Raccogliere i log di Check Point SmartDefense

Versione parser: 18.0

Supportato in:

Questo documento spiega come importare i log di Check Point SmartDefense in Google Security Operations utilizzando l'agente Bindplane.

Il parser estrae i campi dai log formattati syslog di Check Point SmartDefense. Utilizza grok e/o kv per analizzare il messaggio di log e poi mappa questi valori al modello UDM (Unified Data Model). Imposta anche i valori predefiniti dei metadati per l'origine e il tipo di evento.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Un host Windows 2016 o versioni successive o Linux con systemd
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
  • Accesso privilegiato alla console o all'appliance di gestione Check Point SmartDefense

Recuperare il file di autenticazione dell'importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione.
  4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

  1. Accedi al file di configurazione:

    • Individua il file config.yaml. In genere si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'CHECKPOINT_SMARTDEFENSE'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
    • Sostituisci <CUSTOMER_ID> con l'ID cliente effettivo.
    • Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file di autenticazione nel passaggio 1.

Riavvia l'agente Bindplane per applicare le modifiche

  1. Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart observiq-otel-collector

  2. Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop observiq-otel-collector && net start observiq-otel-collector

Configurare l'inoltro di Syslog su Check Point SmartDefense

Passaggio 1: crea l'oggetto Log Exporter/SIEM in SmartConsole

  1. Accedi a Check Point SmartConsole.
  2. Vai a Oggetti > Altri tipi di oggetti > Server > Esportatore log/SIEM.
  3. Fai clic su Nuovo per creare un nuovo oggetto Log Exporter.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome oggetto: inserisci un nome descrittivo (ad esempio, Google SecOps Bindplane).
    • Esporta configurazione: seleziona Attivata.
    • Server di destinazione: inserisci l'indirizzo IP dell'agente Bindplane.
    • Porta di destinazione: inserisci 514 (o il numero di porta dell'agente Bindplane configurato).
    • Protocollo: seleziona UDP.
  5. Vai alla pagina Manipolazione dei dati.
  6. Fornisci i seguenti dettagli di configurazione:
    • Formato: seleziona Common Event Format (CEF).
    • Fuso orario: seleziona il fuso orario UTC per una coerenza universale tra i sistemi.
  7. Fai clic su Ok per salvare la configurazione.

Passaggio 2: configura il server di gestione o il server di log

  1. In SmartConsole, vai a Gateway e server.
  2. Apri l'oggetto Management Server o Dedicated Log Server/SmartEvent Server.
  3. Vai a Log > Esporta.
  4. Fai clic su + e seleziona l'oggetto Log Exporter/SIEM che hai configurato in precedenza.
  5. Fai clic su OK.

Passaggio 3: installa il criterio del database

  1. Nel menu in alto, fai clic su Installa > Installa database.
  2. Seleziona tutti gli oggetti.
  3. Fai clic su Installa.

Passaggio 4: verifica la configurazione dell'esportazione dei log

  1. Connettiti alla riga di comando sul server di gestione/server di log.
  2. Accedi alla modalità Esperto.

  3. Esegui questo comando per verificare la configurazione:

    cp_log_export show

  4. Per riavviare Log Exporter, se necessario:

    cp_log_export restart

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
message about Mappato: CEF: → about
deviceNtDomain about.administrative_domain Rinominate/mappate
deviceExternalId about.asset.asset_id Mappato direttamente
device_product about.asset.asset_id Mappato direttamente
device_vendor about.asset.asset_id Mappato direttamente
fileHash about.file.full_path Mappato direttamente
filePath about.file.full_path Rinominate/mappate
_hash about.file.sha256 Rinominate/mappate
fileHash about.file.sha256 Rinominate/mappate
fsize about.file.size Rinominate/mappate
dvchost about.hostname Rinominate/mappate
ips about.ip Unita
message about.ip Mappato: CEF: → ips
dvc_mac about.mac Mappato: slot → mac_address
dvcmac about.mac Unita
mac_address about.mac Unita
message about.mac Mappato: CEF: → mac_address, CEF: → dvcmac
deviceTranslatedAddress about.nat_ip Unita
message about.nat_ip Mappato: CEF: → deviceTranslatedAddress
Emne about.process.command_line Mappato direttamente
Path about.process.command_line Mappato direttamente
Subject about.process.command_line Mappato direttamente
deviceProcessName about.process.command_line Rinominate/mappate
dvcpid about.process.pid Rinominate/mappate
message about.resource.attribute.permissions Mappato: CEF: → permissions
permissions about.resource.attribute.permissions Unita
additional_cfp1 additional.fields Unita
additional_cfp2 additional.fields Unita
additional_cfp3 additional.fields Unita
additional_cfp4 additional.fields Unita
additional_cn1 additional.fields Unita
additional_cn2 additional.fields Unita
additional_cn3 additional.fields Unita
additional_cs1 additional.fields Unita
additional_cs2 additional.fields Unita
additional_cs3 additional.fields Unita
additional_cs4 additional.fields Unita
additional_cs5 additional.fields Unita
additional_cs6 additional.fields Unita
additional_cs7 additional.fields Unita
additional_devicePayloadId additional.fields Unita
additional_eventId additional.fields Unita
additional_flexString1 additional.fields Unita
additional_fname additional.fields Unita
cs2 additional.fields Mappato: arc_test → additional_cs2
cs5_label additional.fields Unita
description_url_label additional.fields Unita
http_host_label additional.fields Unita
log_id_field additional.fields Unita
message additional.fields Valori mappati (27 in totale, ad es. CEF: → sequencenum_label, CEF: → additional_eventId, `…
originsicname_field additional.fields Unita
reject_id_kid_field additional.fields Unita
sequencenum_label additional.fields Unita
ser_agent_kid_field additional.fields Unita
version_field additional.fields Unita
message extensions.vulns.vulnerabilities Mappato: CEF: → v
v extensions.vulns.vulnerabilities Unita
int intermediary Unita
message intermediary Mappato: CEF: → int
msg metadata.description Mappato direttamente
Generated metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss
Received metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss
lastupdatetime metadata.event_timestamp Analizzato come UNIX
rt metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ssZ
event_name metadata.event_type Mappato: "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
message metadata.event_type Mappato: CEF: → PROCESS_UNCATEGORIZED, CEF: → SCAN_UNCATEGORIZED, CEF: → `NETWORK_C…
principal_machine_id_present metadata.event_type Mappato: true → NETWORK_CONNECTION
device_event_class_id metadata.product_event_type Mappato direttamente
event_name metadata.product_event_type Mappato direttamente
externalId metadata.product_log_id Mappato direttamente
loguid metadata.product_log_id Mappato direttamente
device_product metadata.product_name Mappato direttamente
device_version metadata.product_version Mappato direttamente
device_vendor metadata.vendor_name Rinominate/mappate
app_protocol_output network.application_protocol Mappato direttamente
deviceDirection network.direction Mappato: 0 → INBOUND, 1 → OUTBOUND
message network.direction Mappato: CEF: → INBOUND, CEF: → OUTBOUND
requestMethod network.http.method Rinominate/mappate
requestClientApplication network.http.user_agent Rinominate/mappate
user_agent network.http.user_agent Mappato direttamente
ip_protocol_out network.ip_protocol Mappato direttamente
in network.received_bytes Rinominate/mappate
out network.sent_bytes Rinominate/mappate
session_id network.session_id Mappato direttamente
sntdom principal.administrative_domain Rinominate/mappate
sourceServiceName principal.application Rinominate/mappate
Group_name principal.group.group_display_name Mappato direttamente
Gruppenavn principal.group.group_display_name Mappato direttamente
Device_name principal.hostname Mappato direttamente
Enhetsnavn principal.hostname Mappato direttamente
shost principal.hostname Rinominate/mappate
ip_proxy principal.ip Unita
