Cisco Secure Email- und Web-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Cisco Secure Email and Web-Logs (früher IronPort) mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Cisco Secure Email and Web ist eine Sicherheitsgateway-Lösung, die Unternehmen vor E‑Mail-basierten Bedrohungen wie Spam, Phishing, Malware und Datenverlust schützt. Es bietet erweiterten Schutz vor Bedrohungen, Inhaltsfilterung, Verschlüsselung und URL-Schutz für eingehenden und ausgehenden E‑Mail- und Webtraffic. Das Gateway führt Cisco AsyncOS aus und unterstützt die zentrale Protokollierung mit mehreren Abrufmethoden, einschließlich Syslog-Push.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf die Cisco Secure Email and Web-Verwaltungskonsole (Administratorrolle)
• Netzwerkverbindung zwischen der Cisco Secure Email and Web-Appliance und dem Bindplane-Agent-Host über den konfigurierten Syslog-Port

Authentifizierungsdatei für die Aufnahme für Google SecOps abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.

4. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

   Hinweis :Diese JSON-Datei enthält Anmeldedaten für die Authentifizierung des Bindplane-Agents bei Google SecOps.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profile auf.

3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

   Hinweis :Die Kunden-ID ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Fenstereinbau

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

   Der Dienst sollte als RUNNING (Wird ausgeführt) angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

   Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agent.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

• Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/cisco_ironport:
          compression: gzip
          creds_file_path: '/path/to/ingestion-authentication-file.json'
          customer_id: 'YOUR_CUSTOMER_ID'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: 'CISCO_IRONPORT'
          raw_log_field: body
          ingestion_labels:
  
  service:
      pipelines:
          logs/cisco_ironport_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/cisco_ironport
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration:

  • tcplog: Verwenden Sie tcplog für TCP-Syslog (empfohlen für Cisco Secure Email and Web) oder udplog für UDP-Syslog.
  • 0.0.0.0: IP-Adresse, an der gelauscht werden soll (0.0.0.0, um an allen Schnittstellen zu lauschen)
  • 514: Portnummer, die überwacht werden soll (Standard-Syslog-Port)

• Exporter-Konfiguration:

  • creds_file_path: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • YOUR_CUSTOMER_ID: Kunden-ID aus dem Abschnitt „Kunden-ID abrufen“
  • endpoint: Regionale Endpunkt-URL:
    • USA: malachiteingestion-pa.googleapis.com
    • Europa: europe-malachiteingestion-pa.googleapis.com
    • Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Eine vollständige Liste finden Sie unter Regionale Endpunkte.
  • log_type: Logtyp genau wie in Chronicle (CISCO_IRONPORT)

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

  sudo systemctl restart observiq-otel-collector
  

  1. Prüfen Sie, ob der Dienst ausgeführt wird:

     sudo systemctl status observiq-otel-collector
     

  2. Logs auf Fehler prüfen:

     sudo journalctl -u observiq-otel-collector -f
     

• Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agent unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Services-Konsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.
    3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

       sc query observiq-otel-collector
       

    5. Logs auf Fehler prüfen:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Syslog-Weiterleitung für Cisco Secure Email and Web konfigurieren

1. Melden Sie sich in der Cisco Secure Email and Web-Verwaltungskonsole an.
2. Rufen Sie Systemadministration > Log-Abos auf.
3. Klicken Sie auf Add Log Subscription (Log-Abo hinzufügen).
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Log Type (Protokolltyp): Wählen Sie den weiterzuleitenden Protokolltyp aus, z. B. Text Mail Logs (Text-E-Mail-Protokolle).
   • Log Name (Logname): Geben Sie einen aussagekräftigen Namen ein, z. B. secops-mail-logs.
   • Log-Ebene: Wählen Sie Informationen aus.
   • Abrufmethode: Wählen Sie Syslog Push aus.
   • Hostname: Geben Sie die IP-Adresse oder den Hostnamen des Bindplane-Agent-Hosts ein.
   • Port: Geben Sie 514 ein (oder den im Bindplane-Agent konfigurierten Port).
   • Protokoll: Wählen Sie TCP aus. Hinweis: Wählen Sie dasselbe Protokoll aus, das im Bindplane-Agent-Receiver konfiguriert ist (tcplog für TCP, udplog für UDP).
   • Einrichtung: Wählen Sie LOG_MAIL für E-Mail-bezogene Logs oder LOG_LOCAL0 bis LOG_LOCAL7 für andere Logtypen aus.
5. Klicken Sie auf Senden.
6. Wiederholen Sie die Schritte 3 bis 5 für jeden Protokolltyp, den Sie weiterleiten möchten. Folgende Logtypen sind verfügbar:
   • Text-E‑Mail-Protokolle
   • Systemprotokolle
   • Antispam-Logs
   • Antiviren-Logs
   • AMP Engine-Logs
   • Protokolle des Inhaltsfilters
   • Protokolle zur Nachrichtenverfolgung
   • LDAP-Debugging-Logs
   • Logs für Zulassungs-/Sperrlisten
   • Berichtslogs
   • Updater-Protokolle Hinweis: Die Abrufmethode „Syslog Push“ wird für Authentifizierungs- und Bounce-Protokolle nicht unterstützt.
7. Klicken Sie auf Commit Changes (Änderungen übernehmen), um die Konfiguration zu übernehmen.
8. Prüfen Sie die Bindplane-Agent-Logs, um zu sehen, ob Logs gesendet werden.

