Collecter les journaux Forcepoint Mail Relay

Version de l'analyseur : 1.0

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer les journaux Forcepoint Mail Relay dans Google Security Operations à l'aide d'Amazon S3.

Forcepoint Mail Relay est une solution de sécurité des e-mails basée dans le cloud qui protège les organisations contre les menaces transmises par e-mail, y compris le spam, l'hameçonnage, les logiciels malveillants et la perte de données. Cette solution offre un filtrage complet des e-mails, une protection contre la perte de données, un chiffrement et une protection avancée contre les menaces pour le trafic d'e-mails entrants et sortants.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Une instance Google SecOps
• Accès privilégié au portail Forcepoint Mail Relay Cloud
• Accès privilégié à AWS (S3, IAM)
• L'autorisation Log Export est activée pour votre compte administrateur Forcepoint.

Configurer le stockage Forcepoint Mail Relay Cloud SIEM

Pour configurer Forcepoint Mail Relay Cloud afin d'exporter les journaux vers votre bucket AWS S3, procédez comme suit :

1. Créez un ou plusieurs buckets AWS S3 sur le portail AWS.

   Remarque : Les noms de buckets doivent être uniques. Le chiffrement des buckets AWS S3 n'est pas pris en charge.

2. Connectez-vous au portail Forcepoint Cloud Security Gateway.

3. Accédez à Compte > Stockage SIEM.

4. Dans la section Type de stockage, sélectionnez la case d'option Apportez votre propre stockage.

5. Cliquez sur Ajouter pour ajouter votre bucket au tableau Liste de stockage : apportez votre propre stockage.

6. Dans la boîte de dialogue Ajouter un bucket, saisissez les informations suivantes :

   • Nom du bucket : saisissez le nom du bucket depuis le portail AWS (par exemple, forcepoint-email-logs).
   • Préfixe (facultatif) : saisissez un préfixe pour organiser les fichiers journaux. Utilisez / pour créer un dossier (par exemple, email-logs/). Si aucun / n'est inclus, le préfixe est ajouté au nom de fichier.

7. Cliquez sur Enregistrer. Les informations sur le bucket sont ajoutées au tableau.

8. Dans le tableau Liste de stockage : apportez votre propre stockage, cliquez sur le lien JSON dans la ligne du bucket que vous venez d'ajouter.

9. Sur la page Règle du bucket, cliquez sur Copier le texte pour copier le contenu du volet JSON dans un presse-papiers.

10. Dans la console de gestion AWS, ouvrez le service S3.

11. Sélectionnez votre bucket (par exemple, forcepoint-email-logs).

12. Accédez à Autorisations > Stratégie de bucket.

13. Cliquez sur Modifier.

14. Collez la stratégie JSON copiée depuis le portail Forcepoint.

15. Cliquez sur Enregistrer les modifications.

16. Revenez à la page SIEM Storage (Stockage SIEM) du portail Forcepoint.

17. Dans le tableau Liste de stockage : apportez votre propre stockage, cliquez sur Vérifier la connexion pour votre bucket.

    Remarque : Si la connexion aboutit, un fichier de jeton est écrit pour confirmer que des fichiers peuvent être écrits dans le bucket. Le numéro du jeton apparaît dans l'objet connection_token du bucket AWS S3. Si un dossier a été créé en fonction du préfixe, connection_token apparaît dans ce dossier. Le jeton généré est valide pendant trois heures.

18. Une fois le test de connexion réussi, sélectionnez le bouton radio Actif pour votre bucket dans le tableau Liste de stockage : apportez votre propre stockage.

    Remarque : Vous ne pouvez sélectionner qu'un seul bucket comme actif. Les données SIEM sont exportées vers le bucket actif.

19. Cliquez sur Enregistrer au bas de la page.

Activer la journalisation SIEM et configurer le format d'exportation

1. Dans le portail Forcepoint, accédez à Reporting > Account Reports > SIEM Integration.
2. Dans la liste Type de données, sélectionnez Sécurité des e-mails.

3. Définissez le paramètre Activer l'exportation des données sur ON (ACTIVÉ).

   Remarque : L'option d'exportation des données ne peut pas être activée, sauf si une option de stockage valide a été configurée dans Compte > Stockage SIEM.

4. Dans la section Attributs à gauche, faites glisser les attributs suivants dans la section Colonnes :

   • Direction
   • De : Adresse
   • Règle
   • Adresse du destinataire
   • Domaine du destinataire
   • Domaine de l'expéditeur
   • Sender Name
   • Objet
   • Action
   • Black/Whitelisted
   • Extension de pièce jointe bloquée
   • Motif du filtrage
   • IP de l'expéditeur
   • Pays de l'adresse IP de l'expéditeur
   • Type de fichier de pièce jointe
   • Nom de fichier de la pièce jointe
   • Emb. Classe de risque de l'URL
   • Emb. Gravité de l'URL
   • Chiffrement avancé
   • État du bac à sable de fichiers
   • Nom du virus
   • Date et heure
   • Message Size (Taille du message)
   • Score de spam
   • Taille de la pièce jointe
   Remarque : Assurez-vous que tous les attributs ci-dessus sont sélectionnés. L'ingestion de données ne fonctionnera pas comme prévu si des données sont manquantes.