message principal.ip Mappato: CEF: → principal_ip, CEF: → shost, CEF: → ip_proxy
principal_ip principal.ip Unita
shost principal.ip Unita
mac principal.mac Unita
message principal.mac Mappato: CEF: → mac
message principal.nat_ip Mappato: CEF: → sourceTranslatedAddress
sourceTranslatedAddress principal.nat_ip Unita
sourceTranslatedPort principal.nat_port Rinominate/mappate
spt principal.port Rinominate/mappate
sproc principal.process.command_line Rinominate/mappate
spid principal.process.pid Rinominate/mappate
message principal.user.attribute.roles Mappato: CEF: → principal_role
principal_role principal.user.attribute.roles Unita
suser principal.user.user_display_name Mappato direttamente
suid principal.user.userid Rinominate/mappate
message security_result Mappato: CEF: → security_result
_action security_result.action Unita
act security_result.action Mappato: accept → _action, deny → _action
message security_result.action Mappato: CEF: → _action
Action_Taken security_result.action_details Mappato direttamente
act security_result.action_details Mappato direttamente
cat security_result.category_details Unita
message security_result.category_details Mappato: CEF: → cat
Scan_Type security_result.description Mappato direttamente
Type security_result.description Mappato direttamente
msg_data_2 security_result.description Mappato direttamente
fn1 security_result.detection_fields Unita
fn2 security_result.detection_fields Unita
fs2 security_result.detection_fields Unita
ifname_label security_result.detection_fields Unita
infection_channel_label security_result.detection_fields Unita
layer_name_label security_result.detection_fields Unita
layer_uuid_label security_result.detection_fields Unita
message security_result.detection_fields Valori mappati (19 in totale, ad es. CEF: → mitre_execution_label, CEF: → ifname_label, `CE…
mitre_discovery_label security_result.detection_fields Unita
mitre_execution_label security_result.detection_fields Unita
operasjon_label security_result.detection_fields Unita
operation_label security_result.detection_fields Unita
permission_label security_result.detection_fields Unita
policy_label security_result.detection_fields Unita
policy_time_label security_result.detection_fields Unita
smartdefense_profile_label security_result.detection_fields Unita
spyware_Grayware_Type_label security_result.detection_fields Unita
tags_label security_result.detection_fields Unita
threat_probability_label security_result.detection_fields Unita
tillatelse_label security_result.detection_fields Unita
rule_uid security_result.rule_id Mappato direttamente
mwProfile security_result.rule_name Mappato direttamente
rule_name security_result.rule_name Mappato direttamente
message security_result.severity Mappato: CEF: → LOW, CEF: → MEDIUM, CEF: → HIGH, CEF: → CRITICAL
severity security_result.severity Mappato: "0", "1", "2", "3", "LOW" → LOW, `"4", "5", "6", "MEDIUM", "SUBSTANTIAL", "INFO"…
Result security_result.summary Mappato direttamente
appcategory security_result.summary Mappato direttamente
reason security_result.summary Rinominate/mappate
Spyware security_result.threat_name Mappato direttamente
Unknown_Threat security_result.threat_name Mappato direttamente
Virus_Malware_Name security_result.threat_name Mappato direttamente
oldFilePath src.file.full_path Rinominate/mappate
oldFileSize src.file.size Rinominate/mappate
message src.resource.attribute.permissions Mappato: CEF: → old_permissions
old_permissions src.resource.attribute.permissions Unita
dntdom target.administrative_domain Rinominate/mappate
destinationServiceName target.application Rinominate/mappate
temp_dhost target.hostname Mappato direttamente
IPv6_Address target.ip Unita
dst_ip target.ip Unita
ipv6 target.ip Mappato: - → IPv6_Address
message target.ip Mappato: CEF: → dst_ip, CEF: → IPv6_Address
mac_address target.mac Unita
message target.mac Mappato: CEF: → mac_address
destination_translated_address target.nat_ip Unita
message target.nat_ip Mappato: CEF: → destination_translated_address
destinationTranslatedPort target.nat_port Rinominate/mappate
dpt target.port Rinominate/mappate
dproc target.process.command_line Rinominate/mappate
File_name target.process.file.full_path Mappato direttamente
Infected_Resource target.process.file.full_path Mappato direttamente
Object target.process.file.full_path Mappato direttamente
Objekt target.process.file.full_path Mappato direttamente
dpid target.process.pid Rinominate/mappate
message target.resource.attribute.labels Mappato: CEF: → resource_Type_label
resource_Type_label target.resource.attribute.labels Unita
request target.url Mappato direttamente
message target.user.attribute.roles Mappato: CEF: → target_role
target_role target.user.attribute.roles Unita
CustomerName target.user.user_display_name Mappato direttamente
temp_duser target.user.user_display_name Mappato direttamente
Bruker target.user.userid Mappato direttamente
User_value target.user.userid Mappato direttamente
temp_duid target.user.userid Mappato direttamente
N/D metadata.event_type Costante: PROCESS_UNCATEGORIZED
N/D network.direction Costante: INBOUND
N/D security_result.severity Costante: LOW
