Raccogli i log del gateway di sicurezza email Barracuda

Versione parser: 4.0

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di Barracuda Email Security Gateway in Google Security Operations utilizzando Bindplane.

Barracuda Email Security Gateway è un'appliance di sicurezza email che fornisce il filtraggio in entrata per spam, virus, spoofing e attacchi di phishing. Fornisce inoltre il filtro in uscita per la prevenzione della perdita di dati e la crittografia delle email. Il gateway registra tutte le transazioni email, le azioni relative alle policy e i rilevamenti delle minacce tramite syslog.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps.
• Un host Windows 2016 o versioni successive o Linux con systemd.
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
• Accesso con privilegi alla console di gestione di Barracuda Email Security Gateway.

Recupera le credenziali Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (Opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione del service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul tuo computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) oppure aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle norme della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:

   • Individua il file config.yaml. In genere, si trova nella directory /observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
     tcplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <your_customer_id>
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'BARRACUDA_EMAIL'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

• Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.
• Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.
• Sostituisci <PROJECT_NUMBER> con il numero di progetto in IAM e amministrazione > Impostazioni.
• Sostituisci <your_customer_id> con l'ID cliente effettivo.
• Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file della chiave del account di servizio (Opzione 1) nel Passaggio 1.

Esportatore dell'API di importazione precedente

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: <your_customer_id>
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'BARRACUDA_EMAIL'
      raw_log_field: body
      ingestion_labels:
  

Nota: questo esportatore smetterà di funzionare quando l'API Ingestion verrà ritirata il 20 luglio 2027.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux:

1. Esegui questo comando:

   sudo systemctl restart observiq-otel-collector
   

2. Verifica che il servizio sia in esecuzione:

   sudo systemctl status observiq-otel-collector
   

3. Controlla i log per individuare eventuali errori:

   sudo journalctl -u observiq-otel-collector -f
   

Per riavviare l'agente Bindplane in Windows:

1. Scegli una delle seguenti opzioni:

   • Prompt dei comandi o PowerShell come amministratore:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Console dei servizi:
     1. Premi Win+R, digita services.msc e premi Invio.
     2. Individua observIQ OpenTelemetry Collector.
     3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

2. Verifica che il servizio sia in esecuzione:

   sc query observiq-otel-collector
   

3. Controlla i log per verificare la presenza di errori:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Configura l'inoltro di syslog su Barracuda Email Security Gateway

1. Accedi all'interfaccia web di Barracuda Email Security Gateway.
2. Vai a AVANZATE > Networking avanzato.
3. Nella sezione Syslog, configura i seguenti campi:
   • Server Syslog: inserisci l'indirizzo IP o il nome host dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
   • Porta Syslog: inserisci 514 (o la porta dell'agente Bindplane configurata).
   • Protocollo Syslog: seleziona TCP.

4. Fai clic su Salva modifiche.

   Nota: i dati syslog di posta includono l'indirizzo IP di connessione, l'indirizzo Da della busta, l'indirizzo A della busta e il punteggio di spam per i messaggi trasmessi. I dati vengono visualizzati nella struttura di posta al livello di priorità di debug. Se sono presenti firewall tra Barracuda Email Security Gateway e l'host dell'agente Bindplane, assicurati che la porta 514 sia aperta.

Verifica della pubblicazione di syslog

1. Dopo aver configurato l'inoltro di syslog, invia un'email di prova tramite il gateway.
2. Per verificare che il gateway invii i dati syslog, vai a AVANZATE > Risoluzione dei problemi e visualizza la sezione Syslog per monitorare l'output syslog della posta in tempo reale.