5. Cliquez sur Enregistrer.

Configurer un bucket AWS S3 et IAM pour Google SecOps

1. Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur : Créer un bucket.

   Remarque : Vous pouvez utiliser le même bucket créé pour l'exportation Forcepoint ou créer un bucket distinct pour l'ingestion Google SecOps.

2. Enregistrez le nom et la région du bucket pour référence ultérieure (par exemple, forcepoint-email-logs).

3. Créez un utilisateur en suivant ce guide de l'utilisateur : Créer un utilisateur IAM.

4. Sélectionnez l'utilisateur créé.

5. Sélectionnez l'onglet Identifiants de sécurité.

6. Cliquez sur Créer une clé d'accès dans la section Clés d'accès.

7. Sélectionnez Service tiers comme Cas d'utilisation.

8. Cliquez sur Suivant.

9. Facultatif : Ajoutez une balise de description.

10. Cliquez sur Créer une clé d'accès.

11. Cliquez sur Télécharger le fichier .csv pour enregistrer la clé d'accès et la clé d'accès secrète pour référence ultérieure.

12. Cliquez sur OK.

13. Sélectionnez l'onglet Autorisations.

14. Cliquez sur Ajouter des autorisations dans la section Règles d'autorisation.

15. Sélectionnez Ajouter des autorisations.

16. Sélectionnez Associer directement les règles.

17. Recherchez la règle AmazonS3FullAccess.

18. Sélectionnez la règle.

19. Cliquez sur Suivant.

20. Cliquez sur Ajouter des autorisations.

Configurer un flux dans Google SecOps pour ingérer les journaux Forcepoint Mail Relay

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Ajouter un flux.
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Saisissez un nom unique pour le nom du flux.
5. Sélectionnez Amazon S3 V2 comme Type de source.
6. Sélectionnez Forcepoint Mail Relay comme Type de journal.
7. Cliquez sur Suivant, puis sur Envoyer.

8. Indiquez les valeurs des champs suivants :

   • URI S3 : s3://forcepoint-email-logs/email-logs/.
   • Option de suppression de la source : sélectionnez l'option de suppression de votre choix.
   • Âge maximal du fichier : incluez les fichiers modifiés au cours des derniers jours (180 jours par défaut).
   • ID de clé d'accès : clé d'accès utilisateur ayant accès au bucket S3.
   • Clé d'accès secrète : clé secrète de l'utilisateur ayant accès au bucket S3.
   • Espace de noms de l'élément : espace de noms de l'élément.
   • Libellés d'ingestion : libellé à appliquer aux événements de ce flux.
   Remarque : Si vous sélectionnez l'option Delete transferred files ou Delete transferred files and empty directories, assurez-vous d'avoir accordé les autorisations appropriées au compte de service.

9. Cliquez sur Suivant, puis sur Envoyer.

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
	hybridSpamScore_label.key	Défini sur "hybridSpamScore"
hybridSpamScore	hybridSpamScore_label.value	Valeur copiée directement
	localSpamScore_label.key	Défini sur "localSpamScore"
localSpamScore	localSpamScore_label.value	Valeur copiée directement
	metadata.event_type	Défini sur "GENERIC_EVENT" au départ, puis sur "EMAIL_TRANSACTION" si has_network_email est défini sur "true", sur "NETWORK_CONNECTION" si has_principal et has_target sont définis sur "true", sur "STATUS_UPDATE" si has_principal est défini sur "true", ou sur "GENERIC_EVENT" dans le cas contraire.
product_event_type	metadata.product_event_type	Valeur copiée directement
	metadata.product_name	Défini sur "FORCEPOINT_MAIL_RELAY"
	metadata.vendor_name	Défini sur "FORCEPOINT_MAIL_RELAY"
expéditeur	network.email.from	Valeur copiée directement
subject	network.email.subject	Valeur copiée directement
destinataire	network.email.to	Valeur copiée directement
identHostName	principal.asset.hostname	Valeur copiée directement
identSrc, trueSrc, src	principal.asset.ip	Valeur de src si elle n'est pas vide, sinon trueSrc si elle n'est pas vide, sinon identSrc
identHostName	principal.hostname	Valeur copiée directement
identSrc, trueSrc, src	principal.ip	Valeur de src si elle n'est pas vide, sinon trueSrc si elle n'est pas vide, sinon identSrc
expéditeur	principal.user.email_addresses	Valeur copiée directement
résumé	security_result.action	Définir sur "ALLOW" si le résumé correspond à (?i)clean
agir	security_result.action_details	Valeur copiée directement
hybridSpamScore_label, localSpamScore_label	security_result.detection_fields	Fusion de hybridSpamScore_label et localSpamScore_label
résumé	security_result.summary	Valeur copiée directement
dst	target.asset.ip	Valeur copiée directement
dst	target.ip	Valeur copiée directement
destinataire	target.user.email_addresses	Valeur copiée directement

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.