action event.idm.read_only_udm.security_result.action Mappato dal log delle modifiche
ifdir event.idm.read_only_udm.network.direction Mappato dal log delle modifiche
severity event.idm.read_only_udm.security_result.severity Mappato dal log delle modifiche
timestamp event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
vendor_name event.idm.read_only_udm.metadata.vendor_name Mappato dal log delle modifiche
src_host event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname Mappato dal log delle modifiche
smartdefense_profile event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
layer_uuid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
layer_name event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
precise_error event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
suppressed_logs event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
flags event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
originsicname event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
sequencenum event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
time event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
version event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
description_url event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
log_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
performance_impact event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
reject_id_kid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
received_bytes event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
sent_bytes event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ser_agent_kid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
packet_info event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ProductFamily event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
malware_rule_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
tags event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
policy_name event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
__policy_id_tag.product event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
db_tag event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
mgmt event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
date event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
ifname event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
policy event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
policy_time event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
protection_id event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
protection_type event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
rule event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
sub_policy_name event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
sub_policy_uid event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
action event.idm.read_only_udm.security_result.action_details Mappato dal log delle modifiche
loguid event.idm.read_only_udm.metadata.product_log_id Mappato dal log delle modifiche
attack event.idm.read_only_udm.security_result.category_details Mappato dal log delle modifiche
attack_info event.idm.read_only_udm.security_result.threat_name Mappato dal log delle modifiche
Attack Info event.idm.read_only_udm.security_result.threat_name Mappato dal log delle modifiche
dst event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
lastupdatetime event.idm.read_only_udm.security_result.last_updated_time Mappato dal log delle modifiche
protection_name event.idm.read_only_udm.security_result.description Mappato dal log delle modifiche
reason event.idm.read_only_udm.security_result.description Mappato dal log delle modifiche
src event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
proxy_src_ip event.idm.read_only_udm.principal.nat_ip Mappato dal log delle modifiche
received_bytes event.idm.read_only_udm.network.received_bytes Mappato dal log delle modifiche
resource event.idm.read_only_udm.target.url Mappato dal log delle modifiche
rule_name event.idm.read_only_udm.security_result.rule_name Mappato dal log delle modifiche
rule_uid event.idm.read_only_udm.security_result.rule_id Mappato dal log delle modifiche
reject_id event.idm.read_only_udm.security_result.rule_id Mappato dal log delle modifiche
s_port event.idm.read_only_udm.principal.port Mappato dal log delle modifiche
sport_svc event.idm.read_only_udm.principal.port Mappato dal log delle modifiche
sent_bytes event.idm.read_only_udm.network.sent_bytes Mappato dal log delle modifiche
service event.idm.read_only_udm.target.port Mappato dal log delle modifiche
svc event.idm.read_only_udm.target.port Mappato dal log delle modifiche
service_id event.idm.read_only_udm.network.application_protocol Mappato dal log delle modifiche
session_id event.idm.read_only_udm.network.session_id Mappato dal log delle modifiche
web_client_type event.idm.read_only_udm.network.http.user_agent Mappato dal log delle modifiche
web_client_type event.idm.read_only_udm.network.http.parsed_user_agent Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.