איסוף יומנים של Forcepoint Mail Relay

גרסת כלי הניתוח: 1.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Forcepoint Mail Relay ב-Google Security Operations באמצעות Amazon S3.

‫Forcepoint Mail Relay הוא פתרון אבטחת אימייל מבוסס-ענן שמגן על ארגונים מפני איומים שמגיעים באימייל, כולל ספאם, פישינג, תוכנות זדוניות ואובדן נתונים. הפתרון מספק סינון מקיף של אימיילים, מניעת אובדן נתונים (DLP), הצפנה והגנה מתקדמת מפני איומים על תעבורת אימיילים נכנסים ויוצאים.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• גישה עם הרשאות לפורטל Forcepoint Mail Relay Cloud
• גישת אדמין ל-AWS‏ (S3, ‏ IAM)
• ההרשאה Log Export מופעלת בחשבון האדמין של Forcepoint

הגדרת אחסון ב-Cloud SIEM של Forcepoint Mail Relay

כדי להגדיר את Forcepoint Mail Relay Cloud לייצוא יומנים לקטגוריית AWS S3, מבצעים את הפעולות הבאות:

1. יוצרים קטגוריה אחת או יותר של AWS S3 בפורטל AWS.

   הערה: שמות של קטגוריות צריכים להיות ייחודיים באופן גלובלי. הצפנה של קטגוריות AWS S3 לא נתמכת.

2. נכנסים ל-Forcepoint Cloud Security Gateway Portal.

3. עוברים אל חשבון > אחסון SIEM.

4. בקטע סוג אחסון, בוחרים בלחצן הבחירה שימוש באחסון משלכם.

5. לוחצים על הוספה כדי להוסיף את ה-bucket לטבלה רשימת אחסון: שימוש באחסון משלכם.

6. בתיבת הדו-שיח Add Bucket (הוספת מאגר), מזינים את הפרטים הבאים:

   • שם הקטגוריה: מזינים את שם הקטגוריה מפורטל AWS (לדוגמה, forcepoint-email-logs).
   • קידומת (אופציונלי): מזינים קידומת כדי לארגן את קובצי היומן. משתמשים ב-/ כדי ליצור תיקייה (לדוגמה, email-logs/). אם לא מציינים /, הקידומת מתווספת לפני שם הקובץ.

7. לוחצים על Save. פרטי ה-bucket יתווספו לטבלה.

8. בטבלה Storage List: Bring Your Own, לוחצים על הקישור JSON בשורה של הקטגוריה שהוספתם.

9. בדף Bucket Policy (מדיניות לגבי מאגר), לוחצים על Copy Text (העתקת טקסט) כדי להעתיק את התוכן של חלונית ה-JSON ללוח.

10. במסוף הניהול של AWS, פותחים את שירות S3.

11. בוחרים את ה-bucket (לדוגמה, forcepoint-email-logs).

12. עוברים אל Permissions > Bucket policy (הרשאות > מדיניות לגבי דלי).

13. לוחצים על Edit.

14. מדביקים את מדיניות ה-JSON שהועתקה מפורטל Forcepoint.

15. לוחצים על שמירת השינויים.

16. חוזרים לדף SIEM Storage בפורטל Forcepoint.

17. בטבלה Storage List: Bring Your Own, לוחצים על Check connection ליד הקטגוריה.

    הערה: אם החיבור יצליח, ייכתב קובץ טוקן כדי לאשר שאפשר לכתוב קבצים בדלי. מספר האסימון מופיע באובייקט connection_token בקטגוריית AWS S3. אם נוצרה תיקייה על סמך הקידומת, הקובץ connection_token יופיע בתיקייה הזו. הטוקן שנוצר תקף ל-3 שעות.

18. אחרי שהבדיקה של הקישור מצליחה, בוחרים את לחצן האפשרות פעיל בשורה של הקטגוריה בטבלה רשימת אחסון: שימוש באחסון משלכם.

    הערה: אפשר לבחור רק דלי אחד כפעיל. נתוני SIEM מיוצאים לקטגוריה הפעילה.

19. לוחצים על שמירה בתחתית הדף.

הפעלת רישום ביומן SIEM והגדרת פורמט הייצוא

1. בפורטל Forcepoint, עוברים אל Reporting > Account Reports > SIEM Integration (דיווח > דוחות חשבון > שילוב SIEM).
2. ברשימה סוג הנתונים, בוחרים באפשרות אבטחת אימייל.

3. מעבירים את המתג הפעלת ייצוא נתונים למצב מופעל.

   הערה: אי אפשר להפעיל את האפשרות לייצוא נתונים אם לא הוגדרה אפשרות אחסון תקינה בחשבון > אחסון SIEM.

4. בקטע מאפיינים בצד ימין, גוררים את המאפיינים הבאים לקטע עמודות:

   • כיוון
   • מאת: כתובת
   • מדיניות
   • כתובת הנמען
   • דומיין הנמען
   • דומיין השולח
   • שם השולח
   • נושא
   • פעולה
   • שחור/ברשימת ההיתרים
   • קובץ מצורף חסום
   • הסיבה לסינון
   • כתובת ה-IP של השולח
   • המדינה שכתובת ה-IP של השולח ממוקמת בה
   • סוג הקובץ המצורף
   • שם קובץ מצורף
   • Emb. סיווג הסיכון של כתובת ה-URL
   • Emb. מידת החומרה של כתובת ה-URL
   • הצפנה מתקדמת
   • סטטוס ארגז החול של הקובץ
   • שם הווירוס
   • תאריך ושעה
   • גודל ההודעה
   • ציון ספאם
   • גודל הקובץ המצורף
   הערה: חשוב לוודא שכל המאפיינים שלמעלה מסומנים. אם חסרים נתונים, הטמעת הנתונים לא תפעל כמצופה.