Weitere Informationen finden Sie im Cisco Secure Email Gateway-Nutzerhandbuch.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
about	about	Zusammengeführt
about1	about	Zusammengeführt
deviceNtDomain	about.administrative_domain	Umbenannt/zugeordnet
deviceExternalId	about.asset.asset_id	Direkt zugeordnet
device_product	about.asset.asset_id	Direkt zugeordnet
device_vendor	about.asset.asset_id	Direkt zugeordnet
fileHash	about.file.full_path	Direkt zugeordnet
filePath	about.file.full_path	Umbenannt/zugeordnet
file_name	about.file.full_path	Direkt zugeordnet
AMP.fileHash	about.file.sha256	Direkt zugeordnet
_hash	about.file.sha256	Umbenannt/zugeordnet
fileHash	about.file.sha256	Umbenannt/zugeordnet
fsize	about.file.size	Umbenannt/zugeordnet
dvchost	about.hostname	Umbenannt/zugeordnet
ips	about.ip	Zusammengeführt
dvcmac	about.mac	Zusammengeführt
mac_address	about.mac	Zusammengeführt
deviceTranslatedAddress	about.nat_ip	Zusammengeführt
Emne	about.process.command_line	Direkt zugeordnet
Path	about.process.command_line	Direkt zugeordnet
Subject	about.process.command_line	Direkt zugeordnet
deviceProcessName	about.process.command_line	Umbenannt/zugeordnet
dvcpid	about.process.pid	Umbenannt/zugeordnet
permissions	about.resource.attribute.permissions	Zusammengeführt
ESAURLDetails	about.url	Direkt zugeordnet
_field	additional.fields	Zusammengeführt
additional_cfp1	additional.fields	Zusammengeführt
additional_cfp2	additional.fields	Zusammengeführt
additional_cfp3	additional.fields	Zusammengeführt
additional_cfp4	additional.fields	Zusammengeführt
additional_cn1	additional.fields	Zusammengeführt
additional_cn2	additional.fields	Zusammengeführt
additional_cn3	additional.fields	Zusammengeführt
additional_cs1	additional.fields	Zusammengeführt
additional_cs2	additional.fields	Zusammengeführt
additional_cs3	additional.fields	Zusammengeführt
additional_cs4	additional.fields	Zusammengeführt
additional_cs5	additional.fields	Zusammengeführt
additional_cs6	additional.fields	Zusammengeführt
additional_cs7	additional.fields	Zusammengeführt
additional_devicePayloadId	additional.fields	Zusammengeführt
additional_eventId	additional.fields	Zusammengeführt
additional_flexString1	additional.fields	Zusammengeführt
additional_fname	additional.fields	Zusammengeführt
cs5_label	additional.fields	Zusammengeführt
cs_uri_label	additional.fields	Zusammengeführt
internal_id_label	additional.fields	Zusammengeführt
s_hierarchy_label	additional.fields	Zusammengeführt
sc_bytes_label	additional.fields	Zusammengeführt
intermediary	intermediary	Zusammengeführt
ESAHeloDomain	intermediary.administrative_domain	Direkt zugeordnet
syslog_program	intermediary.application	Direkt zugeordnet
hostname	intermediary.asset.hostname	Direkt zugeordnet
column3	intermediary.hostname	Direkt zugeordnet
hostname	intermediary.hostname	Direkt zugeordnet
s_computerName	intermediary.hostname	Direkt zugeordnet
intermediary_ip	intermediary.ip	Zusammengeführt
msg	metadata.description	Umbenannt/zugeordnet
msg2	metadata.description	Direkt zugeordnet
device_event_class_id	metadata.product_event_type	Direkt zugeordnet
event_name	metadata.product_event_type	Direkt zugeordnet
product_event	metadata.product_event_type	Direkt zugeordnet
externalId	metadata.product_log_id	Direkt zugeordnet
device_product	metadata.product_name	Direkt zugeordnet
device_product_name	metadata.product_name	Direkt zugeordnet
device_version	metadata.product_version	Direkt zugeordnet
device_vendor	metadata.vendor_name	Umbenannt/zugeordnet
network	network	Umbenannt/zugeordnet
app_protocol_output	network.application_protocol	Direkt zugeordnet
from	network.email.from	Direkt zugeordnet
mailfrom.sender	network.email.from	Direkt zugeordnet
message_id	network.email.mail_id	Direkt zugeordnet
subject	network.email.subject	Zusammengeführt
to	network.email.to	Zusammengeführt
cs_method	network.http.method	Direkt zugeordnet
