Mengumpulkan log Forcepoint Email Security

Didukung di:

Dokumen ini menjelaskan cara menyerap log Forcepoint Email Security ke Google Security Operations menggunakan BindPlane. Parser pertama-tama mengekstrak kolom dari log berformat JSON dan menginisialisasi beberapa kolom UDM dengan nilai kosong. Kemudian, parser memetakan kolom yang diekstrak ke kolom yang sesuai dalam struktur UDM Chronicle berdasarkan kondisi dan manipulasi data tertentu, yang pada akhirnya membuat representasi terpadu dari peristiwa keamanan email.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Host Windows 2016 atau yang lebih baru atau Linux dengan systemd
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen BindPlane
  • Akses istimewa ke appliance atau konsol pengelolaan Forcepoint Email Security

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka SIEM Settings > Collection Agent.
  3. Download ingestion authentication file.
  4. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka SIEM Settings > Profile.
  3. Salin dan simpan customer ID dari bagian Organization Details.

Menginstal Agen BindPlane

Instal agen BindPlane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi Penginstalan Tambahan

Mengonfigurasi Agen BindPlane untuk menyerap Syslog dan mengirim ke Google SecOps

  1. Akses File Konfigurasi:

    • Temukan file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
    • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

  2. Edit file config.yaml sebagai berikut:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'FORCEPOINT_EMAILSECURITY'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

  3. Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.

  4. Ganti <CUSTOMER_ID> dengan Customer ID yang sebenarnya.

  5. Perbarui /path/to/ingestion-authentication-file.json ke jalur file tempat file autentikasi disimpan di Langkah 1.

Memulai ulang Agen BindPlane untuk menerapkan perubahan

  1. Untuk memulai ulang agen BindPlane di Linux, jalankan perintah berikut:

    sudo systemctl restart observiq-otel-collector

  2. Untuk memulai ulang agen BindPlane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

    net stop observiq-otel-collector && net start observiq-otel-collector

Mengonfigurasi penerusan Syslog di Forcepoint Email Security

  1. Login ke Forcepoint Email Security Management Console.
  2. Buka Settings > Integrations > SIEM Integration.
  3. Klik Enable SIEM Integration.

  4. Berikan detail konfigurasi berikut:

    • Format: Pilih LEEF (Log Event Extended Format).
    • Syslog Server: Masukkan alamat IP Agen BindPlane.
    • Syslog Port: Masukkan nomor port Agen BindPlane (misalnya, 514).
    • Protokol: Pilih UDP atau TCP, bergantung pada konfigurasi Agen BindPlane Anda yang sebenarnya.
    • Facility: Pilih kode fasilitas syslog (misalnya, Local0).
    • Tingkat Keparahan: Pilih tingkat keparahan untuk peristiwa log.

  5. Klik Save.

Tabel Pemetaan UDM

Kolom Log Pemetaan UDM Logika
Tindakan security_result.action_details Dipetakan langsung dari kolom "Action" di log mentah.
AttachmentFilename additional.fields.value.list_value.values.string_value (key: Attachments_FileNames) Kolom "AttachmentFilename" dipisahkan dengan koma, lalu setiap nilai ditambahkan sebagai string_value ke array "additional.fields" dengan kunci "Attachments_FileNames".
AttachmentFileType additional.fields.value.list_value.values.string_value (key: AttachmentsFileType) Kolom "AttachmentFileType" dipisahkan dengan koma, lalu setiap nilai ditambahkan sebagai string_value ke array "additional.fields" dengan kunci "AttachmentsFileType".
AttachmentSize additional.fields.value.list_value.values.string_value (key: AttachmentsSize) Kolom "AttachmentSize" dipisahkan dengan koma, lalu setiap nilai ditambahkan sebagai string_value ke array "additional.fields" dengan kunci "AttachmentsSize".
DateTime Tidak dipetakan di UDM yang disediakan.
EnvelopeSender network.email.from Dipetakan langsung dari kolom "EnvelopeSender" di log mentah.
EventReceivedTime metadata.event_timestamp Diuraikan ke format stempel waktu dan dipetakan ke "metadata.event_timestamp".
FilteringReason security_result.category_details Dipetakan langsung dari kolom "FilteringReason" di log mentah.
MessageSandboxing security_result.detection_fields.value (key: MessageSandboxing) Dipetakan langsung dari kolom "MessageSandboxing" di log mentah dan ditambahkan sebagai key-value pair ke array "security_result.detection_fields".
MessageSize security_result.detection_fields.value (key: MessageSize) Dipetakan langsung dari kolom "MessageSize" di log mentah dan ditambahkan sebagai key-value pair ke array "security_result.detection_fields".
nxlog_filename additional.fields.value.string_value (key: nxlog_filename) Dipetakan langsung dari kolom "nxlog_filename" di log mentah dan ditambahkan sebagai key-value pair ke array "additional.fields".
RecipientAddress network.email.to Dipetakan langsung dari kolom "RecipientAddress" di log mentah.
SenderIP principal.asset.ip, principal.ip Dipetakan langsung dari kolom "SenderIP" di log mentah.
SenderIPCountry principal.location.country_or_region Dipetakan langsung dari kolom "SenderIPCountry" di log mentah.
SourceModuleName principal.resource.attribute.labels.value (key: SourceModuleName) Dipetakan langsung dari kolom "SourceModuleName" di log mentah dan ditambahkan sebagai key-value pair ke array "principal.resource.attribute.labels".
SourceModuleType principal.resource.attribute.labels.value (key: SourceModuleType) Dipetakan langsung dari kolom "SourceModuleType" di log mentah dan ditambahkan sebagai key-value pair ke array "principal.resource.attribute.labels".
SpamScore security_result.detection_fields.value (key: SpamScore) Dipetakan langsung dari kolom "SpamScore" di log mentah dan ditambahkan sebagai key-value pair ke array "security_result.detection_fields".
Subjek network.email.subject Dipetakan langsung dari kolom "Subject" di log mentah.
VirusName security_result.detection_fields.value (key: VirusName) Dipetakan langsung dari kolom "VirusName" di log mentah dan ditambahkan sebagai key-value pair ke array "security_result.detection_fields".
metadata.event_type Nilai ditentukan berdasarkan keberadaan kolom lain. Jika "has_network_email_data" benar (true), nilai akan ditetapkan ke "EMAIL_TRANSACTION". Jika "has_principal" benar (true), nilai akan ditetapkan ke "STATUS_UPDATE". Jika tidak, nilai akan ditetapkan secara default ke "GENERIC_EVENT".
metadata.product_name Nilai ditetapkan ke "FORCEPOINT EMAILSECURITY".
metadata.vendor_name Nilai ditetapkan ke "FORCEPOINT EMAILSECURITY".

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.