איסוף יומני Forcepoint DLP

גרסת כלי הניתוח: 10.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני Forcepoint DLP ב-Google Security Operations באמצעות Bindplane.

‫Forcepoint DLP (מניעת אובדן נתונים) הוא פתרון להגנה על נתונים שמזהה, עוקב ומגן על מידע אישי רגיש בסביבות ארגוניות. הוא מזהה העברות נתונים לא מורשות ומונע אותן דרך אימייל, אינטרנט, נקודות קצה ואפליקציות בענן, באמצעות מדיניות מודעת-תוכן ולמידת מכונה. הכלי לניתוח מחלץ שדות מיומנים בפורמט Forcepoint DLP CEF. לאחר מכן, המערכת ממפה את הערכים האלה למודל הנתונים המאוחד (UDM). בנוסף, הוא מגדיר ערכי ברירת מחדל של מטא-נתונים למקור ולסוג האירוע.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• גישת אדמין למסוף האינטרנט Forcepoint Security Manager

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.
3. מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: מספר הלקוח נדרש להגדרת כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

איתור קובץ ההגדרות

• ‫Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ ההגדרות

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/chronicle_w_labels:
          compression: gzip
          creds_file_path: '/path/to/ingestion-authentication-file.json'
          customer_id: 'YOUR_CUSTOMER_ID'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: 'FORCEPOINT_DLP'
          raw_log_field: body
          ingestion_labels:
  
  service:
      pipelines:
          logs/source0__chronicle_w_labels-0:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/chronicle_w_labels
  

פרמטרים להגדרה

• מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫tcplog: משתמשים ב-udplog עבור UDP syslog או ב-tcplog עבור TCP syslog
    • ‫0.0.0.0: כתובת ה-IP להאזנה (0.0.0.0 להאזנה בכל הממשקים)
    • ‫514: מספר היציאה להאזנה (יציאת syslog רגילה)

  • הגדרת כלי הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
      • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
      • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫YOUR_CUSTOMER_ID: מספר הלקוח מהקטע 'איך מאתרים את מספר הלקוח'
    • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
      • ארה"ב: malachiteingestion-pa.googleapis.com
      • אירופה: europe-malachiteingestion-pa.googleapis.com
      • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
      • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.
    • ‫log_type: סוג היומן בדיוק כמו שהוא מופיע ב-Chronicle‏ (FORCEPOINT_DLP)

שמירת קובץ ההגדרות

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

       sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

       sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מחפשים את observIQ OpenTelemetry Collector.

    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת העברה של syslog ב-Forcepoint DLP

1. נכנסים למסוף האינטרנט Forcepoint Security Manager.
2. עוברים אל הגדרות > כללי > שילוב SIEM.
3. בוחרים באפשרות הפעלת השילוב של SIEM.
4. מספקים את פרטי ההגדרה הבאים:
   • כתובת ה-IP של שרת Syslog: מזינים את כתובת ה-IP של המארח של סוכן Bindplane.
   • יציאה: מזינים 514.
   • פרוטוקול: בוחרים באפשרות TCP.
   • פורמט: בוחרים באפשרות CEF (פורמט אירועים נפוץ).
   • TLS Enabled (ה-TLS מופעל): מבטלים את הסימון (אלא אם משתמשים ב-TLS).
5. בקטע נתוני אירועים, בוחרים את הנתונים שרוצים לכלול בהודעות syslog:
   • הפעולה שבוצעה
   • רמת החומרה
   • שם המדיניות
   • פרטי המקור
   • מידע על היעד
   • פרטי התוכן
6. לוחצים על אישור כדי לשמור.
7. עוברים אל Main > Policy Management > DLP Policies.
8. לכל מדיניות שצריכה להעביר אירועים, מוודאים שההתראה של syslog מופעלת:
   1. בוחרים את המדיניות.
   2. עוברים לכרטיסייה תוכנית פעולה.
   3. מוודאים שתוכנית הפעולה כוללת את האפשרות שליחה ל-SIEM.
9. לוחצים על פריסה כדי להחיל את השינויים במדיניות.
10. כדי לוודא שהודעות syslog נשלחות, בודקים את היומנים של סוכן Bindplane.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
לפעול	security_result.description	אם הפרמטר actionPerformed ריק, הערך של act מוקצה לפרמטר security_result.description.
actionID	metadata.product_log_id	הערך של actionID מוקצה ל-metadata.product_log_id.
actionPerformed	security_result.description	הערך של actionPerformed מוקצה ל-security_result.description.
אדמין	principal.user.userid	הערך של האדמין מוקצה ל-principal.user.userid.
analyzedBy	additional.fields.key	המחרוזת analyzedBy מוקצית ל-additional.fields.key.
analyzedBy	additional.fields.value.string_value	הערך של analyzedBy מוקצה ל-additional.fields.value.string_value.
cat	security_result.category_details	הערכים של cat ממוזגים לשדה security_result.category_details כרשימה.
destinationHosts	target.hostname	הערך של destinationHosts מוקצה ל-target.hostname.
destinationHosts	target.asset.hostname	הערך של destinationHosts מוקצה ל-target.asset.hostname.
פרטים	security_result.description	אם גם actionPerformed וגם act ריקים, הערך של details מוקצה ל-security_result.description.
duser	target.user.userid	הערך של duser משמש לאכלוס הערך של target.user.userid. אם יש כמה ערכים מופרדים באמצעות '; ', הם יפוצלו ויוקצו ככתובות אימייל נפרדות אם הם תואמים לביטוי הרגולרי של האימייל. אחרת, הם יטופלו כמזהי משתמשים.
eventId	metadata.product_log_id	אם actionID ריק, הערך של eventId מוקצה ל-metadata.product_log_id.
fname	target.file.full_path	הערך של fname מוקצה ל-target.file.full_path.
logTime	metadata.event_timestamp	הערך של logTime מנותח ומשמש למילוי metadata.event_timestamp.
loginName	principal.user.user_display_name	הערך של loginName מוקצה ל-principal.user.user_display_name.
msg	metadata.description	הערך של msg מוקצה ל-metadata.description.
productVersion	additional.fields.key	המחרוזת productVersion מוקצית ל-additional.fields.key.
productVersion	additional.fields.value.string_value	הערך של productVersion מוקצה ל-additional.fields.value.string_value.
תפקיד	principal.user.attribute.roles.name	הערך של התפקיד מוקצה ל-principal.user.attribute.roles.name.
severityType	security_result.severity	הערך של severityType ממופה אל security_result.severity. ‫'high' ממופה ל-'HIGH',‏ 'med' ממופה ל-'MEDIUM' ו-'low' ממופה ל-'LOW' (לא תלוי באותיות רישיות).
sourceHost	principal.hostname	הערך של sourceHost מוקצה ל-principal.hostname.
sourceHost	principal.asset.hostname	הערך של sourceHost מוקצה ל-principal.asset.hostname.
sourceIp	principal.ip	הערך של sourceIp מתווסף לשדה principal.ip.
sourceIp	principal.asset.ip	הערך של sourceIp מתווסף לשדה principal.asset.ip.
sourceServiceName	principal.application	הערך של sourceServiceName מוקצה ל-principal.application.
suser	principal.user.userid	אם הערך של administrator ריק, הערך של suser מוקצה ל-principal.user.userid.
חותמת זמן	metadata.event_timestamp	הערך של timestamp משמש למילוי metadata.event_timestamp.
נושא	security_result.rule_name	הערך של topic מוקצה ל-security_result.rule_name אחרי שהפסיקים מוסרים. הערך מוטמע בקוד כ-FORCEPOINT_DLP. הערך 'Forcepoint' מוטמע בקוד. המידע חולץ מהודעת ה-CEF. יכול להיות Forcepoint DLP או Forcepoint DLP Audit. המידע חולץ מהודעת ה-CEF. שרשור של device_event_class_id ו-event_name, בפורמט [device_event_class_id] - event_name. הערך שמוגדר כברירת מחדל הוא GENERIC_EVENT. הערך השתנה ל-USER_UNCATEGORIZED אם is_principal_user_present הוא true.
destinationDnsDomain	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
inter_host	intermediary.hostname	מופה מיומן השינויים
violationTriggers.VZ CPNI" and "violationTriggers.Controlled Unclassified Information: Portion Marking	additional.fields	מופה מיומן השינויים
act	security_result.action_details	מופה מיומן השינויים
caseDescription	metadata.description	מופה מיומן השינויים
eventIDs	metadata.product_event_type	מופה מיומן השינויים
sourceServiceName	network.application_protocol	מופה מיומן השינויים
productVersion	metadata.product_version	מופה מיומן השינויים
riskScore	additional.fields	מופה מיומן השינויים
productVersion" and "analyzedBy	additional.fields	מופה מיומן השינויים
timeStamp	metadata.event_timestamp	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.