Forcepoint Mail Relay-Logs erfassen

Parserversion: 1.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Forcepoint Mail Relay-Logs mit Amazon S3 in Google Security Operations aufnehmen.

Forcepoint Mail Relay ist eine cloudbasierte E‑Mail-Sicherheitslösung, die Unternehmen vor E‑Mail-basierten Bedrohungen wie Spam, Phishing, Malware und Datenverlust schützt. Die Lösung bietet umfassende E‑Mail-Filterung, Schutz vor Datenverlust (Data Loss Prevention, DLP), Verschlüsselung und erweiterten Schutz vor Bedrohungen für ein- und ausgehenden E‑Mail-Traffic.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

• Eine Google SecOps-Instanz
• Berechtigter Zugriff auf das Forcepoint Mail Relay Cloud-Portal
• Privilegierter Zugriff auf AWS (S3, IAM)
• Die Berechtigung Log Export (Log-Export) ist für Ihr Forcepoint-Administratorkonto aktiviert.

Forcepoint Mail Relay Cloud SIEM-Speicher konfigurieren

So konfigurieren Sie Forcepoint Mail Relay Cloud, um Protokolle in Ihren AWS S3-Bucket zu exportieren:

1. Erstellen Sie im AWS-Portal einen oder mehrere AWS S3-Buckets.

   Hinweis :Bucket-Namen müssen global eindeutig sein. Die Verschlüsselung für die AWS S3-Buckets wird nicht unterstützt.

2. Melden Sie sich im Forcepoint Cloud Security Gateway-Portal an.

3. Klicken Sie auf Konto > SIEM-Speicher.

4. Wählen Sie im Abschnitt Speichertyp das Optionsfeld Eigenen Speicher verwenden aus.

5. Klicken Sie auf Hinzufügen, um den Bucket der Tabelle Speicherliste: Bring Your Own hinzuzufügen.

6. Geben Sie im Dialogfeld Bucket hinzufügen Folgendes ein:

   • Bucket-Name: Geben Sie den Bucket-Namen aus dem AWS-Portal ein, z. B. forcepoint-email-logs.
   • Präfix (optional): Geben Sie ein Präfix ein, um Logdateien zu organisieren. Verwenden Sie /, um einen Ordner zu erstellen (z. B. email-logs/). Wenn kein / enthalten ist, wird das Präfix dem Dateinamen vorangestellt.

7. Klicken Sie auf Speichern. Die Bucket-Informationen werden der Tabelle hinzugefügt.

8. Klicken Sie in der Tabelle Storage List: Bring Your Own (Speicherliste: Bring Your Own) in der Zeile für den Bucket, den Sie gerade hinzugefügt haben, auf den Link JSON.

9. Klicken Sie auf der Seite Bucket-Richtlinie auf Text kopieren, um den Inhalt des JSON-Bereichs in die Zwischenablage zu kopieren.

10. Öffnen Sie in der AWS Management Console den S3-Dienst.

11. Wählen Sie Ihren Bucket aus (z. B. forcepoint-email-logs).

12. Rufen Sie Berechtigungen > Bucket-Richtlinie auf.

13. Klicken Sie auf Bearbeiten.

14. Fügen Sie die JSON-Richtlinie ein, die Sie aus dem Forcepoint-Portal kopiert haben.

15. Klicken Sie auf Änderungen speichern.

16. Kehren Sie zum Forcepoint-Portal auf die Seite SIEM Storage zurück.

17. Klicken Sie in der Tabelle Storage List: Bring Your Own (Speicherliste: Bring Your Own) für Ihren Bucket auf Check connection (Verbindung prüfen).

    Hinweis :Wenn die Verbindung erfolgreich ist, wird eine Tokendatei geschrieben, um zu bestätigen, dass Dateien in den Bucket geschrieben werden können. Die Tokennummer wird im Objekt connection_token im AWS S3-Bucket angezeigt. Wenn ein Ordner auf Grundlage des Präfixes erstellt wurde, wird connection_token in diesem Ordner angezeigt. Das generierte Token ist 3 Stunden lang gültig.

18. Wenn der Verbindungstest erfolgreich war, wählen Sie in der Tabelle Speicherliste: Bring Your Own die Schaltfläche Aktiv für Ihren Bucket aus.

    Hinweis :Es kann nur ein Bucket als „Aktiv“ ausgewählt werden. SIEM-Daten werden in den aktiven Bucket exportiert.

19. Klicken Sie unten auf der Seite auf Speichern.

SIEM-Logging aktivieren und Exportformat konfigurieren

1. Rufen Sie im Forcepoint-Portal Reporting > Account Reports > SIEM Integration auf.
2. Wählen Sie in der Liste Datentyp die Option E‑Mail-Sicherheit aus.

3. Stellen Sie die Option Datenexport aktivieren auf EIN.

   Hinweis: Die Option zum Exportieren von Daten kann nur auf „EIN“ gesetzt werden, wenn unter Konto > SIEM-Speicher eine gültige Speicheroption konfiguriert wurde.

4. Ziehen Sie im Bereich Attribute auf der linken Seite die folgenden Attribute in den Bereich Spalten:

   • Richtung
   • Von: Adresse
   • Richtlinie
   • Empfängeradresse
   • Empfängerdomain
   • Absenderdomain
   • Sender Name
   • Betreff
   • Aktion
   • Schwarz/Auf der Whitelist
   • Blockierte Anhangserweiterung
   • Grund für das Herausfiltern
   • Absender-IP
   • Land der Absender-IP
   • Dateityp des Anhangs
   • Dateiname des Anhangs
   • Emb. URL-Risikoklasse
   • Emb. Schweregrad der URL
   • Erweiterte Verschlüsselung
   • Status der Dateisandbox
   • Virusname
   • Datum und Uhrzeit
   • Nachrichtengröße
   • Spam-Wert
   • Anhanggröße
   Hinweis :Achten Sie darauf, dass alle oben genannten Attribute ausgewählt sind. Die Datenerfassung funktioniert nicht wie erwartet, wenn Daten fehlen.

5. Klicken Sie auf Speichern.

AWS S3-Bucket und IAM für Google SecOps konfigurieren

1. Erstellen Sie einen Amazon S3-Bucket. Folgen Sie dazu der Anleitung in diesem Nutzerhandbuch: Bucket erstellen.

   Hinweis :Sie können denselben Bucket verwenden, der für den Forcepoint-Export erstellt wurde, oder einen separaten Bucket für die Google SecOps-Aufnahme erstellen.

2. Speichern Sie den Namen und die Region des Buckets zur späteren Verwendung (z. B. forcepoint-email-logs).

3. Erstellen Sie einen Nutzer gemäß dieser Anleitung: IAM-Nutzer erstellen.

4. Wählen Sie den erstellten Nutzer aus.

5. Wählen Sie den Tab Sicherheitsanmeldedaten aus.

6. Klicken Sie im Bereich Zugriffsschlüssel auf Zugriffsschlüssel erstellen.

7. Wählen Sie Drittanbieterdienst als Anwendungsfall aus.

8. Klicken Sie auf Weiter.

9. Optional: Fügen Sie ein Beschreibungstag hinzu.

10. Klicken Sie auf Zugriffsschlüssel erstellen.

11. Klicken Sie auf CSV-Datei herunterladen, um den Zugriffsschlüssel und den geheimen Zugriffsschlüssel für die zukünftige Verwendung zu speichern.

12. Klicken Sie auf Fertig.

13. Wählen Sie den Tab Berechtigungen aus.

14. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.

15. Wählen Sie Berechtigungen hinzufügen aus.

16. Wählen Sie Richtlinien direkt anhängen aus.

17. Suchen Sie nach der Richtlinie AmazonS3FullAccess.

18. Wählen Sie die Richtlinie aus.

19. Klicken Sie auf Weiter.

20. Klicken Sie auf Berechtigungen hinzufügen.

Feed in Google SecOps konfigurieren, um Forcepoint Mail Relay-Logs aufzunehmen

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
4. Geben Sie einen eindeutigen Namen für den Feednamen ein.
5. Wählen Sie Amazon S3 V2 als Quelltyp aus.
6. Wählen Sie Forcepoint Mail Relay als Log type (Protokolltyp) aus.
7. Klicken Sie auf Weiter und dann auf Senden.

8. Geben Sie Werte für die folgenden Felder an:

   • S3-URI: s3://forcepoint-email-logs/email-logs/.
   • Option zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus.
   • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage).
   • Zugriffsschlüssel-ID: Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket.
   • Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.
   • Asset-Namespace: Der Asset-Namespace.
   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
   Hinweis: Wenn Sie die Option Delete transferred files oder Delete transferred files and empty directories auswählen, müssen Sie dem Dienstkonto die entsprechenden Berechtigungen erteilen.

9. Klicken Sie auf Weiter und dann auf Senden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
	hybridSpamScore_label.key	Auf „hybridSpamScore“ festgelegt
hybridSpamScore	hybridSpamScore_label.value	Wert direkt kopiert
	localSpamScore_label.key	Auf „localSpamScore“ festgelegt
localSpamScore	localSpamScore_label.value	Wert direkt kopiert
	metadata.event_type	Anfangs auf „GENERIC_EVENT“ festgelegt; auf „EMAIL_TRANSACTION“ festgelegt, wenn „has_network_email“ auf „true“ gesetzt ist; andernfalls auf „NETWORK_CONNECTION“ festgelegt, wenn „has_principal“ und „has_target“ auf „true“ gesetzt sind; andernfalls auf „STATUS_UPDATE“ festgelegt, wenn „has_principal“ auf „true“ gesetzt ist; andernfalls „GENERIC_EVENT“
product_event_type	metadata.product_event_type	Wert direkt kopiert
	metadata.product_name	Auf „FORCEPOINT_MAIL_RELAY“ festgelegt
	metadata.vendor_name	Auf „FORCEPOINT_MAIL_RELAY“ festgelegt
sender	network.email.from	Wert direkt kopiert
subject	network.email.subject	Wert direkt kopiert
Empfänger	network.email.to	Wert direkt kopiert
identHostName	principal.asset.hostname	Wert direkt kopiert
identSrc, trueSrc, src	principal.asset.ip	Wert aus „src“, falls nicht leer, andernfalls „trueSrc“, falls nicht leer, andernfalls „identSrc“
identHostName	principal.hostname	Wert direkt kopiert
identSrc, trueSrc, src	principal.ip	Wert aus „src“, falls nicht leer, andernfalls „trueSrc“, falls nicht leer, andernfalls „identSrc“
sender	principal.user.email_addresses	Wert direkt kopiert
Zusammenfassung	security_result.action	Auf „ALLOW“ setzen, wenn die Zusammenfassung mit (?i)clean übereinstimmt
handeln	security_result.action_details	Wert direkt kopiert
hybridSpamScore_label, localSpamScore_label	security_result.detection_fields	Zusammengeführt aus „hybridSpamScore_label“ und „localSpamScore_label“
Zusammenfassung	security_result.summary	Wert direkt kopiert
dst	target.asset.ip	Wert direkt kopiert
dst	target.ip	Wert direkt kopiert
Empfänger	target.user.email_addresses	Wert direkt kopiert

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten