收集 Cisco Email Security 記錄

支援的國家/地區：

Google SecOps SIEM

注意： 這項功能受《Google Security Operations 服務專屬條款》的《正式發布前產品條款》規範。正式發布前的功能或許只提供部分支援，而且這類功能的變更可能與其他正式發布前版本不相容。詳情請參閱《Google SecOps 技術支援服務指南》和《Google SecOps 服務專屬條款》。

本文說明如何使用 Bindplane，將 Cisco Email Security 記錄擷取至 Google Security Operations。

剖析器會從 Cisco Email Security Appliance 系統記錄、鍵/值和 JSON 格式記錄中擷取欄位。剖析器會使用 grok 和/或 kv 剖析記錄訊息，然後將這些值對應至統合式資料模型 (UDM)。此外，也會為事件來源和類型設定預設中繼資料值。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
• 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
• Cisco Email Security Appliance 網頁介面的特殊權限存取權

取得 Google SecOps 擷取驗證檔案

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

注意： 這個 JSON 檔案包含用於向 Google SecOps 驗證 Bindplane 代理程式的憑證。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「設定檔」。
3. 複製並儲存「機構詳細資料」專區中的客戶 ID。

注意： 設定 Bindplane 代理程式匯出工具時，必須提供客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 等待安裝完成。

4. 執行下列指令來驗證安裝：

   sc query observiq-otel-collector
   

服務應顯示為「RUNNING」(執行中)。

Linux 安裝

1. 開啟具有根層級或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 等待安裝完成。

4. 執行下列指令來驗證安裝：

   sudo systemctl status observiq-otel-collector
   

服務應顯示為啟用 (執行中)。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

• Linux：

  sudo nano /etc/bindplane-agent/config.yaml
  

• Windows：

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

編輯設定檔

• 將 config.yaml 的所有內容替換為下列設定：

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/chronicle_w_labels:
          compression: gzip
          creds_file_path: '/path/to/ingestion-authentication-file.json'
          customer_id: 'YOUR_CUSTOMER_ID'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: 'CISCO_EMAIL_SECURITY'
          raw_log_field: body
          ingestion_labels:
  
  service:
      pipelines:
          logs/source0__chronicle_w_labels-0:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/chronicle_w_labels
  

設定參數

• 替換下列預留位置：

  • 接收器設定：

    • tcplog：使用 udplog 進行 UDP 系統記錄，或使用 tcplog 進行 TCP 系統記錄
    • 0.0.0.0：要接聽的 IP 位址 (0.0.0.0 可接聽所有介面)
    • 514：要接聽的通訊埠號碼 (標準系統記錄通訊埠)

  • 匯出工具設定：

    • creds_file_path：擷取驗證檔案的完整路徑：
      • Linux：/etc/bindplane-agent/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID：從「取得客戶 ID」一節取得的客戶 ID
    • endpoint：區域端點網址：
      • 美國：malachiteingestion-pa.googleapis.com
      • 歐洲：europe-malachiteingestion-pa.googleapis.com
      • 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
      • 如需完整清單，請參閱「區域端點」
    • log_type：記錄類型，與 Chronicle 中顯示的完全相同 (CISCO_EMAIL_SECURITY)

儲存設定檔

• 編輯完成後，請儲存檔案：
  • Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
  • Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

• 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

  sudo systemctl restart observiq-otel-collector
  

  1. 確認服務正在執行：

       sudo systemctl status observiq-otel-collector
     

  2. 檢查記錄中是否有錯誤：

       sudo journalctl -u observiq-otel-collector -f
     

• 如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列任一做法：

  • 以管理員身分開啟命令提示字元或 PowerShell：

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • 服務控制台：

    1. 按下 Win+R 鍵，輸入 services.msc，然後按下 Enter 鍵。
    2. 找出 observIQ OpenTelemetry Collector。

    3. 按一下滑鼠右鍵，然後選取「重新啟動」。

    4. 確認服務正在執行：

       sc query observiq-otel-collector
       

    5. 檢查記錄中是否有錯誤：

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

在 Cisco Email Security Appliance 上設定 Syslog 轉送功能

1. 登入 Cisco Email Security Appliance 網頁介面。
2. 依序前往「系統管理」>「記錄訂閱」。
3. 按一下「新增記錄訂閱項目」。
4. 請提供下列設定詳細資料：
   • 記錄類型：選取要轉寄的記錄類型 (例如「合併事件記錄」、「郵件記錄」、「簡訊記錄」)。
   • 名稱：輸入描述性名稱 (例如 Google-SecOps-Syslog)。
   • 擷取方法：選取「Syslog Push」。
   • 主機名稱：輸入 Bindplane 代理程式主機的 IP 位址。
   • 「通訊協定」：選取「TCP」。
   • 「Port」(通訊埠)：輸入 514。
   • 設施：選取 LOG_MAIL (或偏好的設施)。
5. 按一下「提交」。
6. 如要轉送其他記錄類型，請重複步驟 3 到 5。建議的記錄類型：
   • 整合事件記錄
   • 文字郵件記錄
   • 防垃圾郵件記錄
   • 防毒記錄
   • AMP 引擎記錄
   • 內容篩選記錄
7. 按一下「Commit Changes」套用設定。
8. 檢查 Bindplane 代理程式記錄，確認系統記錄訊息是否已傳送。

