Raccogliere i log di Forcepoint Mail Relay

Supportato in:

Questo documento spiega come importare i log di Forcepoint Mail Relay in Google Security Operations utilizzando Amazon S3.

Forcepoint Mail Relay è una soluzione di sicurezza email basata sul cloud che protegge le organizzazioni dalle minacce veicolate via email, tra cui spam, phishing, malware e perdita di dati. La soluzione fornisce filtri email completi, prevenzione della perdita di dati (DLP), crittografia e protezione avanzata dalle minacce per il traffico email in entrata e in uscita.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Accesso con privilegi al portale Forcepoint Mail Relay Cloud
  • Accesso con privilegi ad AWS (S3, IAM)
  • Autorizzazione Esportazione log abilitata per il tuo account amministratore Forcepoint

Configurare l'archiviazione SIEM di Forcepoint Mail Relay Cloud

Per configurare Forcepoint Mail Relay Cloud in modo da esportare i log nel bucket AWS S3, procedi nel seguente modo:

  1. Crea uno o più bucket AWS S3 nel portale AWS.

  2. Accedi al portale Forcepoint Cloud Security Gateway.

  3. Vai ad Account > Archiviazione SIEM.

  4. Nella sezione Tipo di archiviazione, seleziona il pulsante di opzione Utilizza il tuo spazio di archiviazione.

  5. Fai clic su Aggiungi per aggiungere il bucket alla tabella Elenco di archiviazione: utilizza il tuo spazio di archiviazione.

  6. Nella finestra di dialogo Aggiungi bucket, inserisci quanto segue:

    • Nome bucket: inserisci il nome del bucket dal portale AWS (ad es. forcepoint-email-logs).
    • Prefisso (facoltativo): inserisci un prefisso per organizzare i file di log. Utilizza / per creare una cartella (ad es. email-logs/). Se non è incluso alcun /, il prefisso viene anteposto al nome file.

  7. Fai clic su Salva. Le informazioni del bucket vengono aggiunte alla tabella.

  8. Nella tabella Elenco di archiviazione: utilizza il tuo spazio di archiviazione, fai clic sul link JSON nella riga del bucket che hai appena aggiunto.

  9. Nella pagina Policy del bucket, fai clic su Copia testo per copiare i contenuti del riquadro JSON negli appunti.

  10. Nella console di gestione AWS, apri il servizio S3.

  11. Seleziona il bucket (ad es. forcepoint-email-logs).

  12. Vai a Autorizzazioni > Policy del bucket.

  13. Fai clic su Modifica.

  14. Incolla la policy JSON copiata dal portale Forcepoint.

  15. Fai clic su Salva modifiche.

  16. Torna alla pagina Archiviazione SIEM del portale Forcepoint.

  17. Nella tabella Elenco di archiviazione: utilizza il tuo spazio di archiviazione, fai clic su Controlla connessione per il bucket.

  18. Dopo aver superato il test di connessione, seleziona il pulsante di opzione Attivo per il bucket nella tabella Elenco di archiviazione: utilizza il tuo spazio di archiviazione.

  19. Fai clic su Salva nella parte inferiore della pagina.

Abilitare la registrazione SIEM e configurare il formato di esportazione

  1. Nel portale Forcepoint, vai a Report > Report account > Integrazione SIEM.
  2. Nell'elenco Tipo di dati, seleziona Sicurezza email.

  3. Imposta l'opzione Attiva esportazione dati su ON.

  4. Dalla sezione Attributi a sinistra, trascina i seguenti attributi nella sezione Colonne:

    • Direzione
    • Da: indirizzo
    • Norme
    • Indirizzo del destinatario
    • Dominio del destinatario
    • Dominio mittente
    • Nome mittente
    • Oggetto
    • Azione
    • In lista nera/bianca
    • Estensione allegato bloccato
    • Motivo del filtro
    • IP mittente
    • Paese IP mittente
    • Tipo di file allegato
    • Nomi dei file allegati
    • Incorporato Classe di rischio URL
    • Incorporato Gravità URL
    • Crittografia avanzata
    • Stato della sandbox dei file
    • Nome virus
    • Data e ora
    • Dimensione messaggio
    • Punteggio di spam
    • Dimensione allegato

  5. Fai clic su Salva.

Configurare il bucket AWS S3 e IAM per Google SecOps

  1. Crea un bucket Amazon S3 seguendo questa guida utente: Creazione di un bucket

  2. Salva il nome e la regione del bucket per riferimento futuro (ad es. forcepoint-email-logs).

  3. Crea un utente seguendo questa guida utente: Creazione di un utente IAM.

  4. Seleziona l'utente creato.

  5. Seleziona la scheda Credenziali di sicurezza.

  6. Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.