5. לוחצים על Save.

הגדרה של קטגוריית AWS S3 ו-IAM ל-Google SecOps

1. יוצרים קטגוריה ב-Amazon S3 לפי המדריך למשתמש: יצירת קטגוריה

   הערה: אפשר להשתמש באותה קטגוריה שנוצרה לייצוא של Forcepoint, או ליצור קטגוריה נפרדת להעברה של Google SecOps.

2. שומרים את השם והאזור של הקטגוריה לעיון בהמשך (לדוגמה, forcepoint-email-logs).

3. יוצרים משתמש לפי מדריך המשתמש הזה: יצירת משתמש IAM.

4. בוחרים את המשתמש שנוצר.

5. לוחצים על הכרטיסייה פרטי כניסה לאבטחה.

6. בקטע מפתחות גישה, לוחצים על יצירת מפתח גישה.

7. בוחרים באפשרות שירות של צד שלישי בתור תרחיש שימוש.

8. לוחצים על הבא.

9. אופציונלי: מוסיפים תג תיאור.

10. לוחצים על Create access key (יצירת מפתח גישה).

11. לוחצים על הורדת קובץ CSV כדי לשמור את מפתח הגישה ואת מפתח הגישה הסודי לעיון עתידי.

12. לוחצים על סיום.

13. לוחצים על הכרטיסייה הרשאות.

14. בקטע Permissions policies, לוחצים על Add permissions.

15. לוחצים על הוספת הרשאות.

16. בוחרים באפשרות צירוף מדיניות ישירות.

17. מחפשים את המדיניות AmazonS3FullAccess.

18. בוחרים את המדיניות.

19. לוחצים על הבא.

20. לוחצים על הוספת הרשאות.

הגדרה של פיד ב-Google SecOps להטמעה של יומנים מ-Forcepoint Mail Relay

1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
2. לוחצים על הוספת פיד חדש.
3. בדף הבא, לוחצים על הגדרת פיד יחיד.
4. מזינים שם ייחודי בשם הפיד.
5. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
6. בוחרים באפשרות Forcepoint Mail Relay בתור סוג היומן.
7. לוחצים על הבא ואז על שליחה.

8. מציינים ערכים בשדות הבאים:

   • S3 URI: s3://forcepoint-email-logs/email-logs/.
   • אפשרות למחיקת מקור: בוחרים את אפשרות המחיקה הרצויה.
   • הגיל המקסימלי של הקובץ: כולל קבצים ששונו במספר הימים האחרון (ברירת המחדל היא 180 ימים).
   • מזהה מפתח הגישה: מפתח הגישה של המשתמש עם גישה לקטגוריית S3.
   • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3.
   • מרחב השמות של הנכס: מרחב השמות של הנכס.
   • תוויות להוספה: התווית שתתווסף לאירועים מהפיד הזה.
   הערה: אם בוחרים באפשרות Delete transferred files או Delete transferred files and empty directories, חשוב לוודא שהענקתם לחשבון השירות את ההרשאות המתאימות.

9. לוחצים על הבא ואז על שליחה.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
	hybridSpamScore_label.key	ההגדרה היא hybridSpamScore
hybridSpamScore	hybridSpamScore_label.value	הערך הועתק ישירות
	localSpamScore_label.key	ההגדרה היא localSpamScore
localSpamScore	localSpamScore_label.value	הערך הועתק ישירות
	metadata.event_type	הערך הראשוני הוא GENERIC_EVENT. אם has_network_email הוא true, הערך הוא EMAIL_TRANSACTION. אם has_principal ו-has_target הם true, הערך הוא NETWORK_CONNECTION. אם has_principal הוא true, הערך הוא STATUS_UPDATE. אחרת, הערך הוא GENERIC_EVENT.
product_event_type	metadata.product_event_type	הערך הועתק ישירות
	metadata.product_name	ההגדרה היא FORCEPOINT_MAIL_RELAY
	metadata.vendor_name	ההגדרה היא FORCEPOINT_MAIL_RELAY
השולח/ת	network.email.from	הערך הועתק ישירות
נושא	network.email.subject	הערך הועתק ישירות
נמען	network.email.to	הערך הועתק ישירות
identHostName	principal.asset.hostname	הערך הועתק ישירות
identSrc, trueSrc, src	principal.asset.ip	הערך מ-src אם הוא לא ריק, אחרת הערך מ-trueSrc אם הוא לא ריק, אחרת הערך מ-identSrc
identHostName	principal.hostname	הערך הועתק ישירות
identSrc, trueSrc, src	principal.ip	הערך מ-src אם הוא לא ריק, אחרת הערך מ-trueSrc אם הוא לא ריק, אחרת הערך מ-identSrc
השולח/ת	principal.user.email_addresses	הערך הועתק ישירות
סיכום	security_result.action	הערך צריך להיות ALLOW אם הסיכום תואם ל-clean (בלי הבדל בין אותיות רישיות לרגילות)
לפעול	security_result.action_details	הערך הועתק ישירות
hybridSpamScore_label, localSpamScore_label	security_result.detection_fields	מוזגו מהתוויות hybridSpamScore_label ו-localSpamScore_label
סיכום	security_result.summary	הערך הועתק ישירות
dst	target.asset.ip	הערך הועתק ישירות
dst	target.ip	הערך הועתק ישירות
נמען	target.user.email_addresses	הערך הועתק ישירות

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.