收集 Juniper SRX 系列防火墙日志

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将 Juniper SRX 系列防火墙日志注入到 Google Security Operations。

Juniper SRX 系列防火墙是高性能网络安全设备，可提供新一代防火墙 (NGFW) 功能，包括状态检测、入侵检测和防御 (IDP)、应用安全和 VPN。SRX 防火墙会针对流量、安全、系统和会话事件生成 syslog 消息，这些消息可以转发到外部 SIEM 平台，以实现集中式安全监控。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例。
• Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机。
• Bindplane 代理与 Juniper SRX 防火墙之间的网络连接。
• 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开。
• 对 Juniper SRX 防火墙的特权访问权限（通过 J-Web 或 CLI 进行的 root 或超级用户级访问）。

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载数据注入身份验证文件。将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sc query observiq-otel-collector
   

该服务应显示为 正在运行。

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sudo systemctl status observiq-otel-collector
   

该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

• Linux：

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows：

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

修改配置文件

• 将 config.yaml 的全部内容替换为以下配置：

  receivers:
  udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
  chronicle/juniper_firewall:
      compression: gzip
      creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
      customer_id: 'your-customer-id-here'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: JUNIPER_FIREWALL
      raw_log_field: body
      ingestion_labels:
      env: production
  
  service:
  pipelines:
      logs/juniper_to_chronicle:
      receivers:
          - udplog
      exporters:
          - chronicle/juniper_firewall
  

配置参数

替换以下占位符：

• 接收器配置：

  • listen_address：要监听的 IP 地址和端口。使用 0.0.0.0 可监听所有接口。端口 514 是标准 syslog 端口（在 Linux 上需要根权限）。使用 1514 进行非根部署。

• 导出器配置：

  • creds_file_path：提取身份验证文件的完整路径：
    • Linux：/etc/bindplane-agent/ingestion-auth.json
    • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id：您的 Google SecOps 客户 ID。
  • endpoint：区域端点网址：
    • 美国：malachiteingestion-pa.googleapis.com
    • 欧洲：europe-malachiteingestion-pa.googleapis.com
    • 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
    • 如需查看完整列表，请参阅区域级端点。
  • ingestion_labels：采用 YAML 格式的可选标签（例如 env: production）。

保存配置文件

• 修改后，保存文件：
  • Linux：依次按 Ctrl+O、Enter 和 Ctrl+X。
  • Windows：依次点击文件 > 保存。

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

1. 运行以下命令：

   sudo systemctl restart observiq-otel-collector
   

2. 验证服务是否正在运行：

   sudo systemctl status observiq-otel-collector
   

3. 检查日志是否存在错误：

   sudo journalctl -u observiq-otel-collector -f
   

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

1. 请从下列选项中选择一项：

   • 以管理员身份运行命令提示符或 PowerShell：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • 服务控制台：
     1. 按 Win+R，输入 services.msc，然后按 Enter 键。
     2. 找到 observIQ OpenTelemetry 收集器。
     3. 右键点击并选择重新启动。

2. 验证服务是否正在运行：

   sc query observiq-otel-collector
   

3. 检查日志是否存在错误：

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

配置 Juniper SRX syslog 转发

配置 Juniper SRX 防火墙，以将 syslog 消息转发到 Bindplane 代理。

使用 J-Web 界面

1. 登录 Juniper SRX J-Web 界面。
2. 依次前往配置 > 系统属性 > Syslog。
3. 点击主机部分下的添加，以添加新的 syslog 服务器。
4. 提供以下配置详细信息：
   • 主机名：输入 Bindplane 代理主机（例如 192.168.1.100）的 IP 地址。
   • 端口：输入 514（或在 Bindplane 代理中配置的端口）。
   • 日志前缀：日志消息的可选前缀。
   • 设备：选择要转发的设备和严重程度级别：
     • any：选择严重程度为 info 或更高级别的事件。
5. 在来源地址字段中，输入 SRX 管理界面 IP（可选，但建议使用，以便实现一致的来源识别）。
6. 点击确定进行保存。
7. 点击提交以应用配置。

