Forcepoint Email Security 로그 수집

파서 버전: 2.0

다음에서 지원:

이 문서에서는 BindPlane을 사용하여 Forcepoint Email Security 로그를 Google Security Operations로 수집하는 방법을 설명합니다. 파서는 먼저 JSON 형식 로그에서 필드를 추출하고 일부 UDM 필드를 빈 값으로 초기화합니다. 그런 다음 특정 조건 및 데이터 조작을 기반으로 추출된 필드를 Chronicle UDM 구조 내의 해당 필드에 매핑하여 궁극적으로 이메일 보안 이벤트의 통합 표현을 만듭니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • systemd가 있는 Windows 2016 이상 또는 Linux 호스트
  • 프록시 뒤에서 실행하는 경우 BindPlane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
  • Forcepoint Email Security 어플라이언스 또는 관리 콘솔에 대한 권한 있는 액세스

Bindplane 에이전트의 Google SecOps 사용자 인증 정보 가져오기

Bindplane 에이전트를 Google SecOps에 인증하려면 다음 방법 중 하나를 선택하세요.

  • 새 배포: Chronicle API (옵션 1)를 사용합니다.
  • 기존 배포: 수집 API가 2027년 7월 20일에 중단될 때까지 수집 인증 파일 (옵션 2)을 계속 사용합니다.
  1. Google Cloud 콘솔에 로그인하고 Google SecOps 인스턴스에 연결된 Google Cloud 프로젝트를 선택합니다.
  2. IAM 및 관리자 > 서비스 계정 으로 이동합니다.
  3. 서비스 계정 만들기 를 클릭합니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 서비스 계정 이름: 계정 이름을 입력합니다 (예: bindplane-ingest).
    • 서비스 계정 설명: 설명을 입력합니다 (예: Bindplane agent log ingestion).
  5. 만들고 계속하기 를 클릭합니다.
  6. 이 서비스 계정에 프로젝트에 대한 액세스 권한 부여 섹션에서 역할 선택 을 클릭하고 Chronicle 편집자 를 선택합니다.
  7. 계속을 클릭한 다음 완료를 클릭합니다.
  8. 만든 서비스 계정을 클릭한 다음 키 탭으로 이동합니다.
  9. 키 추가 > 새 키 만들기 를 클릭합니다.
  10. JSON 을 선택하고 만들기 를 클릭합니다. 키 파일이 컴퓨터에 다운로드됩니다.
  11. 키 파일을 Bindplane 수집기 디렉터리 (/opt/observiq-otel-collector/ingestion-auth.json on Linux 또는 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json on Windows)에 ingestion-auth.json으로 저장하거나 config.yaml에서 creds_file_path를 저장하는 경로와 일치하도록 업데이트합니다.
  12. IAM 및 관리자 > 설정 으로 이동하여 프로젝트 번호 를 복사합니다. 내보내기 구성에 필요합니다.

옵션 2: 수집 인증 파일 다운로드 (기존)

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 수집 에이전트 로 이동합니다.
  3. 수집 인증 파일 을 다운로드합니다.
  4. Bindplane 에이전트가 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 프로필 로 이동합니다.
  3. 조직 세부정보 섹션에서 고객 ID 를 복사하여 저장합니다.

BindPlane 에이전트 설치

다음 안내에 따라 Windows 또는 Linux 운영체제에 BindPlane 에이전트를 설치합니다.

Windows 설치

  1. 명령 프롬프트 또는 PowerShell 을 관리자로 엽니다.

  2. 다음 명령어를 실행합니다.

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 설치

  1. 루트 또는 sudo 권한으로 터미널을 엽니다.

  2. 다음 명령어를 실행합니다.

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

추가 설치 리소스

Syslog를 수집하고 Google SecOps로 전송하도록 BindPlane 에이전트 구성

  1. 구성 파일에 액세스합니다.

    • config.yaml 파일을 찾습니다. 일반적으로 Linux의 /opt/observiq-otel-collector/ 디렉터리 또는 Windows의 설치 디렉터리에 있습니다.
    • 텍스트 편집기 (예: nano, vi 또는 메모장)를 사용하여 파일을 엽니다.

  2. 다음과 같이 config.yaml 파일을 수정합니다.

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'FORCEPOINT_EMAILSECURITY'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

  3. 인프라에 필요한 대로 포트와 IP 주소를 바꿉니다.

  4. <LOCATION>을 Google SecOps 인스턴스의 리전 (예: us, europe 또는 asia-southeast1)으로 바꿉니다. 내보내기는 이 값으로 chronicle.googleapis.com에 접두사를 붙입니다.

  5. <PROJECT_NUMBER>를 IAM 및 관리자 > 설정의 프로젝트 번호로 바꿉니다.

  6. <CUSTOMER_ID>를 실제 고객 ID로 바꿉니다.

  7. 1단계에서 서비스 계정 키 파일 (옵션 1)이 저장된 파일 경로로 /path/to/ingestion-authentication-file.json을 업데이트합니다.

기존 수집 API 내보내기

  • 옵션 2의 수집 인증 파일을 사용하는 경우 exporters 블록을 다음으로 바꿉니다. creds_file_path를 수집 인증 파일의 경로로 설정하고 인스턴스가 미국 외부에 있는 경우 malachiteingestion-pa.googleapis.com을 리전 엔드포인트 (예: europe-malachiteingestion-pa.googleapis.com)로 바꿉니다.

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'FORCEPOINT_EMAILSECURITY'
    raw_log_field: body
    ingestion_labels:

변경사항을 적용하려면 BindPlane 에이전트 다시 시작

  1. Linux에서 BindPlane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

    sudo systemctl restart observiq-otel-collector

  2. Windows 에서 BindPlane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.

    net stop observiq-otel-collector && net start observiq-otel-collector

Forcepoint Email Security에서 Syslog 전달 구성

  1. Forcepoint Email Security 관리 콘솔 에 로그인합니다.
  2. 설정 > 통합 > SIEM 통합으로 이동합니다.
  3. SIEM 통합 사용 설정 을 클릭합니다.

  4. 다음 구성 세부정보를 제공합니다.

    • 형식: LEEF (로그 이벤트 확장 형식)를 선택합니다.
    • 시스템로그 서버: BindPlane 에이전트 IP 주소를 입력합니다.
    • Syslog 포트: BindPlane 에이전트 포트 번호 (예: 514)를 입력합니다.
    • 프로토콜: 실제 BindPlane 에이전트 구성에 따라 UDP 또는 TCP를 선택합니다.
    • 시설: syslog 시설 코드 (예: Local0)를 선택합니다.
    • 심각도: 로그 이벤트의 심각도 수준을 선택합니다.

  5. 저장 을 클릭합니다.

UDM 매핑 테이블

로그 필드 UDM 매핑 로직
작업 security_result.action_details 원시 로그의 '작업' 필드에서 직접 매핑됩니다.
AttachmentFilename additional.fields.value.list_value.values.string_value (키: Attachments_FileNames) 'AttachmentFilename' 필드는 쉼표로 구분된 다음 각 값이 'Attachments_FileNames' 키가 있는 'additional.fields' 배열에 string_value로 추가됩니다.
AttachmentFileType additional.fields.value.list_value.values.string_value (키: AttachmentsFileType) 'AttachmentFileType' 필드는 쉼표로 구분된 다음 각 값이 'AttachmentsFileType' 키가 있는 'additional.fields' 배열에 string_value로 추가됩니다.
AttachmentSize additional.fields.value.list_value.values.string_value (키: AttachmentsSize) 'AttachmentSize' 필드는 쉼표로 구분된 다음 각 값이 'AttachmentsSize' 키가 있는 'additional.fields' 배열에 string_value로 추가됩니다.
DateTime 제공된 UDM에 매핑되지 않습니다.
EnvelopeSender network.email.from 원시 로그의 'EnvelopeSender' 필드에서 직접 매핑됩니다.
EventReceivedTime metadata.event_timestamp 타임스탬프 형식으로 파싱되고 'metadata.event_timestamp'에 매핑됩니다.
FilteringReason security_result.category_details 원시 로그의 'FilteringReason' 필드에서 직접 매핑됩니다.
MessageSandboxing security_result.detection_fields.value (키: MessageSandboxing) 원시 로그의 'MessageSandboxing' 필드에서 직접 매핑되고 키-값 쌍으로 'security_result.detection_fields' 배열에 추가됩니다.
MessageSize security_result.detection_fields.value (키: MessageSize) 원시 로그의 'MessageSize' 필드에서 직접 매핑되고 키-값 쌍으로 'security_result.detection_fields' 배열에 추가됩니다.
nxlog_filename additional.fields.value.string_value (키: nxlog_filename) 원시 로그의 'nxlog_filename' 필드에서 직접 매핑되고 키-값 쌍으로 'additional.fields' 배열에 추가됩니다.
RecipientAddress network.email.to 원시 로그의 'RecipientAddress' 필드에서 직접 매핑됩니다.
SenderIP principal.asset.ip, principal.ip 원시 로그의 'SenderIP' 필드에서 직접 매핑됩니다.
SenderIPCountry principal.location.country_or_region 원시 로그의 'SenderIPCountry' 필드에서 직접 매핑됩니다.
SourceModuleName principal.resource.attribute.labels.value (키: SourceModuleName) 원시 로그의 'SourceModuleName' 필드에서 직접 매핑되고 키-값 쌍으로 'principal.resource.attribute.labels' 배열에 추가됩니다.
SourceModuleType principal.resource.attribute.labels.value (키: SourceModuleType) 원시 로그의 'SourceModuleType' 필드에서 직접 매핑되고 키-값 쌍으로 'principal.resource.attribute.labels' 배열에 추가됩니다.
SpamScore security_result.detection_fields.value (키: SpamScore) 원시 로그의 'SpamScore' 필드에서 직접 매핑되고 키-값 쌍으로 'security_result.detection_fields' 배열에 추가됩니다.
Subject network.email.subject 원시 로그의 'Subject' 필드에서 직접 매핑됩니다.
VirusName security_result.detection_fields.value (키: VirusName) 원시 로그의 'VirusName' 필드에서 직접 매핑되고 키-값 쌍으로 'security_result.detection_fields' 배열에 추가됩니다.
metadata.event_type 값은 다른 필드의 존재 여부에 따라 결정됩니다. 'has_network_email_data'가 true이면 값이 'EMAIL_TRANSACTION'으로 설정됩니다. 'has_principal'이 true이면 값이 'STATUS_UPDATE'로 설정됩니다. 그렇지 않으면 기본값은 'GENERIC_EVENT'입니다.
metadata.product_name 값은 'FORCEPOINT EMAILSECURITY'로 설정됩니다.
metadata.vendor_name 값은 'FORCEPOINT EMAILSECURITY'로 설정됩니다.

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.