3. Sull'host dell'agente Bindplane, verifica che i log vengano ricevuti:

   sudo journalctl -u observiq-otel-collector -f
   

Per saperne di più, consulta la documentazione di syslog di Barracuda Email Security Gateway.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
dst_domain	target.hostname	Valore del campo dst_domain.
dst_domain	target.asset.hostname	Valore del campo dst_domain.
geoip	target.location.country_or_region	Valore del campo geoip.
hdr_from	network.email.from	Valore del campo hdr_from se è un indirizzo email.
hdr_to	network.email.to	Valore del campo hdr_to se si tratta di un indirizzo email, altrimenti analizzato dall'array JSON nel campo hdr_to.
host	principal.hostname	Valore del campo host.
host	principal.asset.hostname	Valore del campo host.
message_id	network.email.mail_id	Valore del campo message_id.
product_log_id	metadata.product_log_id	Valore del campo product_log_id.
queue_id	security_result.detection_fields	Valore del campo queue_id.
recipient_email	network.email.to	Valore del campo recipient_email se non è vuoto o -.
recipients.action	security_result.action	Mappato su ALLOW se il valore è "allowed", altrimenti mappato su BLOCK.
recipients.action	security_result.action_details	Valore del campo recipients.action.
recipients.delivery_detail	security_result.detection_fields	Valore del campo recipients.delivery_detail.
recipients.delivered	security_result.detection_fields	Valore del campo recipients.delivered.
recipients.email	network.email.to	Valore del campo recipients.email se è un indirizzo email.
recipients.reason	security_result.detection_fields	Valore del campo recipients.reason.
recipients.reason_extra	security_result.detection_fields	Valore del campo recipients.reason_extra.
recipients.taxonomy	security_result.detection_fields	Valore del campo recipients.taxonomy.
service	security_result.summary	Valore del campo service.
size	network.received_bytes	Il valore del campo size è stato convertito in un numero intero senza segno.
src_ip	principal.ip	Valore del campo src_ip se non è vuoto o 0.0.0.0.
src_ip	principal.asset.ip	Valore del campo src_ip se non è vuoto o 0.0.0.0.
src_ip	security_result.about.ip	Valore del campo src_ip se non è vuoto o 0.0.0.0.
subject	network.email.subject	Valore del campo subject.
target_ip	target.ip	Valore del campo target_ip.
target_ip	target.asset.ip	Valore del campo target_ip.
timestamp	metadata.event_timestamp	Timestamp analizzato dalla voce di log.
	metadata.event_type	Impostato come hardcoded su EMAIL_TRANSACTION.
	metadata.log_type	Codificato in modo permanente su BARRACUDA_EMAIL.
	metadata.vendor_name	Codificato in modo permanente su "Barracuda".
	network.application_protocol	Impostato su SMTP se il campo process contiene "smtp".
	network.direction	Impostato su INBOUND se il campo process contiene "inbound", impostato su OUTBOUND se il campo process contiene "outbound".
	security_result.action	Impostato in base a una combinazione dei campi action, action_code, service e delivered.
	security_result.category	Impostato in base a una combinazione di action, reason e altri campi.
auth_serv	event.idm.read_only_udm.intermediary.hostname	Mappato dal log delle modifiche
spf_sender_ip	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
dkim_result	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
dmarc_result	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
dkim_domain	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
header_from	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
spf_result	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
smtp_mailfrom	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
gateway	event.idm.read_only_udm.observer.hostname	Mappato dal log delle modifiche
timestamp	event.idm.read_only_udm.metadata.collected_timestamp	Mappato dal log delle modifiche
attachment.name	event.idm.read_only_udm.target.file.names	Mappato dal log delle modifiche
attachment.md5	event.idm.read_only_udm.about	Mappato dal log delle modifiche
intermediary	event.idm.read_only_udm.intermediary	Mappato dal log delle modifiche
account_id	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
domain_id	event.idm.read_only_udm.target.user.userid	Mappato dal log delle modifiche
tls	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
env_from	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
hdr_auth_results	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
recipient_count	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ptr_record	event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname	Mappato dal log delle modifiche
time	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
log_header_end	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
payload.affected_mailboxes	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
payload.attachment	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
payload.body_text	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
accountId	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
accessTokenId	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
payload.type	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
payload.incident_id	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
payload.messages_received	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
payload.matched_email_count	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
product	event.idm.read_only_udm.metadata.product_name	Mappato dal log delle modifiche
payload.sender	event.idm.read_only_udm.principal.user.email_addresses	Mappato dal log delle modifiche
payload.recipient	event.idm.read_only_udm.target.user.email_addresses	Mappato dal log delle modifiche
payload.subject	event.idm.read_only_udm.network.email.subject	Mappato dal log delle modifiche
payload.date	event.idm.read_only_udm.metadata.collected_timestamp	Mappato dal log delle modifiche
payload.category	event.idm.read_only_udm.security_result.category_details	Mappato dal log delle modifiche
payload.created_by	event.idm.read_only_udm.principal.user.email_addresses	Mappato dal log delle modifiche
payload.sender_display_name	event.idm.read_only_udm.principal.user.user_display_name	Mappato dal log delle modifiche
payload.sender_email	event.idm.read_only_udm.principal.user.email_addresses	Mappato dal log delle modifiche
payload.login_country	event.idm.read_only_udm.principal.location.country_or_region	Mappato dal log delle modifiche
payload.login_ip	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
payload.login_user_agent	event.idm.read_only_udm.network.http.user_agent	Mappato dal log delle modifiche
payload.user_display_name	event.idm.read_only_udm.principal.user.user_display_name	Mappato dal log delle modifiche
payload.user_email	event.idm.read_only_udm.principal.user.email_addresses	Mappato dal log delle modifiche
payload.body_links	event.idm.read_only_udm.security_result.about.url	Mappato dal log delle modifiche
payload.sender_name	event.idm.read_only_udm.principal.user.user_display_name	Mappato dal log delle modifiche
attachments	additional.fields	Mappato dal log delle modifiche
recipients.delivery_detail", "recipients.reason", "recipients.taxonomy", "recipients.reason_extra" and "recipient.delivered	security_result.detection_fields	Mappato dal log delle modifiche
sender_email	network.email.from	Mappato dal log delle modifiche
security_result.action	QUARANTINE	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.