使用 Junos CLI

1. 通过 SSH 或控制台连接到 Juniper SRX。

2. 进入配置模式：

   configure
   

3. 配置 syslog 主机：

   set system syslog host BINDPLANE_IP any info
   set system syslog host BINDPLANE_IP port 514
   set system syslog host BINDPLANE_IP source-address SRX_MGMT_IP
   set system syslog host BINDPLANE_IP structured-data
   

   将

   • BINDPLANE_IP：Bindplane 代理主机 IP 地址。
   • SRX_MGMT_IP：SRX 防火墙的管理 IP 地址。

4. 配置安全日志流式传输（针对流量日志和会话日志）：

   set security log mode stream
   set security log source-address SRX_MGMT_IP
   set security log stream chronicle-stream host BINDPLANE_IP
   set security log stream chronicle-stream port 514
   set security log stream chronicle-stream transport protocol udp
   set security log stream chronicle-stream format sd-syslog
   set security log stream chronicle-stream severity info
   set security log stream chronicle-stream category all
   

   将

   • BINDPLANE_IP：Bindplane 代理主机 IP 地址。
   • SRX_MGMT_IP：SRX 防火墙的管理 IP 地址。

5. 提交配置：

   commit
   

6. 验证 syslog 配置：

   show system syslog
   show security log
   

配置特定日志类别

• 如需转发特定日志类型，请配置各个功能：

  set system syslog host BINDPLANE_IP firewall any
  set system syslog host BINDPLANE_IP authorization info
  set system syslog host BINDPLANE_IP daemon info
  set system syslog host BINDPLANE_IP kernel info
  set system syslog host BINDPLANE_IP interactive-commands info
  

