн индекс дүүрэхгүй.