UDM 對應表

記錄欄位	UDM 對應	邏輯
acl_decision_tag	read_only_udm.security_result.detection_fields.value	如果不是空白、"-" 或「NONE」，則直接對應。鍵為「ACL Decision Tag」。
access_or_decryption_policy_group	read_only_udm.security_result.detection_fields.value	如果不是空白、"-" 或「NONE」，則直接對應。索引鍵為「AccessOrDecryptionPolicyGroup」。
act	read_only_udm.security_result.action_details	直接對應。
authenticated_user	read_only_udm.principal.user.userid	如果不是空白、"-" 或「NONE」，則直接對應。
cache_hierarchy_retrieval	read_only_udm.security_result.detection_fields.value	如果不是空白、"-" 或「NONE」，則直接對應。索引鍵為「Cache Hierarchy Retrieval」。
密碼	read_only_udm.network.tls.cipher	直接對應。
國家/地區	read_only_udm.principal.location.country_or_region	直接對應。
data_security_policy_group	read_only_udm.security_result.detection_fields.value	如果不是空白、"-" 或「NONE」，則直接對應。鍵為「DataSecurityPolicyGroup」。
說明	read_only_udm.metadata.description	直接對應於系統記錄訊息。如果是 CEF 訊息，則會成為整體產品說明。各種 grok 模式會根據 product_event 擷取特定說明。部分說明會經過 gsub 修改，移除開頭/結尾的空格和半形冒號。
deviceDirection	read_only_udm.network.direction	如果為「0」，則對應至「INBOUND」。如果為「1」，則對應至「OUTBOUND」。用來判斷要直接對應哪些 TLS 密碼和通訊協定，以及要對應哪些標籤。
deviceExternalId	read_only_udm.principal.asset.asset_id	對應為「裝置 ID：」。
網域	read_only_udm.target.administrative_domain	直接從 JSON 記錄對應。
domain_age	read_only_udm.security_result.about.labels.value	直接對應。金鑰為「YoungestDomainAge」。
duser	read_only_udm.target.user.email_addresses、read_only_udm.network.email.to	如果包含「;」，請分割成多個電子郵件地址，並將每個地址對應至兩個 UDM 欄位。否則，如果電子郵件地址有效，請直接對應至這兩個 UDM 欄位。如果 network_to 為空，也會用來填入該值。
dvc	read_only_udm.target.ip	直接對應。
entries.collection_time.nanos、entries.collection_time.seconds	read_only_udm.metadata.event_timestamp.nanos、read_only_udm.metadata.event_timestamp.seconds	用於建構事件時間戳記。
env-from	read_only_udm.additional.fields.value.string_value	直接對應。金鑰為「Env-From」。
ESAAttachmentDetails	read_only_udm.security_result.about.file.full_path、read_only_udm.security_result.about.file.sha256	系統會剖析檔案，擷取檔案名稱和 SHA256 雜湊值。您可以擷取多個檔案和雜湊值。
ESADCID	read_only_udm.security_result.about.labels.value	直接對應。金鑰為「ESADCID」。
ESAFriendlyFrom	read_only_udm.principal.user.user_display_name、read_only_udm.network.email.from	系統會剖析這類資訊，擷取顯示名稱和電子郵件地址。
ESAHeloDomain	read_only_udm.intermediary.administrative_domain	直接對應。
ESAHeloIP	read_only_udm.intermediary.ip	直接對應。
ESAICID	read_only_udm.security_result.about.labels.value	直接對應。金鑰為「ESAICID」。
ESAMailFlowPolicy	read_only_udm.security_result.rule_name	直接對應。
ESAMID	read_only_udm.security_result.about.labels.value	直接對應。金鑰為「ESAMID」。
ESAReplyTo	read_only_udm.network.email.reply_to	如果電子郵件地址有效，系統會直接對應。也用於填入 network_to。
ESASDRDomainAge	read_only_udm.security_result.about.labels.value	直接對應。金鑰為「ESASDRDomainAge」。
ESASenderGroup	read_only_udm.principal.group.group_display_name	直接對應。
ESAStatus	read_only_udm.security_result.about.labels.value	直接對應。金鑰為「ESAStatus」。
ESATLSInCipher	read_only_udm.network.tls.cipher 或 read_only_udm.security_result.about.labels.value	如果 deviceDirection 為「0」，則直接對應至密文。否則會對應為索引鍵為「ESATLSInCipher」的標籤。
ESATLSInProtocol	read_only_udm.network.tls.version 或 read_only_udm.security_result.about.labels.value	如果 deviceDirection 為「0」，系統會直接擷取並對應 TLS 版本。否則，會對應為鍵為「ESATLSInProtocol」的標籤。
ESATLSOutCipher	read_only_udm.network.tls.cipher 或 read_only_udm.security_result.about.labels.value	如果 deviceDirection 為「1」，則直接對應至密碼。否則會對應為索引鍵為「ESATLSOutCipher」的標籤。
ESATLSOutProtocol	read_only_udm.network.tls.version 或 read_only_udm.security_result.about.labels.value	如果 deviceDirection 為「1」，系統會直接擷取並對應 TLS 版本。否則，會對應為鍵為「ESATLSOutProtocol」的標籤。
ESAURLDetails	read_only_udm.target.url	剖析以擷取網址。由於欄位不會重複，因此只會對應第一個網址。
external_dlp_policy_group	read_only_udm.security_result.detection_fields.value	如果不是空白、"-" 或「NONE」，則直接對應。索引鍵為「ExternalDlpPolicyGroup」。
ExternalMsgID	read_only_udm.security_result.about.labels.value	移除單引號和角括號後直接對應。金鑰為「ExternalMsgID」。
來自	read_only_udm.network.email.from	如果電子郵件地址有效，系統會直接對應。也用於填入 network_from。
host.hostname	read_only_udm.principal.hostname 或 read_only_udm.intermediary.hostname	如果主機欄位無效，則會對應至主體主機名稱。也會對應至中介主機名稱。
host.ip	read_only_udm.principal.ip 或 read_only_udm.intermediary.ip	如果 JSON 記錄中未設定 IP 欄位，則會對應至主體 IP。也會對應至中介 IP。