将 BINDPLANE_IP 替换为 Bindplane 代理主机 IP 地址。

验证 Syslog 转发

1. 在 SRX 上，运行以下命令可查看有效的 syslog 目标：

   show system syslog
   

2. 通过防火墙生成测试流量，并验证日志是否显示在 Bindplane 代理日志中。

如需了解详情，请参阅 Juniper SRX 系列文档。

UDM 映射表

日志字段	UDM 映射	逻辑
source-address	event.idm.read_only_udm.principal.ip	从 source-address 中获取的值。
source-port	event.idm.read_only_udm.principal.port	从 source-port 中获取的值并转换为整数。
destination-address	event.idm.read_only_udm.target.ip	从 destination-address 中获取的值。
destination-port	event.idm.read_only_udm.target.port	从 destination-port 中获取的值并转换为整数。
protocol-id	event.idm.read_only_udm.network.ip_protocol	从协议编号到名称的映射（6=TCP，17=UDP，1=ICMP）。
policy-name	event.idm.read_only_udm.security_result.rule_name	从 policy-name 中获取的值。
source-zone-name	event.idm.read_only_udm.additional.fields	从 source-zone-name 中获取的值，并使用键 source-zone-name 添加。
destination-zone-name	event.idm.read_only_udm.additional.fields	从 destination-zone-name 中获取的值，并使用键 destination-zone-name 添加。
service-name	event.idm.read_only_udm.target.application	从 service-name 中获取的值。
application	event.idm.read_only_udm.target.application	从 application 中获取的值（如果不存在 service-name）。
nat-source-address	event.idm.read_only_udm.principal.nat_ip	从 nat-source-address 中获取的值。
nat-source-port	event.idm.read_only_udm.principal.nat_port	从 nat-source-port 中获取的值并转换为整数。
nat-destination-address	event.idm.read_only_udm.target.nat_ip	从 nat-destination-address 中获取的值。
nat-destination-port	event.idm.read_only_udm.target.nat_port	从 nat-destination-port 中获取的值并转换为整数。
bytes-from-client	event.idm.read_only_udm.network.sent_bytes	从 bytes-from-client 中获取的值并转换为无符号整数。
bytes-from-server	event.idm.read_only_udm.network.received_bytes	从 bytes-from-server 中获取的值并转换为无符号整数。
packets-from-client	event.idm.read_only_udm.additional.fields	从 packets-from-client 中获取的值，并使用键 packets-from-client 添加。
packets-from-server	event.idm.read_only_udm.additional.fields	从 packets-from-server 中获取的值，并使用键 packets-from-server 添加。
elapsed-time	event.idm.read_only_udm.additional.fields	从 elapsed-time 中获取的值，并使用键 elapsed-time 添加。
username	event.idm.read_only_udm.principal.user.userid	从 username 中获取的值。
reason	event.idm.read_only_udm.security_result.description	从 reason 中获取的值。
action	event.idm.read_only_udm.security_result.action	如果 action 为 accept 或 permit，则设置为 ALLOW。如果 action 为 deny、drop、reject 或 close，则设置为 BLOCK。
hostname	event.idm.read_only_udm.principal.hostname	从 syslog 主机名字段中获取的值。
attack-name	event.idm.read_only_udm.security_result.threat_name	从 attack-name（IDP 事件）获取的值。
severity	event.idm.read_only_udm.security_result.severity	从严重程度字符串映射：info 映射到 INFORMATIONAL，warning 映射到 MEDIUM，error 或 major 映射到 ERROR，critical 映射到 CRITICAL。
	event.idm.read_only_udm.metadata.vendor_name	设置为 Juniper Networks。
	event.idm.read_only_udm.metadata.product_name	设置为 SRX Series Firewall。
source-zone	event.idm.read_only_udm.principal.resource.attribute.labels	从变更日志映射
destination-zone	event.idm.read_only_udm.target.resource.attribute.labels	从变更日志映射
REASON	event.idm.read_only_udm.security_result.detection_fields	从变更日志映射
PROFILE	event.idm.read_only_udm.security_result.detection_fields	从变更日志映射
host	event.idm.read_only_udm.intermediary.hostname和event.idm.read_only_udm.intermediary.asset.hostname之间	从变更日志映射
pid	event.idm.read_only_udm.intermediary.process.pid	从变更日志映射
ppid	event.idm.read_only_udm.intermediary.process.product_specific_process_id	从变更日志映射
CATEGORY	event.idm.read_only_udm.security_result.detection_fields	从变更日志映射
type	event.idm.read_only_udm.security_result.detection_fields	从变更日志映射
URL	event.idm.read_only_udm.target.url	从变更日志映射
src_value_zone	event.idm.read_only_udm.additional.fields	从变更日志映射
destinationzone	event.idm.read_only_udm.additional.fields	从变更日志映射
NESTED-APPLICATION	event.idm.read_only_udm.additional.fields	从变更日志映射
protocol_value	event.idm.read_only_udm.network.ip_protocol	从变更日志映射
SESSIONID	event.idm.read_only_udm.network.session_id	从变更日志映射
application_value	event.idm.read_only_udm.principal.application	从变更日志映射
src_address	event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间	从变更日志映射
src_mac	event.idm.read_only_udm.principal.mac和event.idm.read_only_udm.principal.asset.mac之间	从变更日志映射
nat_src_address	event.idm.read_only_udm.principal.nat_ip和event.idm.read_only_udm.principal.asset.nat_ip之间	从变更日志映射
nat_src_value_port	event.idm.read_only_udm.principal.nat_port	从变更日志映射
src_value_port	event.idm.read_only_udm.principal.port	从变更日志映射
roles_names	event.idm.read_only_udm.principal.user.attribute.roles.name	从变更日志映射
interface	event.idm.read_only_udm.security_result.detection_fields	从变更日志映射
eth_type	event.idm.read_only_udm.security_result.detection_fields	从变更日志映射
direction	event.idm.read_only_udm.security_result.detection_fields	从变更日志映射
packet_info	event.idm.read_only_udm.security_result.detection_fields	从变更日志映射
packets_info	event.idm.read_only_udm.security_result.detection_fields	从变更日志映射
src_rule_type	event.idm.read_only_udm.security_result.detection_fields	从变更日志映射
src_rule_name	event.idm.read_only_udm.security_result.detection_fields	从变更日志映射
srv_name	event.idm.read_only_udm.security_result.detection_fields	从变更日志映射
srcpolicyname	event.idm.read_only_udm.security_result.rule_name	从变更日志映射
dest_address	event.idm.read_only_udm.target.ip和event.idm.read_only_udm.target.asset.ip之间	从变更日志映射
dst_mac	event.idm.read_only_udm.target.mac和event.idm.read_only_udm.target.asset.mac之间	从变更日志映射
nat_dest_address	event.idm.read_only_udm.target.nat_ip和event.idm.read_only_udm.target.asset.nat_ip之间	从变更日志映射
nat_dest_port	event.idm.read_only_udm.target.nat_port	从变更日志映射
dest_port	event.idm.read_only_udm.target.port	从变更日志映射
target_user_name	event.idm.read_only_udm.target.user.userid	从变更日志映射
user_value	event.idm.ready_only_udm.metadata.product_event_type	从变更日志映射
RTLOG	event.idm.ready_only_udm.metadata.product_event_type	从变更日志映射
RT	event.idm.ready_only_udm.metadata.product_event_type	从变更日志映射
WEBFILTER	event.idm.ready_only_udm.metadata.product_event_type	从变更日志映射
SNMPD	event.idm.ready_only_udm.metadata.product_event_type	从变更日志映射
FLOW	event.idm.ready_only_udm.metadata.product_event_type	从变更日志映射
DH	event.idm.ready_only_udm.metadata.product_event_type	从变更日志映射
PKID	event.idm.ready_only_udm.metadata.product_event_type	从变更日志映射
BGP	event.idm.ready_only_udm.metadata.product_event_type	从变更日志映射
SNMP	event.idm.ready_only_udm.metadata.product_event_type	从变更日志映射
RPD	event.idm.ready_only_udm.metadata.product_event_type	从变更日志映射
JTASK	event.idm.ready_only_udm.metadata.product_event_type	从变更日志映射
KMD	event.idm.ready_only_udm.metadata.product_event_type	从变更日志映射
APPIDD	event.idm.ready_only_udm.metadata.product_event_type	从变更日志映射
IFINFO	event.idm.ready_only_udm.metadata.product_event_type	从变更日志映射
sec_desc	security_result.description	从变更日志映射
processid	target.process.id	从变更日志映射
TSr" and "TSi	additional.fields	从变更日志映射
fw	intermediary.ip	从变更日志映射
msg1	security_result.summary	从变更日志映射
desc	metadata.description	从变更日志映射
local_ip	principal.ip	从变更日志映射
remote_ip	target.ip	从变更日志映射
app	principal.application	从变更日志映射
pid	principal.process.pid	从变更日志映射
event_title	metadata.product_event_type	从变更日志映射
event_message	metadata.description	从变更日志映射
Local-ip	principal.ip	从变更日志映射
Gateway_Name", "vpn", "tunnel_id", "tunnel_if", "Local_IKE_ID", "Remote_IKE_ID", "AAA_username", "VR_id", "Traffic_selector", "Traffic_selector_Remote_ID", "Traffic_selector_local_ID", "SA_Type", "Reason", "threshold", "time-period", and "error-message_data	observer.resource.attribute.labels	从变更日志映射
target_ip	target.ip	从变更日志映射
principal_host	principal.hostname	从变更日志映射
user_id	target.user.userid	从变更日志映射
file_path	target.file.full_path	从变更日志映射
pid_2	target.process.pid	从变更日志映射
server_ip	target.ip	从变更日志映射
event_time	metadata.event_timestamp	从变更日志映射
ACTION	security_result.action_details	从变更日志映射
SESSION_ID	network.session_id	从变更日志映射
APPLICATION	principal.application	从变更日志映射
pingCtlOwnerIndex", "pingCtlTestName", "usp_lsys_max_num_rpd", "usp_lsys_max_num", "urlcategory_risk", "application_sub_category", "source-zone", "destination-zone", "NESTED-APPLICATION", "CATEGORY", "REASON", "PROFILE", "source_rule", "retrans_timer" and "arp_unicast_mode	additional.fields	从变更日志映射
time	metadata.event_timestamp	从变更日志映射
ident	target.application	从变更日志映射
pid	target.process.pid	从变更日志映射
internal-protocol	network.ip_protocol	从变更日志映射
state	security_result.detection_fields	从变更日志映射
internal-ip	principal.ip	从变更日志映射
reflexive-ip	target.ip	从变更日志映射
internal-port	principle.port	从变更日志映射
reflexive-port	target.port	从变更日志映射
local-address	principal.ip	从变更日志映射
remote-address	target.ip	从变更日志映射
dns-server-address	principal.ip	从变更日志映射
domain-name	principal.administrative_domain	从变更日志映射
argument1	network.direction	从变更日志映射
test-owner	additional.fields	从变更日志映射
local-initiator	additional.fields	从变更日志映射
test-name	additional.fields	从变更日志映射
SPI	additional.fields	从变更日志映射
AUX-SPI	additional.fields	从变更日志映射
Type	additional.fields	从变更日志映射
error-message	security_result.summary	从变更日志映射
rcvd	network.received_bytes	从变更日志映射
rule-name	security_result.rule_id	从变更日志映射
rulebase-name	security_result.detection_fields	从变更日志映射
export-id	security_result.detection_fields	从变更日志映射
repeat-count	security_result.detection_fields	从变更日志映射
packet-log-id	security_result.detection_fields	从变更日志映射
alert	is_alert	从变更日志映射
outbound-packets	network.sent_packets	从变更日志映射
inbound-packets	network.received_packets	从变更日志映射
outbound-bytes	network.sent_bytes	从变更日志映射
inbound-bytes	network.received_bytes	从变更日志映射
application-characteristics	security_result.summary	从变更日志映射
application-risk	security_result.severity_details	从变更日志映射
application-category	security_result.detection_fields	从变更日志映射
application-sub-category	security_result.detection_fields	从变更日志映射
dst-nat-rule-name	security_result.detection_fields	从变更日志映射
dst-nat-rule-type	security_result.detection_fields	从变更日志映射
src-nat-rule-name	security_result.detection_fields	从变更日志映射
src-nat-rule-type	security_result.detection_fields	从变更日志映射
encrypted	security_result.detection_fields	从变更日志映射
nested-application	security_result.detection_fields	从变更日志映射
packet-incoming-interface	security_result.detection_fields	从变更日志映射
session-id-32	network.session_id	从变更日志映射
packets-from-client	network.sent_packets	从变更日志映射
packets-from-server	network.received_packets	从变更日志映射
elapsed-time	network.session_duration.seconds	从变更日志映射
source-destination-address	principal.nat_ip	从变更日志映射
source-destination-port	principal.nat_port	从变更日志映射
msg_data	security_result.description	从变更日志映射
threat-severity	security_result.severity	从变更日志映射
app_name	target.application	从变更日志映射
command	target.process.command_line	从变更日志映射
action	security_result.action_details	从变更日志映射
sec_description	security_result.description	从变更日志映射
application-name	network.application_protocol	从变更日志映射
subtype	metadata.product_event_type	从变更日志映射
source-interface-name	security_result.detection_fields	从变更日志映射
destination-interface-name	security_result.detection_fields	从变更日志映射
source-zone-name	security_result.detection_fields	从变更日志映射
destination-zone-name	security_result.detection_fields	从变更日志映射
service-name	security_result.detection_fields	从变更日志映射
application-name	security_result.detection_fields	从变更日志映射

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。