  7. Seleziona Servizio di terze parti come Caso d'uso.

  8. Fai clic su Avanti.

  9. (Facoltativo) Aggiungi un tag di descrizione.

  10. Fai clic su Crea chiave di accesso.

  11. Fai clic su Scarica file .csv per salvare la chiave di accesso e la chiave di accesso segreta per riferimento futuro.

  12. Fai clic su Fine.

  13. Seleziona la scheda Autorizzazioni.

  14. Fai clic su Aggiungi autorizzazioni nella sezione Policy delle autorizzazioni.

  15. Seleziona Aggiungi autorizzazioni.

  16. Seleziona Collega policy direttamente.

  17. Cerca la policy AmazonS3FullAccess.

  18. Seleziona la policy.

  19. Fai clic su Avanti.

  20. Fai clic su Aggiungi autorizzazioni.

Configurare un feed in Google SecOps per importare i log di Forcepoint Mail Relay

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Inserisci un nome univoco per il nome del feed.
  5. Seleziona Amazon S3 V2 come Tipo di origine.
  6. Seleziona Forcepoint Mail Relay come Tipo di log.
  7. Fai clic su Avanti e poi su Invia.

  8. Specifica i valori per i seguenti campi:

    • URI S3: s3://forcepoint-email-logs/email-logs/.
    • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze.
    • Durata massima dei file: includi i file modificati nell'ultimo numero di giorni (il valore predefinito è 180 giorni).
    • ID chiave di accesso: chiave di accesso utente con accesso al bucket S3.
    • Chiave di accesso segreta: chiave segreta utente con accesso al bucket S3.
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti e poi su Invia.

Tabella di mapping UDM

Campo log Mapping UDM Funzione logica
hybridSpamScore_label.key Imposta su "hybridSpamScore"
hybridSpamScore hybridSpamScore_label.value Valore copiato direttamente
localSpamScore_label.key Imposta su "localSpamScore"
localSpamScore localSpamScore_label.value Valore copiato direttamente
metadata.event_type Inizialmente impostato su "GENERIC_EVENT"; impostato su "EMAIL_TRANSACTION" se has_network_email è true; altrimenti impostato su "NETWORK_CONNECTION" se has_principal e has_target sono true; altrimenti impostato su "STATUS_UPDATE" se has_principal è true; altrimenti "GENERIC_EVENT"
product_event_type metadata.product_event_type Valore copiato direttamente
metadata.product_name Imposta su "FORCEPOINT_MAIL_RELAY"
metadata.vendor_name Imposta su "FORCEPOINT_MAIL_RELAY"
mittente network.email.from Valore copiato direttamente
oggetto network.email.subject Valore copiato direttamente
destinatario network.email.to Valore copiato direttamente
identHostName principal.asset.hostname Valore copiato direttamente
identSrc, trueSrc, src principal.asset.ip Valore da src se non è vuoto, altrimenti trueSrc se non è vuoto, altrimenti identSrc
identHostName principal.hostname Valore copiato direttamente
identSrc, trueSrc, src principal.ip Valore da src se non è vuoto, altrimenti trueSrc se non è vuoto, altrimenti identSrc
mittente principal.user.email_addresses Valore copiato direttamente
riepilogo security_result.action Imposta su "ALLOW" se il riepilogo corrisponde a (?i)clean
atto security_result.action_details Valore copiato direttamente
hybridSpamScore_label, localSpamScore_label security_result.detection_fields Unito da hybridSpamScore_label e localSpamScore_label
riepilogo security_result.summary Valore copiato direttamente
dst target.asset.ip Valore copiato direttamente
dst target.ip Valore copiato direttamente
destinatario target.user.email_addresses Valore copiato direttamente

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.