Mengumpulkan log Barracuda Email Security Gateway

Versi Parser: 4.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Barracuda Email Security Gateway ke Google Security Operations menggunakan Bindplane.

Barracuda Email Security Gateway adalah perangkat keamanan email yang menyediakan pemfilteran masuk untuk serangan spam, virus, spoofing, dan phishing. Layanan ini juga menyediakan pemfilteran keluar untuk pencegahan kebocoran data dan enkripsi email. Gateway mencatat semua transaksi email, tindakan kebijakan, dan deteksi ancaman melalui syslog.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps.
• Host Windows 2016 atau yang lebih baru atau Linux dengan systemd.
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane.
• Akses istimewa ke konsol pengelolaan Barracuda Email Security Gateway.

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Service account description: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON dan klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori kolektor Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka Settings > Data Management > Collection Agents. Jika Anda menggunakan platform khusus SIEM, buka Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang telah dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan > Administrasi > Profil. Jika Anda menggunakan platform khusus SIEM, buka Settings > Profile.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Referensi Penginstalan Tambahan

Untuk opsi pemasangan tambahan, lihat panduan pemasangan ini.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan kolektor Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

1. Akses File Konfigurasi:

   • Cari file config.yaml. Biasanya, file ini berada di direktori /observiq-otel-collector/ di Linux atau di direktori penginstalan di Windows.
   • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

2. Edit file config.yaml sebagai berikut:

   receivers:
     tcplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <your_customer_id>
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'BARRACUDA_EMAIL'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

• Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
• Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan mengawali chronicle.googleapis.com dengan nilai ini.
• Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
• Ganti <your_customer_id> dengan ID Pelanggan yang sebenarnya.
• Ganti /path/to/ingestion-authentication-file.json dengan jalur file tempat file kunci akun layanan (Opsi 1) disimpan di Langkah 1.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: <your_customer_id>
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'BARRACUDA_EMAIL'
      raw_log_field: body
      ingestion_labels:
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux:

1. Jalankan perintah berikut:

   sudo systemctl restart observiq-otel-collector
   

2. Pastikan layanan sedang berjalan:

   sudo systemctl status observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   sudo journalctl -u observiq-otel-collector -f
   

Untuk memulai ulang agen Bindplane di Windows:

1. Pilih salah satu opsi berikut:

   • Command Prompt atau PowerShell sebagai administrator:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Konsol layanan:
     1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
     2. Cari observIQ OpenTelemetry Collector.
     3. Klik kanan, lalu pilih Restart.

2. Pastikan layanan sedang berjalan:

   sc query observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Mengonfigurasi penerusan syslog di Barracuda Email Security Gateway

1. Login ke antarmuka web Barracuda Email Security Gateway.
2. Buka ADVANCED > Advanced Networking.
3. Di bagian Syslog, konfigurasi kolom berikut:
   • Syslog Server: Masukkan alamat IP atau nama host dari host agen Bindplane (misalnya, 192.168.1.100).
   • Syslog Port: Masukkan 514 (atau port agen Bindplane yang Anda konfigurasi).
   • Syslog Protocol: Pilih TCP.

4. Klik Simpan Perubahan.

   Catatan: Data syslog email mencakup alamat IP yang terhubung, alamat Dari, alamat Kepada, dan skor spam untuk pesan yang dikirim. Data akan muncul di fasilitas email pada tingkat prioritas debug. Jika ada firewall antara Barracuda Email Security Gateway dan host agen Bindplane, pastikan port 514 terbuka.

Memverifikasi pengiriman syslog

1. Setelah mengonfigurasi penerusan syslog, kirim email pengujian melalui gateway.
2. Untuk mengonfirmasi bahwa gateway mengirim data syslog, buka ADVANCED > Troubleshooting dan lihat bagian Syslog untuk memantau output syslog email real-time.

