此页面由 Cloud Translation API 翻译。

收集 FireEye NX 日志

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将 Trellix Network Security（以前称为 FireEye NX）日志注入到 Google Security Operations。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
搭载 systemd 的 Windows 2016 或更高版本或 Linux 主机
如果通过代理运行，请确保防火墙端口已根据 Bindplane 代理要求打开
对 Trellix Network Security (NX) 管理控制台的特权访问权限

获取 Google SecOps 注入身份验证文件

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 收集代理。
下载注入身份验证文件。将文件安全地保存在将要安装 Bindplane 的系统上

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 个人资料。
复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符或 PowerShell。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安装

打开具有 root 或 sudo 权限的终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安装资源

如需了解其他安装选项，请参阅安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

访问配置文件：
- 找到 config.yaml 文件。通常，它位于 Linux 上的 /etc/bindplane-agent/ 目录中或 Windows 上的安装目录中。
- 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。
按如下方式修改 config.yaml 文件：
```
receivers:
udplog:
   # Replace the port and IP address as required
   listen_address: "0.0.0.0:514"

exporters:
chronicle/fireeye_nx:
   compression: gzip
   # Adjust the path to the credentials file you downloaded in Step 1
   creds_file_path: '/path/to/ingestion-authentication-file.json'
   # Replace with your actual customer ID from Step 2
   customer_id: <CUSTOMER_ID>
   # Replace with your regional endpoint
   endpoint: <ENDPOINT>
   log_type: 'FIREEYE_NX'
   raw_log_field: body
   ingestion_labels:

service:
pipelines:
   logs/source0__chronicle_w_labels-0:
      receivers:
      - udplog
      exporters:
      - chronicle/fireeye_nx
```
- 根据您的基础架构需要替换端口和 IP 地址。
- 将 <CUSTOMER_ID> 替换为实际的客户 ID。
- 将 <ENDPOINT> 值替换为您的区域端点：
  - 美国：malachiteingestion-pa.googleapis.com
  - 欧洲（法兰克福）：europe-west3-malachiteingestion-pa.googleapis.com
  - 欧洲（伦敦）：europe-west2-malachiteingestion-pa.googleapis.com
  - 欧洲（苏黎世）：europe-west6-malachiteingestion-pa.googleapis.com
  - 欧洲（都灵）：europe-west12-malachiteingestion-pa.googleapis.com
  - 亚洲（东京）：asia-northeast1-malachiteingestion-pa.googleapis.com
  - 中东（特拉维夫）：me-west1-malachiteingestion-pa.googleapis.com
  - 澳大利亚（悉尼）：australia-southeast1-malachiteingestion-pa.googleapis.com
- 将 /path/to/ingestion-authentication-file.json 更新为获取 Google SecOps 注入身份验证文件部分中保存身份验证文件的路径。

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请运行以下命令：
```
sudo systemctl restart bindplane-agent
```
如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

在 Trellix Network Security 上配置 Syslog 转发

使用管理员账号登录 Trellix Network Security 控制台。
依次前往设置 > 通知。
点击 rsyslog 标签页。
选中事件类型复选框以启用 rsyslog 通知。
在设置面板中，提供以下配置详细信息：
- 默认格式：选择 CEF。
在 Rsyslog 服务器列表部分中：
- 为新条目输入一个描述性名称（例如 Google SecOps BindPlane）。
- 点击添加 Rsyslog 服务器按钮。
对于新添加的服务器，请提供以下配置详细信息：
- 已启用：选中此复选框可启用服务器。
- IP 地址：输入 BindPlane 代理 IP 地址。
- 端口：输入 BindPlane 代理端口号（例如 514）。
- 协议：根据您的 BindPlane Agent 配置，选择 UDP 或 TCP。
- 事件类型：选择要转发的事件类型（或选择全部以进行全面日志记录）。
点击更新按钮以保存配置。

UDM 映射表

日志字段	UDM 映射	逻辑
alert.dst.ip	target.ip、target.asset.ip	直接映射自 `alert.dst.ip` 字段
alert.dst.mac	target.mac, target.asset.mac	直接映射自 `alert.dst.mac` 字段
alert.dst.port	target.port	直接映射自 `alert.dst.port` 字段
alert.explanation.cnc-services.cnc-service.address	target.ip、target.asset.ip	直接映射自 `alert.explanation.cnc-services.cnc-service.address` 字段
alert.explanation.cnc-services.cnc-service.port	target.port	直接映射自 `alert.explanation.cnc-services.cnc-service.port` 字段
alert.explanation.cnc-services.cnc-service.url	target.url	直接映射自 `alert.explanation.cnc-services.cnc-service.url` 字段
alert.explanation.malware-detected.malware.0.name	security_result.threat_name	如果数组中检测到多个恶意软件，则直接从 `alert.explanation.malware-detected.malware.0.name` 字段进行映射
alert.explanation.malware-detected.malware.md5sum	target.file.md5	直接映射自 `alert.explanation.malware-detected.malware.md5sum` 字段
alert.explanation.malware-detected.malware.name	security_result.threat_name	直接映射自 `alert.explanation.malware-detected.malware.name` 字段
alert.explanation.malware-detected.malware.sha1	target.file.sha1	直接映射自 `alert.explanation.malware-detected.malware.sha1` 字段
alert.explanation.malware-detected.malware.sha256	target.file.sha256	直接映射自 `alert.explanation.malware-detected.malware.sha256` 字段
alert.explanation.malware-detected.malware.url	target.url	直接映射自 `alert.explanation.malware-detected.malware.url` 字段
alert.name	read_only_udm.metadata.product_event_type	直接映射自 `alert.name` 字段
alert.occurred	read_only_udm.metadata.event_timestamp	直接映射自 `alert.occurred` 字段
alert.src.domain	principal.hostname	直接映射自 `alert.src.domain` 字段
alert.src.host	principal.hostname	直接映射自 `alert.src.host` 字段
alert.src.ip	principal.ip、principal.asset.ip	直接映射自 `alert.src.ip` 字段
alert.src.mac	principal.mac、principal.asset.mac	直接映射自 `alert.src.mac` 字段
alert.src.port	principal.port	直接映射自 `alert.src.port` 字段
alert.src.smtp-mail-from	network.email.from	直接映射自 `alert.src.smtp-mail-from` 字段
alert.smtp-message.id	network.email.mail_id	直接映射自 `alert.smtp-message.id` 字段
alert.smtp-message.subject	network.email.subject	直接映射自 `alert.smtp-message.subject` 字段
client_ip	principal.ip	直接映射自 `client_ip` 字段
client_src_port	principal.port	直接映射自 `client_src_port` 字段
压缩	additional.fields.value.string_value	直接映射自 `compression` 字段
etag	additional.fields.value.string_value	直接映射自 `etag` 字段
主机	principal.hostname	直接映射自 `host` 字段
log_id	read_only_udm.metadata.product_log_id	直接映射自 `log_id` 字段
方法	network.http.method	直接映射自 `method` 字段
persistent_session_id	network.session_id	直接映射自 `persistent_session_id` 字段
水塘	additional.fields.value.string_value	直接映射自 `pool` 字段
pool_name	additional.fields.value.string_value	直接映射自 `pool_name` 字段
request_id	additional.fields.value.string_value	直接映射自 `request_id` 字段
request_state	additional.fields.value.string_value	直接映射自 `request_state` 字段
response_code	network.http.response_code	直接映射自 `response_code` 字段
rewritten_uri_query	additional.fields.value.string_value	直接映射自 `rewritten_uri_query` 字段
server_ip	target.ip	直接映射自 `server_ip` 字段
server_name	target.hostname	直接映射自 `server_name` 字段
server_src_port	target.port	直接映射自 `server_src_port` 字段
service_engine	additional.fields.value.string_value	直接映射自 `service_engine` 字段
ssl_cipher	network.tls.cipher	直接映射自 `ssl_cipher` 字段
ssl_version	network.tls.version_protocol	直接映射自 `ssl_version` 字段
uri_path	network.http.referral_url	直接映射自 `uri_path` 字段
uri_query	additional.fields.value.string_value	直接映射自 `uri_query` 字段
user_id	principal.user.userid	直接映射自 `user_id` 字段
virtualservice	additional.fields.value.string_value	直接映射自 `virtualservice` 字段
vs_name	additional.fields.value.string_value	直接映射自 `vs_name` 字段
	read_only_udm.metadata.event_type	如果主账号和目标 IP 地址都存在，则设置为 `SCAN_UNCATEGORIZED`；如果主账号 IP 或主机名存在，则设置为 `STATUS_UPDATE`；如果主账号用户 ID 存在，则设置为 `USER_UNCATEGORIZED`；如果 `alert.src.smtp-mail-from` 和 `alert.dst.smtp-to` 都存在，则设置为 `EMAIL_TRANSACTION`；否则，设置为 `GENERIC_EVENT`。
	read_only_udm.metadata.ingested_timestamp	如果不存在 `alert.attack-time`，则设置为当前时间戳。
	read_only_udm.metadata.log_type	设置为 `FIREEYE_NX`。
	read_only_udm.metadata.vendor_name	设置为 `FireEye`。
	read_only_udm.network.application_protocol	如果消息包含“http”（不区分大小写），则设置为 `HTTP`。
	read_only_udm.security_result.action	如果 `_source.action` 为“notified”（不区分大小写），则设置为 `ALLOW`；如果 `_source.action` 为“blocked”（不区分大小写），则设置为 `BLOCK`；否则设置为 `UNKNOWN_ACTION`。
	read_only_udm.security_result.category	如果 `sec_category` 包含“DOMAIN.MATCH”（不区分大小写），则设置为 `NETWORK_SUSPICIOUS`；如果 `sec_category` 包含“INFECTION.MATCH”或“WEB.INFECTION”（不区分大小写），则设置为 `NETWORK_MALICIOUS`；如果 `sec_category` 包含“MALWARE.OBJECT”（不区分大小写），则设置为 `SOFTWARE_MALICIOUS`；如果 `sec_category` 包含“MALWARE.CALLBACK”（不区分大小写），则设置为 `NETWORK_COMMAND_AND_CONTROL`；否则设置为 `UNKNOWN_CATEGORY`。
	read_only_udm.security_result.severity	如果 `_source.severity` 或 `temp_severity` 为“majr”（不区分大小写），则设置为 `MEDIUM`；如果 `_source.severity` 或 `temp_severity` 为“minr”（不区分大小写），则设置为 `LOW`；否则不设置。
	read_only_udm.security_result.summary	设置为 `security_result.threat_name` 的值。
	is_alert	设置为 `true`。
	is_significant	设置为 `true`。