主機名稱	read_only_udm.target.hostname	直接對應。
http_method	read_only_udm.network.http.method	直接對應。
http_response_code	read_only_udm.network.http.response_code	直接對應並轉換為整數。
identity_policy_group	read_only_udm.security_result.detection_fields.value	如果不是空白、"-" 或「NONE」，則直接對應。金鑰為「IdentityPolicyGroup」。
ip	read_only_udm.principal.ip	直接對應。如果存在，則會由 source_ip 覆寫。
kv_msg	多項政策	使用 kv 篩選器剖析。前置處理包括將鍵之前的空格替換為「#」，以及交換 csLabel 值。
log_type	read_only_udm.metadata.log_type	硬式編碼為「CISCO_EMAIL_SECURITY」。
loglevel	read_only_udm.security_result.severity、read_only_udm.security_result.action	用於判斷嚴重程度和採取行動。「Info」、「Debug」和「Trace」會對應至「INFORMATIONAL」和「ALLOW」。「Warning」會對應至「MEDIUM」和「ALLOW」。「High」會對應至「HIGH」和「BLOCK」。「Critical」和「Alert」會對應至「CRITICAL」、「BLOCK」。
mail_id	read_only_udm.network.email.mail_id	直接從 JSON 記錄對應。
mailto	read_only_udm.target.user.email_addresses、read_only_udm.network.email.to	如果電子郵件地址有效，則直接對應至兩個 UDM 欄位。
MailPolicy	read_only_udm.security_result.about.labels.value	直接對應。金鑰為「MailPolicy」。
訊息	多項政策	盡可能剖析為 JSON。否則會當做系統記錄訊息處理。
message_id	read_only_udm.network.email.mail_id	直接對應。也會用於填入 network_data。
msg	read_only_udm.network.email.subject	在 UTF-8 解碼並移除斷行符號、換行符號和額外引號後，直接對應。也會用於填入 network_data。
msg1	多項政策	使用 kv 篩選器剖析。用於擷取主機名稱、helo、env-from 和 reply-to。
outbound_malware_scanning_policy_group	read_only_udm.security_result.detection_fields.value	如果不是空白、"-" 或「NONE」，則直接對應。鍵為「DataSecurityPolicyGroup」。
通訊埠	read_only_udm.target.port	直接對應並轉換為整數。
principalMail	read_only_udm.principal.user.email_addresses	直接對應。
principalUrl	read_only_udm.principal.url	直接對應。
product_event	read_only_udm.metadata.product_event_type	直接對應。用來判斷要套用哪些 grok 模式。移除開頭的「%」字元。「amp」會替換為「SIEM_AMPenginelogs」。
product_version	read_only_udm.metadata.product_version	直接對應。
通訊協定	read_only_udm.network.tls.version	直接對應。
received_bytes	read_only_udm.network.received_bytes	直接對應並轉換為不帶正負號的整數。
回覆	read_only_udm.additional.fields.value.string_value	直接對應。索引鍵為「Reply-To」。
信譽	read_only_udm.security_result.confidence_details	直接對應。
request_method_uri	read_only_udm.target.url	直接對應。
result_code	read_only_udm.security_result.detection_fields.value	直接對應。索引鍵為「Result Code」。
routing_policy_group	read_only_udm.security_result.detection_fields.value	如果不是空白、"-" 或「NONE」，則直接對應。金鑰為「RoutingPolicyGroup」。
規則	read_only_udm.security_result.detection_fields.value	直接對應。鍵為「相符條件」。
SDRThreatCategory	read_only_udm.security_result.threat_name	如果不是空白或「不適用」，則直接對應。
SenderCountry	read_only_udm.principal.location.country_or_region	直接對應。
senderGroup	read_only_udm.principal.group.group_display_name	直接對應。
security_description	read_only_udm.security_result.description	直接對應。
security_email	read_only_udm.security_result.about.email 或 read_only_udm.principal.hostname	如果電子郵件地址有效，則會對應至電子郵件。否則，在以 grok 擷取後，會對應至主機名稱。
來源	read_only_udm.network.ip_protocol	如果包含「tcp」，則對應至「TCP」。
sourceAddress	read_only_udm.principal.ip	直接對應。
sourceHostName	read_only_udm.principal.administrative_domain	如果不是「unknown」，則直接對應。
source_ip	read_only_udm.principal.ip	直接對應。如有 ip，則會覆寫。
主旨	read_only_udm.network.email.subject	移除結尾句號後直接對應。也會用於填入 network_data。
suser	read_only_udm.principal.user.email_addresses、read_only_udm.network.email.bounce_address	如果電子郵件地址有效，則直接對應至兩個 UDM 欄位。
target_ip	read_only_udm.target.ip	直接對應。
至	read_only_udm.network.email.to	如果電子郵件地址有效，系統會直接對應。也用於填入 network_to。
total_bytes	read_only_udm.network.sent_bytes	直接對應並轉換為不帶正負號的整數。
trackerHeader	read_only_udm.additional.fields.value.string_value	直接對應。金鑰為「追蹤器標頭」。
ts、ts1、year	read_only_udm.metadata.event_timestamp.seconds	用於建構事件時間戳記。如果存在 ts1，系統會合併 ts1 和 year。系統支援各種格式，包括有年份和沒有年份的格式。如果沒有年份，系統會使用當年度。硬式編碼為「Cisco」。硬式編碼為「Cisco Email Security」。預設值為「ALLOW」。根據記錄層級或說明設為「BLOCK」。如果存在 application_protocol，預設值為「INBOUND」。根據 CEF 訊息的 deviceDirection 設定。系統會根據多個欄位 (包括 network_from、network_to、target_ip、ip、description、event_type、principal_host、Hostname、user_id 和 sourceAddress) 判斷。預設值為「GENERIC_EVENT」。如果 application_protocol 為「SMTP」或「smtp」，或如果 target_ip 和 ip 存在，則設為「SMTP」。如果 sshd 記錄中含有 login_status 和 user_id，請設為「AUTHTYPE_UNSPECIFIED」。如果記錄層級為「Critical」或「Alert」，請設為 true。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。