http_method	network.http.method	Direkt zugeordnet
requestMethod	network.http.method	Umbenannt/zugeordnet
cs_user_agent	network.http.parsed_user_agent	Umbenannt/zugeordnet
http_response_code	network.http.response_code	Direkt zugeordnet
response_code	network.http.response_code	Direkt zugeordnet
cs_user_agent	network.http.user_agent	Direkt zugeordnet
requestClientApplication	network.http.user_agent	Umbenannt/zugeordnet
useragent	network.http.user_agent	Direkt zugeordnet
ip_protocol_out	network.ip_protocol	Direkt zugeordnet
in	network.received_bytes	Umbenannt/zugeordnet
received_bytes	network.received_bytes	Direkt zugeordnet
out	network.sent_bytes	Umbenannt/zugeordnet
total_bytes	network.sent_bytes	Umbenannt/zugeordnet
ESATLSInCipher	network.tls.cipher	Direkt zugeordnet
sntdom	principal.administrative_domain	Umbenannt/zugeordnet
sourceServiceName	principal.application	Umbenannt/zugeordnet
principal_host	principal.asset.hostname	Direkt zugeordnet
c_ip	principal.asset.ip	Zusammengeführt
cs_x_forwarded_for	principal.asset.ip	Zusammengeführt
source_ip	principal.asset.ip	Zusammengeführt
src_ip	principal.asset.ip	Zusammengeführt
Group_name	principal.group.group_display_name	Direkt zugeordnet
Gruppenavn	principal.group.group_display_name	Direkt zugeordnet
Device_name	principal.hostname	Direkt zugeordnet
Enhetsnavn	principal.hostname	Direkt zugeordnet
principal_host	principal.hostname	Direkt zugeordnet
shost	principal.hostname	Umbenannt/zugeordnet
c_ip	principal.ip	Zusammengeführt
cs_x_forwarded_for	principal.ip	Zusammengeführt
principal_ip	principal.ip	Zusammengeführt
shost	principal.ip	Zusammengeführt
source_ip	principal.ip	Zusammengeführt
src_ip	principal.ip	Zusammengeführt
mac	principal.mac	Zusammengeführt
sourceTranslatedAddress	principal.nat_ip	Zusammengeführt
sourceTranslatedPort	principal.nat_port	Umbenannt/zugeordnet
c_port	principal.port	Direkt zugeordnet
spt	principal.port	Umbenannt/zugeordnet
src_port	principal.port	Direkt zugeordnet
sproc	principal.process.command_line	Umbenannt/zugeordnet
processName	principal.process.file.full_path	Direkt zugeordnet
spid	principal.process.pid	Umbenannt/zugeordnet
principalUrl	principal.url	Direkt zugeordnet
principal_role	principal.user.attribute.roles	Zusammengeführt
email	principal.user.email_addresses	Zusammengeführt
helo.sender	principal.user.email_addresses	Zusammengeführt
suser	principal.user.user_display_name	Direkt zugeordnet
authenticated_user	principal.user.userid	Direkt zugeordnet
cs_username	principal.user.userid	Direkt zugeordnet
suid	principal.user.userid	Umbenannt/zugeordnet
sec_result	security_result	Zusammengeführt
security_result	security_result	Zusammengeführt
_action	security_result.action	Zusammengeführt
tempaction	security_result.action	Zusammengeführt
Action_Taken	security_result.action_details	Direkt zugeordnet
act	security_result.action_details	Direkt zugeordnet
cat	security_result.category_details	Zusammengeführt
Scan_Type	security_result.description	Direkt zugeordnet
Type	security_result.description	Direkt zugeordnet
msg_data_2	security_result.description	Direkt zugeordnet
field1	security_result.detection_fields	Zusammengeführt
infection_channel_label	security_result.detection_fields	Zusammengeführt
operasjon_label	security_result.detection_fields	Zusammengeführt
operation_label	security_result.detection_fields	Zusammengeführt
permission_label	security_result.detection_fields	Zusammengeführt
spyware_Grayware_Type_label	security_result.detection_fields	Zusammengeführt
threat_probability_label	security_result.detection_fields	Zusammengeführt
tillatelse_label	security_result.detection_fields	Zusammengeführt
mwProfile	security_result.rule_name	Direkt zugeordnet
Result	security_result.summary	Direkt zugeordnet
appcategory	security_result.summary	Direkt zugeordnet
reason	security_result.summary	Umbenannt/zugeordnet
Spyware	security_result.threat_name	Direkt zugeordnet
Unknown_Threat	security_result.threat_name	Direkt zugeordnet
Virus_Malware_Name	security_result.threat_name	Direkt zugeordnet
oldFilePath	src.file.full_path	Umbenannt/zugeordnet
oldFileSize	src.file.size	Umbenannt/zugeordnet
old_permissions	src.resource.attribute.permissions	Zusammengeführt
target	target	Umbenannt/zugeordnet
dntdom	target.administrative_domain	Umbenannt/zugeordnet
destinationServiceName	target.application	Umbenannt/zugeordnet
host	target.asset.hostname	Direkt zugeordnet
dst_ip1	target.asset.ip	Zusammengeführt
ip	target.asset.ip	Zusammengeführt
target_ip	target.asset.ip	Zusammengeführt
host	target.hostname	Direkt zugeordnet
s_computerName	target.hostname	Direkt zugeordnet
s_hostname	target.hostname	Direkt zugeordnet
target_host	target.hostname	Direkt zugeordnet
temp_dhost	target.hostname	Direkt zugeordnet
IPv6_Address	target.ip	Zusammengeführt
dst_ip	target.ip	Zusammengeführt
dst_ip1	target.ip	Zusammengeführt
ip	target.ip	Zusammengeführt
target_ip	target.ip	Zusammengeführt
mac_address	target.mac	Zusammengeführt
destination_translated_address	target.nat_ip	Zusammengeführt
destinationTranslatedPort	target.nat_port	Umbenannt/zugeordnet
dpt	target.port	Umbenannt/zugeordnet
dst_port	target.port	Direkt zugeordnet
s_port	target.port	Direkt zugeordnet
dproc	target.process.command_line	Umbenannt/zugeordnet
File_name	target.process.file.full_path	Direkt zugeordnet
Infected_Resource	target.process.file.full_path	Direkt zugeordnet
Object	target.process.file.full_path	Direkt zugeordnet
Objekt	target.process.file.full_path	Direkt zugeordnet
dpid	target.process.pid	Umbenannt/zugeordnet
resource_Type_label	target.resource.attribute.labels	Zusammengeführt
request	target.url	Direkt zugeordnet
target_url	target.url	Direkt zugeordnet
url1	target.url	Direkt zugeordnet
url2	target.url	Direkt zugeordnet
target_role	target.user.attribute.roles	Zusammengeführt
CustomerName	target.user.user_display_name	Direkt zugeordnet
temp_duser	target.user.user_display_name	Direkt zugeordnet
Bruker	target.user.userid	Direkt zugeordnet
User_value	target.user.userid	Direkt zugeordnet
target_user	target.user.userid	Direkt zugeordnet
temp_duid	target.user.userid	Direkt zugeordnet
–	about	Konstante: about
–	about.ip	Konstante: ips
–	about.mac	Konstante: mac_address
–	about.nat_ip	Konstante: deviceTranslatedAddress
–	about.resource.attribute.permissions	Konstante: permissions
–	additional.fields	Konstante: additional_eventId
–	extensions.auth.type	Konstante: AUTHTYPE_UNSPECIFIED
–	intermediary	Konstante: intermediary
–	intermediary.ip	Konstante: intermediary_ip
–	metadata.event_type	Konstante: PROCESS_UNCATEGORIZED
–	metadata.product_name	Konstante: Cisco Ironport
–	metadata.vendor_name	Konstante: Cisco
–	network.application_protocol	Konstante: SMTP
–	network.direction	Konstante: INBOUND
–	network.email.subject	Konstante: subject
–	network.email.to	Konstante: to
–	network.received_bytes	Konstante: uinteger
–	principal.asset.ip	Konstante: src_ip
–	principal.ip	Konstante: principal_ip
–	principal.mac	Konstante: mac
–	principal.nat_ip	Konstante: sourceTranslatedAddress
–	principal.user.attribute.roles	Konstante: principal_role
–	principal.user.email_addresses	Konstante: email
–	security_result	Konstante: security_result
–	security_result.action	Konstante: _action
–	security_result.category_details	Konstante: cat
–	security_result.detection_fields	Konstante: field1
–	security_result.severity	Konstante: LOW
–	src.resource.attribute.permissions	Konstante: old_permissions
–	target.asset.ip	Konstante: dst_ip1
–	target.ip	Konstante: dst_ip
–	target.mac	Konstante: mac_address
–	target.nat_ip	Konstante: destination_translated_address
–	target.resource.attribute.labels	Konstante: resource_Type_label
–	target.user.attribute.roles	Konstante: target_role

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten