FireEye NX のログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane を使用して Trellix Network Security（以前の FireEye NX）ログを Google Security Operations に取り込む方法について説明します。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows 2016 以降、または systemd を使用する Linux ホスト
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します
  • Trellix Network Security（NX）管理コンソールへの特権アクセス

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [コレクション エージェント] に移動します。
  3. Ingestion Authentication File をダウンロードします。Bindplane がインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。
  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

  1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

その他のインストール リソース

その他のインストール オプションについては、インストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

  1. 構成ファイルにアクセスします。
    • config.yaml ファイルを見つけます。通常、Linux では /etc/bindplane-agent/ ディレクトリに、Windows ではインストール ディレクトリにあります。
    • テキスト エディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

  2. config.yaml ファイルを次のように編集します。

    receivers:
udplog:
   # Replace the port and IP address as required
   listen_address: "0.0.0.0:514"

exporters:
chronicle/fireeye_nx:
   compression: gzip
   # Adjust the path to the credentials file you downloaded in Step 1
   creds_file_path: '/path/to/ingestion-authentication-file.json'
   # Replace with your actual customer ID from Step 2
   customer_id: <CUSTOMER_ID>
   # Replace with your regional endpoint
   endpoint: <ENDPOINT>
   log_type: 'FIREEYE_NX'
   raw_log_field: body
   ingestion_labels:

service:
pipelines:
   logs/source0__chronicle_w_labels-0:
      receivers:
      - udplog
      exporters:
      - chronicle/fireeye_nx
    • 自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。
    • <CUSTOMER_ID> は、実際の顧客 ID に置き換えます。
    • <ENDPOINT> の値をリージョン エンドポイントに置き換えます。
      • 米国: malachiteingestion-pa.googleapis.com
      • ヨーロッパ（フランクフルト）: europe-west3-malachiteingestion-pa.googleapis.com
      • ヨーロッパ（ロンドン）: europe-west2-malachiteingestion-pa.googleapis.com
      • ヨーロッパ（チューリッヒ）: europe-west6-malachiteingestion-pa.googleapis.com
      • ヨーロッパ（トリノ）: europe-west12-malachiteingestion-pa.googleapis.com
      • アジア（東京）: asia-northeast1-malachiteingestion-pa.googleapis.com
      • 中東（テルアビブ）: me-west1-malachiteingestion-pa.googleapis.com
      • オーストラリア（シドニー）: australia-southeast1-malachiteingestion-pa.googleapis.com
    • /path/to/ingestion-authentication-file.json の値を、Google SecOps の取り込み認証ファイルを取得するで認証ファイルを保存したパスに更新します。

