Recopila registros de Forcepoint Email Security

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

Nota: Esta función está sujeta a las Condiciones de las Ofertas de Fase Previa a la DG de las Condiciones Específicas de Google Security Operations. Las características de la fase previa a la DG pueden tener asistencia limitada, y es posible que los cambios que se les realicen no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los Lineamientos de los Servicios de Asistencia Técnica de Google SecOps y las Condiciones Específicas del Servicio de Google SecOps.

En este documento, se explica cómo transferir registros de Forcepoint Email Security a Google Security Operations con BindPlane. Primero, el analizador extrae campos de los registros con formato JSON y, luego, inicializa algunos campos del UDM con valores vacíos. Luego, asigna los campos extraídos a sus campos correspondientes dentro de la estructura del UDM de Chronicle según condiciones específicas y manipulaciones de datos, lo que, en última instancia, crea una representación unificada del evento de seguridad del correo electrónico.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Un host de Windows 2016 o posterior, o Linux con systemd
• Si ejecutas el agente detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de BindPlane.
• Acceso con privilegios al dispositivo o a la consola de administración de Forcepoint Email Security

Obtén el archivo de autenticación de transferencia de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agente de recopilación.
3. Descarga el archivo de autenticación de transferencia.
4. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instala el agente de BindPlane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el siguiente comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalación en Linux

1. Abre una terminal con privilegios de administrador o sudo.

2. Ejecuta el siguiente comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos adicionales de instalación

• Para obtener más opciones de instalación, consulta esta guía de instalación.
• Alternativa: También puedes usar el flujo de trabajo de instalación administrada de BindPlane OP para la administración centralizada de agentes.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración:

   • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
   • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <CUSTOMER_ID>
       endpoint: malachiteingestion-pa.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'FORCEPOINT_EMAILSECURITY'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

3. Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.

4. Reemplaza <CUSTOMER_ID> por el ID de cliente real.

5. Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso al archivo en la que se guardó el archivo de autenticación en el paso 1.

Reinicia el agente de BindPlane para aplicar los cambios

1. Para reiniciar el agente de BindPlane en Linux, ejecuta el siguiente comando:

   sudo systemctl restart observiq-otel-collector
   

2. Para reiniciar el agente de BindPlane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Configura el reenvío de Syslog en Forcepoint Email Security

1. Accede a la Consola de administración de Forcepoint Email Security.
2. Ve a Configuración > Integraciones > Integración de SIEM.
3. Haz clic en Habilitar la integración del SIEM.

4. Proporciona los siguientes detalles de configuración:

   • Formato: Selecciona LEEF (formato extendido de eventos de registro).
   • Servidor Syslog: Ingresa la dirección IP del agente de BindPlane.
   • Puerto de Syslog: Ingresa el número de puerto del agente de BindPlane (por ejemplo, 514).
   • Protocol: Selecciona UDP o TCP, según la configuración real del agente de BindPlane.
   • Facility: Selecciona el código de la instalación de syslog (por ejemplo, Local0).
   • Gravedad: Selecciona el nivel de gravedad para los eventos de registro.

5. Haz clic en Guardar.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
Acción	security_result.action_details	Se asigna directamente desde el campo "Action" del registro sin procesar.
AttachmentFilename	additional.fields.value.list_value.values.string_value (clave: Attachments_FileNames)	El campo "AttachmentFilename" se divide con comas y, luego, cada valor se agrega como un string_value al array "additional.fields" con la clave "Attachments_FileNames".
AttachmentFileType	additional.fields.value.list_value.values.string_value (clave: AttachmentsFileType)	El campo "AttachmentFileType" se divide con comas y, luego, cada valor se agrega como un string_value al array "additional.fields" con la clave "AttachmentsFileType".
AttachmentSize	additional.fields.value.list_value.values.string_value (clave: AttachmentsSize)	El campo "AttachmentSize" se divide con una coma y, luego, cada valor se agrega como un string_value al array "additional.fields" con la clave "AttachmentsSize".
Fecha y hora		No se asignó en el UDM proporcionado.
EnvelopeSender	network.email.from	Se asigna directamente desde el campo "EnvelopeSender" en el registro sin procesar.
EventReceivedTime	metadata.event_timestamp	Se analizó en un formato de marca de tiempo y se asignó a "metadata.event_timestamp".
FilteringReason	security_result.category_details	Se asigna directamente desde el campo "FilteringReason" en el registro sin procesar.
MessageSandboxing	security_result.detection_fields.value (clave: MessageSandboxing)	Se asigna directamente desde el campo "MessageSandboxing" en el registro sin procesar y se agrega como un par clave-valor al array "security_result.detection_fields".
MessageSize	security_result.detection_fields.value (clave: MessageSize)	Se asigna directamente desde el campo "MessageSize" en el registro sin procesar y se agrega como un par clave-valor al array "security_result.detection_fields".
nxlog_filename	additional.fields.value.string_value (clave: nxlog_filename)	Se asigna directamente desde el campo "nxlog_filename" en el registro sin procesar y se agrega como un par clave-valor al array "additional.fields".
RecipientAddress	network.email.to	Se asigna directamente desde el campo "RecipientAddress" en el registro sin procesar.
SenderIP	principal.asset.ip, principal.ip	Se asigna directamente desde el campo "SenderIP" en el registro sin procesar.
SenderIPCountry	principal.location.country_or_region	Se asigna directamente desde el campo "SenderIPCountry" en el registro sin procesar.
SourceModuleName	principal.resource.attribute.labels.value (clave: SourceModuleName)	Se asigna directamente desde el campo "SourceModuleName" en el registro sin procesar y se agrega como un par clave-valor al array "principal.resource.attribute.labels".
SourceModuleType	principal.resource.attribute.labels.value (clave: SourceModuleType)	Se asigna directamente desde el campo "SourceModuleType" en el registro sin procesar y se agrega como un par clave-valor al array "principal.resource.attribute.labels".
SpamScore	security_result.detection_fields.value (clave: SpamScore)	Se asigna directamente desde el campo "SpamScore" en el registro sin procesar y se agrega como un par clave-valor al array "security_result.detection_fields".
Asunto	network.email.subject	Se asigna directamente desde el campo "Asunto" del registro sin procesar.
VirusName	security_result.detection_fields.value (clave: VirusName)	Se asigna directamente desde el campo "VirusName" en el registro sin procesar y se agrega como un par clave-valor al array "security_result.detection_fields".
	metadata.event_type	El valor se determina según la presencia de otros campos. Si "has_network_email_data" es verdadero, el valor se establece en "EMAIL_TRANSACTION". Si "has_principal" es verdadero, el valor se establece en "STATUS_UPDATE". De lo contrario, el valor predeterminado es "GENERIC_EVENT".
	metadata.product_name	El valor se establece en "FORCEPOINT EMAILSECURITY".
	metadata.vendor_name	El valor se establece en "FORCEPOINT EMAILSECURITY".

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.