3. Di host agen Bindplane, pastikan log diterima:

   sudo journalctl -u observiq-otel-collector -f
   

Untuk mengetahui informasi selengkapnya, lihat dokumentasi syslog Barracuda Email Security Gateway.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
dst_domain	target.hostname	Nilai kolom dst_domain.
dst_domain	target.asset.hostname	Nilai kolom dst_domain.
geoip	target.location.country_or_region	Nilai kolom geoip.
hdr_from	network.email.from	Nilai kolom hdr_from jika berupa alamat email.
hdr_to	network.email.to	Nilai kolom hdr_to jika berupa alamat email, jika tidak, diuraikan dari array JSON di kolom hdr_to.
host	principal.hostname	Nilai kolom host.
host	principal.asset.hostname	Nilai kolom host.
message_id	network.email.mail_id	Nilai kolom message_id.
product_log_id	metadata.product_log_id	Nilai kolom product_log_id.
queue_id	security_result.detection_fields	Nilai kolom queue_id.
recipient_email	network.email.to	Nilai kolom recipient_email jika tidak kosong atau -.
recipients.action	security_result.action	Dipetakan ke ALLOW jika nilainya adalah "allowed", jika tidak, dipetakan ke BLOCK.
recipients.action	security_result.action_details	Nilai kolom recipients.action.
recipients.delivery_detail	security_result.detection_fields	Nilai kolom recipients.delivery_detail.
recipients.delivered	security_result.detection_fields	Nilai kolom recipients.delivered.
recipients.email	network.email.to	Nilai kolom recipients.email jika berupa alamat email.
recipients.reason	security_result.detection_fields	Nilai kolom recipients.reason.
recipients.reason_extra	security_result.detection_fields	Nilai kolom recipients.reason_extra.
recipients.taxonomy	security_result.detection_fields	Nilai kolom recipients.taxonomy.
service	security_result.summary	Nilai kolom service.
size	network.received_bytes	Nilai kolom size dikonversi menjadi bilangan bulat yang tidak bertanda tangan.
src_ip	principal.ip	Nilai kolom src_ip jika tidak kosong atau 0.0.0.0.
src_ip	principal.asset.ip	Nilai kolom src_ip jika tidak kosong atau 0.0.0.0.
src_ip	security_result.about.ip	Nilai kolom src_ip jika tidak kosong atau 0.0.0.0.
subject	network.email.subject	Nilai kolom subject.
target_ip	target.ip	Nilai kolom target_ip.
target_ip	target.asset.ip	Nilai kolom target_ip.
timestamp	metadata.event_timestamp	Stempel waktu yang diuraikan dari entri log.
	metadata.event_type	Dihardcode ke EMAIL_TRANSACTION.
	metadata.log_type	Dihardcode ke BARRACUDA_EMAIL.
	metadata.vendor_name	Diprogram secara permanen ke "Barracuda".
	network.application_protocol	Tetapkan ke SMTP jika kolom process berisi "smtp".
	network.direction	Tetapkan ke INBOUND jika kolom process berisi "inbound", tetapkan ke OUTBOUND jika kolom process berisi "outbound".
	security_result.action	Ditetapkan berdasarkan kombinasi kolom action, action_code, service, dan delivered.
	security_result.category	Ditetapkan berdasarkan kombinasi action, reason, dan kolom lainnya.
auth_serv	event.idm.read_only_udm.intermediary.hostname	Dipetakan dari log perubahan
spf_sender_ip	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
dkim_result	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
dmarc_result	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
dkim_domain	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
header_from	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
spf_result	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
smtp_mailfrom	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
gateway	event.idm.read_only_udm.observer.hostname	Dipetakan dari log perubahan
timestamp	event.idm.read_only_udm.metadata.collected_timestamp	Dipetakan dari log perubahan
attachment.name	event.idm.read_only_udm.target.file.names	Dipetakan dari log perubahan
attachment.md5	event.idm.read_only_udm.about	Dipetakan dari log perubahan
intermediary	event.idm.read_only_udm.intermediary	Dipetakan dari log perubahan
account_id	event.idm.read_only_udm.principal.user.userid	Dipetakan dari log perubahan
domain_id	event.idm.read_only_udm.target.user.userid	Dipetakan dari log perubahan
tls	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
env_from	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
hdr_auth_results	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
recipient_count	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ptr_record	event.idm.read_only_udm.principal.hostname dan event.idm.read_only_udm.principal.asset.hostname	Dipetakan dari log perubahan
time	event.idm.read_only_udm.metadata.event_timestamp	Dipetakan dari log perubahan
log_header_end	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
payload.affected_mailboxes	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
payload.attachment	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
payload.body_text	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
accountId	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
accessTokenId	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
payload.type	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
payload.incident_id	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
payload.messages_received	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
payload.matched_email_count	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
product	event.idm.read_only_udm.metadata.product_name	Dipetakan dari log perubahan
payload.sender	event.idm.read_only_udm.principal.user.email_addresses	Dipetakan dari log perubahan
payload.recipient	event.idm.read_only_udm.target.user.email_addresses	Dipetakan dari log perubahan
payload.subject	event.idm.read_only_udm.network.email.subject	Dipetakan dari log perubahan
payload.date	event.idm.read_only_udm.metadata.collected_timestamp	Dipetakan dari log perubahan
payload.category	event.idm.read_only_udm.security_result.category_details	Dipetakan dari log perubahan
payload.created_by	event.idm.read_only_udm.principal.user.email_addresses	Dipetakan dari log perubahan
payload.sender_display_name	event.idm.read_only_udm.principal.user.user_display_name	Dipetakan dari log perubahan
payload.sender_email	event.idm.read_only_udm.principal.user.email_addresses	Dipetakan dari log perubahan
payload.login_country	event.idm.read_only_udm.principal.location.country_or_region	Dipetakan dari log perubahan
payload.login_ip	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
payload.login_user_agent	event.idm.read_only_udm.network.http.user_agent	Dipetakan dari log perubahan
payload.user_display_name	event.idm.read_only_udm.principal.user.user_display_name	Dipetakan dari log perubahan
payload.user_email	event.idm.read_only_udm.principal.user.email_addresses	Dipetakan dari log perubahan
payload.body_links	event.idm.read_only_udm.security_result.about.url	Dipetakan dari log perubahan
payload.sender_name	event.idm.read_only_udm.principal.user.user_display_name	Dipetakan dari log perubahan
attachments	additional.fields	Dipetakan dari log perubahan
recipients.delivery_detail", "recipients.reason", "recipients.taxonomy", "recipients.reason_extra" and "recipient.delivered	security_result.detection_fields	Dipetakan dari log perubahan
sender_email	network.email.from	Dipetakan dari log perubahan
security_result.action	QUARANTINE	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.