Bindplane エージェントを再起動して変更を適用する

  1. Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart bindplane-agent

  2. Windows で Bindplane エージェントを再起動するには、サービス コンソールを使用するか、次のコマンドを入力します。

    net stop BindPlaneAgent && net start BindPlaneAgent

Trellix Network Security で Syslog 転送を構成する

  1. 管理者アカウントで Trellix ネットワーク セキュリティ コンソールにログインします。
  2. [設定] > [通知] に移動します。
  3. [rsyslog] タブをクリックします。
  4. [イベントタイプ] チェックボックスをオンにして、rsyslog 通知を有効にします。
  5. [設定] パネルで、次の構成の詳細を指定します。
    • デフォルトの形式: [CEF] を選択します。
  6. [Rsyslog Server Listing] セクションで次の操作を行います。
    • 新しいエントリのわかりやすい名前を入力します（例: Google SecOps BindPlane）。
    • [Rsyslog サーバーを追加] ボタンをクリックします。
  7. 新しく追加したサーバーについて、次の構成情報を入力します。
    • 有効: チェックボックスをオンにして、サーバーを有効にします。
    • IP アドレス: BindPlane Agent の IP アドレスを入力します。
    • ポート: BindPlane Agent のポート番号（例: 514）を入力します。
    • プロトコル: BindPlane エージェントの構成に応じて、[UDP] または [TCP] を選択します。
    • イベントタイプ: 転送するイベントタイプを選択します（包括的なロギングを行う場合は [すべて] を選択します）。
  8. [更新] ボタンをクリックして、構成を保存します。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
alert.dst.ip target.ip、target.asset.ip alert.dst.ip フィールドから直接マッピングされます
alert.dst.mac target.mac、target.asset.mac alert.dst.mac フィールドから直接マッピングされます
alert.dst.port target.port alert.dst.port フィールドから直接マッピングされます
alert.explanation.cnc-services.cnc-service.address target.ip、target.asset.ip alert.explanation.cnc-services.cnc-service.address フィールドから直接マッピングされます
alert.explanation.cnc-services.cnc-service.port target.port alert.explanation.cnc-services.cnc-service.port フィールドから直接マッピングされます
alert.explanation.cnc-services.cnc-service.url target.url alert.explanation.cnc-services.cnc-service.url フィールドから直接マッピングされます
alert.explanation.malware-detected.malware.0.name security_result.threat_name 配列で複数のマルウェアが検出された場合は、alert.explanation.malware-detected.malware.0.name フィールドから直接マッピングされます。
alert.explanation.malware-detected.malware.md5sum target.file.md5 alert.explanation.malware-detected.malware.md5sum フィールドから直接マッピングされます
alert.explanation.malware-detected.malware.name security_result.threat_name alert.explanation.malware-detected.malware.name フィールドから直接マッピングされます
alert.explanation.malware-detected.malware.sha1 target.file.sha1 alert.explanation.malware-detected.malware.sha1 フィールドから直接マッピングされます
alert.explanation.malware-detected.malware.sha256 target.file.sha256 alert.explanation.malware-detected.malware.sha256 フィールドから直接マッピングされます
alert.explanation.malware-detected.malware.url target.url alert.explanation.malware-detected.malware.url フィールドから直接マッピングされます
alert.name read_only_udm.metadata.product_event_type alert.name フィールドから直接マッピングされます
alert.occurred read_only_udm.metadata.event_timestamp alert.occurred フィールドから直接マッピングされます
alert.src.domain principal.hostname alert.src.domain フィールドから直接マッピングされます
alert.src.host principal.hostname alert.src.host フィールドから直接マッピングされます
alert.src.ip principal.ip、principal.asset.ip alert.src.ip フィールドから直接マッピングされます
alert.src.mac principal.mac、principal.asset.mac alert.src.mac フィールドから直接マッピングされます
alert.src.port principal.port alert.src.port フィールドから直接マッピングされます
alert.src.smtp-mail-from network.email.from alert.src.smtp-mail-from フィールドから直接マッピングされます
alert.smtp-message.id network.email.mail_id alert.smtp-message.id フィールドから直接マッピングされます
alert.smtp-message.subject network.email.subject alert.smtp-message.subject フィールドから直接マッピングされます
client_ip principal.ip client_ip フィールドから直接マッピングされます
client_src_port principal.port client_src_port フィールドから直接マッピングされます
圧縮 additional.fields.value.string_value compression フィールドから直接マッピングされます
etag additional.fields.value.string_value etag フィールドから直接マッピングされます
ホスト principal.hostname host フィールドから直接マッピングされます
log_id read_only_udm.metadata.product_log_id log_id フィールドから直接マッピングされます
method network.http.method method フィールドから直接マッピングされます
persistent_session_id network.session_id persistent_session_id フィールドから直接マッピングされます
プール additional.fields.value.string_value pool フィールドから直接マッピングされます
pool_name additional.fields.value.string_value pool_name フィールドから直接マッピングされます
request_id additional.fields.value.string_value request_id フィールドから直接マッピングされます
request_state additional.fields.value.string_value request_state フィールドから直接マッピングされます
response_code network.http.response_code response_code フィールドから直接マッピングされます
rewritten_uri_query additional.fields.value.string_value rewritten_uri_query フィールドから直接マッピングされます
server_ip target.ip server_ip フィールドから直接マッピングされます
server_name target.hostname server_name フィールドから直接マッピングされます
server_src_port target.port server_src_port フィールドから直接マッピングされます
service_engine additional.fields.value.string_value service_engine フィールドから直接マッピングされます
ssl_cipher network.tls.cipher ssl_cipher フィールドから直接マッピングされます
ssl_version network.tls.version_protocol ssl_version フィールドから直接マッピングされます
uri_path network.http.referral_url uri_path フィールドから直接マッピングされます
uri_query additional.fields.value.string_value uri_query フィールドから直接マッピングされます
user_id principal.user.userid user_id フィールドから直接マッピングされます
virtualservice additional.fields.value.string_value virtualservice フィールドから直接マッピングされます
vs_name additional.fields.value.string_value vs_name フィールドから直接マッピングされます
read_only_udm.metadata.event_type プリンシパルとターゲットの両方の IP アドレスが存在する場合は SCAN_UNCATEGORIZED、プリンシパルの IP またはホスト名が存在する場合は STATUS_UPDATE、プリンシパルのユーザー ID が存在する場合は USER_UNCATEGORIZED、alert.src.smtp-mail-from と alert.dst.smtp-to の両方が存在する場合は EMAIL_TRANSACTION、それ以外の場合は GENERIC_EVENT に設定します。
read_only_udm.metadata.ingested_timestamp alert.attack-time が存在しない場合は、現在のタイムスタンプに設定します。
read_only_udm.metadata.log_type FIREEYE_NX に設定します。
read_only_udm.metadata.vendor_name FireEye に設定します。
read_only_udm.network.application_protocol メッセージに「http」が含まれている場合は、HTTP に設定します（大文字と小文字を区別しない）。
read_only_udm.security_result.action _source.action が「notified」の場合（大文字と小文字を区別しない）、ALLOW に設定します。_source.action が「blocked」の場合（大文字と小文字を区別しない）、BLOCK に設定します。それ以外の場合は、UNKNOWN_ACTION に設定します。
read_only_udm.security_result.category sec_category に「DOMAIN.MATCH」が含まれている場合（大文字と小文字を区別しない）は NETWORK_SUSPICIOUS、sec_category に「INFECTION.MATCH」または「WEB.INFECTION」が含まれている場合（大文字と小文字を区別しない）は NETWORK_MALICIOUS、sec_category に「MALWARE.OBJECT」が含まれている場合（大文字と小文字を区別しない）は SOFTWARE_MALICIOUS、sec_category に「MALWARE.CALLBACK」が含まれている場合（大文字と小文字を区別しない）は NETWORK_COMMAND_AND_CONTROL、それ以外の場合は UNKNOWN_CATEGORY に設定します。
read_only_udm.security_result.severity _source.severity または temp_severity が「majr」の場合（大文字と小文字を区別しない）、MEDIUM に設定します。_source.severity または temp_severity が「minr」の場合（大文字と小文字を区別しない）、LOW に設定します。それ以外の場合は設定しません。
read_only_udm.security_result.summary security_result.threat_name の値に設定します。
is_alert true に設定します。
is_significant true に設定します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。