Recolha registos do FireEye NX

Suportado em:

Google secops SIEM

Nota: esta funcionalidade está abrangida pelos Termos das Ofertas de Pré-DG dos Termos Específicos do Serviço de Operações de Segurança da Google. As funcionalidades de pré-DG podem ter suporte limitado e as alterações às funcionalidades de pré-DG podem não ser compatíveis com outras versões de pré-DG. Para mais informações, consulte as diretrizes dos serviços de apoio técnico do Google SecOps e os Termos Específicos dos Serviços do Google SecOps.

Este documento explica como carregar registos do Trellix Network Security (anteriormente FireEye NX) para o Google Security Operations através do Bindplane.

Antes de começar

Certifique-se de que cumpre os seguintes pré-requisitos:

• Uma instância do Google SecOps
• Um anfitrião Windows 2016 ou posterior, ou Linux com systemd
• Se estiver a executar o agente através de um proxy, certifique-se de que as portas da firewall estão abertas de acordo com os requisitos do agente Bindplane
• Acesso privilegiado à consola de gestão do Trellix Network Security (NX)

Obtenha o ficheiro de autenticação de carregamento do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Agentes de recolha.
3. Transfira o ficheiro de autenticação de carregamento. Guarde o ficheiro de forma segura no sistema onde o Bindplane vai ser instalado

Obtenha o ID de cliente do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Perfil.
3. Copie e guarde o ID do cliente da secção Detalhes da organização.

Instale o agente do Bindplane

Instale o agente do Bindplane no seu sistema operativo Windows ou Linux de acordo com as seguintes instruções.

Instalação de janelas

1. Abra a Linha de comandos ou o PowerShell como administrador.

2. Execute o seguinte comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute o seguinte comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalação adicionais

Para ver opções de instalação adicionais, consulte o guia de instalação.

Configure o agente Bindplane para carregar o Syslog e enviá-lo para o Google SecOps

1. Aceda ao ficheiro de configuração:
   • Localize o ficheiro config.yaml. Normalmente, encontra-se no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   • Abra o ficheiro com um editor de texto (por exemplo, nano, vi ou Bloco de notas).

2. Edite o ficheiro config.yaml da seguinte forma:

   receivers:
   udplog:
      # Replace the port and IP address as required
      listen_address: "0.0.0.0:514"
   
   exporters:
   chronicle/fireeye_nx:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: <CUSTOMER_ID>
      # Replace with your regional endpoint
      endpoint: <ENDPOINT>
      log_type: 'FIREEYE_NX'
      raw_log_field: body
      ingestion_labels:
   
   service:
   pipelines:
      logs/source0__chronicle_w_labels-0:
         receivers:
         - udplog
         exporters:
         - chronicle/fireeye_nx
   

   • Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
   • Substitua <CUSTOMER_ID> pelo ID de cliente real.
   • Substitua o valor <ENDPOINT> pelo seu ponto final regional:
     • Estados Unidos: malachiteingestion-pa.googleapis.com
     • Europa (Frankfurt): europe-west3-malachiteingestion-pa.googleapis.com
     • Europa (Londres): europe-west2-malachiteingestion-pa.googleapis.com
     • Europa (Zurique): europe-west6-malachiteingestion-pa.googleapis.com
     • Europa (Turim): europe-west12-malachiteingestion-pa.googleapis.com
     • Ásia (Tóquio): asia-northeast1-malachiteingestion-pa.googleapis.com
     • Médio Oriente (Tel Aviv): me-west1-malachiteingestion-pa.googleapis.com
     • Austrália (Sydney): australia-southeast1-malachiteingestion-pa.googleapis.com
   • Atualize /path/to/ingestion-authentication-file.json para o caminho onde o ficheiro de autenticação foi guardado na secção Obtenha o ficheiro de autenticação de carregamento do Google SecOps.

Nota: para ver a lista completa de pontos finais regionais, consulte a documentação de pontos finais regionais.

Reinicie o agente do Bindplane para aplicar as alterações

1. Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

   sudo systemctl restart bindplane-agent
   

2. Para reiniciar o agente do Bindplane no Windows, pode usar a consola Serviços ou introduzir o seguinte comando:

   net stop BindPlaneAgent && net start BindPlaneAgent
   

Configure o encaminhamento de Syslog na segurança de rede da Trellix

1. Inicie sessão na consola de segurança de rede da Trellix com uma conta de administrador.
2. Aceda a Definições > Notificações.
3. Clique no separador rsyslog.
4. Selecione a caixa de verificação Tipo de evento para ativar as notificações rsyslog.
5. No painel Definições, faculte os seguintes detalhes de configuração:
   • Formato predefinido: selecione CEF.
6. Na secção Lista de servidores Rsyslog:
   • Introduza um nome descritivo para a nova entrada (por exemplo, Google SecOps BindPlane).
   • Clique no botão Adicionar servidor Rsyslog.
7. Para o servidor adicionado recentemente, faculte os seguintes detalhes de configuração:
   • Ativado: selecione a caixa de verificação para ativar o servidor.
   • Endereço IP: introduza o endereço IP do agente BindPlane.
   • Porta: introduza o número da porta do agente BindPlane (por exemplo, 514).
   • Protocolo: selecione UDP ou TCP, consoante a configuração do agente BindPlane.
   • Tipos de eventos: selecione os tipos de eventos a encaminhar (ou selecione tudo para um registo abrangente).
8. Clique no botão Atualizar para guardar a configuração.

Tabela de mapeamento da UDM

Campo de registo	Mapeamento do UDM	Lógica
alert.dst.ip	target.ip, target.asset.ip	Mapeamento direto do campo alert.dst.ip
alert.dst.mac	target.mac, target.asset.mac	Mapeamento direto do campo alert.dst.mac
alert.dst.port	target.port	Mapeamento direto do campo alert.dst.port
alert.explanation.cnc-services.cnc-service.address	target.ip, target.asset.ip	Mapeamento direto do campo alert.explanation.cnc-services.cnc-service.address
alert.explanation.cnc-services.cnc-service.port	target.port	Mapeamento direto do campo alert.explanation.cnc-services.cnc-service.port
alert.explanation.cnc-services.cnc-service.url	target.url	Mapeamento direto do campo alert.explanation.cnc-services.cnc-service.url
alert.explanation.malware-detected.malware.0.name	security_result.threat_name	Mapeamento direto do campo alert.explanation.malware-detected.malware.0.name em caso de deteção de vários softwares maliciosos na matriz
alert.explanation.malware-detected.malware.md5sum	target.file.md5	Mapeamento direto do campo alert.explanation.malware-detected.malware.md5sum
alert.explanation.malware-detected.malware.name	security_result.threat_name	Mapeamento direto do campo alert.explanation.malware-detected.malware.name
alert.explanation.malware-detected.malware.sha1	target.file.sha1	Mapeamento direto do campo alert.explanation.malware-detected.malware.sha1
alert.explanation.malware-detected.malware.sha256	target.file.sha256	Mapeamento direto do campo alert.explanation.malware-detected.malware.sha256
alert.explanation.malware-detected.malware.url	target.url	Mapeamento direto do campo alert.explanation.malware-detected.malware.url
alert.name	read_only_udm.metadata.product_event_type	Mapeamento direto do campo alert.name
alert.occurred	read_only_udm.metadata.event_timestamp	Mapeamento direto do campo alert.occurred
alert.src.domain	principal.hostname	Mapeamento direto do campo alert.src.domain
alert.src.host	principal.hostname	Mapeamento direto do campo alert.src.host
alert.src.ip	principal.ip, principal.asset.ip	Mapeamento direto do campo alert.src.ip
alert.src.mac	principal.mac, principal.asset.mac	Mapeamento direto do campo alert.src.mac
alert.src.port	principal.port	Mapeamento direto do campo alert.src.port
alert.src.smtp-mail-from	network.email.from	Mapeamento direto do campo alert.src.smtp-mail-from
alert.smtp-message.id	network.email.mail_id	Mapeamento direto do campo alert.smtp-message.id
alert.smtp-message.subject	network.email.subject	Mapeamento direto do campo alert.smtp-message.subject
client_ip	principal.ip	Mapeamento direto do campo client_ip
client_src_port	principal.port	Mapeamento direto do campo client_src_port
compressão	additional.fields.value.string_value	Mapeamento direto do campo compression
etag	additional.fields.value.string_value	Mapeamento direto do campo etag
anfitrião	principal.hostname	Mapeamento direto do campo host
log_id	read_only_udm.metadata.product_log_id	Mapeamento direto do campo log_id
método	network.http.method	Mapeamento direto do campo method
persistent_session_id	network.session_id	Mapeamento direto do campo persistent_session_id
piscina	additional.fields.value.string_value	Mapeamento direto do campo pool
pool_name	additional.fields.value.string_value	Mapeamento direto do campo pool_name
request_id	additional.fields.value.string_value	Mapeamento direto do campo request_id
request_state	additional.fields.value.string_value	Mapeamento direto do campo request_state
response_code	network.http.response_code	Mapeamento direto do campo response_code
rewritten_uri_query	additional.fields.value.string_value	Mapeamento direto do campo rewritten_uri_query
server_ip	target.ip	Mapeamento direto do campo server_ip
server_name	target.hostname	Mapeamento direto do campo server_name
server_src_port	target.port	Mapeamento direto do campo server_src_port
service_engine	additional.fields.value.string_value	Mapeamento direto do campo service_engine
ssl_cipher	network.tls.cipher	Mapeamento direto do campo ssl_cipher
ssl_version	network.tls.version_protocol	Mapeamento direto do campo ssl_version
uri_path	network.http.referral_url	Mapeamento direto do campo uri_path
uri_query	additional.fields.value.string_value	Mapeamento direto do campo uri_query
user_id	principal.user.userid	Mapeamento direto do campo user_id
virtualservice	additional.fields.value.string_value	Mapeamento direto do campo virtualservice
vs_name	additional.fields.value.string_value	Mapeamento direto do campo vs_name
	read_only_udm.metadata.event_type	Definido como SCAN_UNCATEGORIZED se os endereços IP principal e de destino estiverem presentes, STATUS_UPDATE se o IP principal ou o nome de anfitrião estiver presente, USER_UNCATEGORIZED se o ID do utilizador principal estiver presente, EMAIL_TRANSACTION se alert.src.smtp-mail-from e alert.dst.smtp-to estiverem presentes e GENERIC_EVENT caso contrário.
	read_only_udm.metadata.ingested_timestamp	É definida como a data/hora atual se alert.attack-time não estiver presente.
	read_only_udm.metadata.log_type	Definido como FIREEYE_NX.
	read_only_udm.metadata.vendor_name	Definido como FireEye.
	read_only_udm.network.application_protocol	Definido como HTTP se a mensagem contiver "http" (sem distinção entre maiúsculas e minúsculas).
	read_only_udm.security_result.action	Definido como ALLOW se _source.action for "notified" (não é sensível a maiúsculas e minúsculas), BLOCK se _source.action for "blocked" (não é sensível a maiúsculas e minúsculas) e UNKNOWN_ACTION caso contrário.
	read_only_udm.security_result.category	Definido como NETWORK_SUSPICIOUS se sec_category contiver "DOMAIN.MATCH" (não é sensível a maiúsculas e minúsculas), NETWORK_MALICIOUS se sec_category contiver "INFECTION.MATCH" ou "WEB.INFECTION" (não é sensível a maiúsculas e minúsculas), SOFTWARE_MALICIOUS se sec_category contiver "MALWARE.OBJECT" (não é sensível a maiúsculas e minúsculas), NETWORK_COMMAND_AND_CONTROL se sec_category contiver "MALWARE.CALLBACK" (não é sensível a maiúsculas e minúsculas) e UNKNOWN_CATEGORY caso contrário.
	read_only_udm.security_result.severity	Definido como MEDIUM se _source.severity ou temp_severity for "majr" (sem distinção entre maiúsculas e minúsculas), LOW se _source.severity ou temp_severity for "minr" (sem distinção entre maiúsculas e minúsculas) e não definido caso contrário.
	read_only_udm.security_result.summary	Definido para o valor de security_result.threat_name.
	is_alert	Definido como true.
	is_significant	Definido como true.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.