Raccogli i log di Forcepoint Mail Relay

Parser Version: 1.0

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di Forcepoint Mail Relay in Google Security Operations utilizzando Amazon S3.

Forcepoint Mail Relay è una soluzione di sicurezza email basata su cloud che protegge le organizzazioni dalle minacce trasmesse via email, tra cui spam, phishing, malware e perdita di dati. La soluzione offre un filtraggio completo delle email, la prevenzione della perdita di dati (DLP), la crittografia e la protezione avanzata dalle minacce per il traffico email in entrata e in uscita.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Accesso privilegiato al portale Forcepoint Mail Relay Cloud
• Accesso privilegiato ad AWS (S3, IAM)
• Autorizzazione Esportazione log attivata per il tuo account amministratore Forcepoint

Configura l'archiviazione Cloud SIEM di Forcepoint Mail Relay

Per configurare Forcepoint Mail Relay Cloud in modo che esporti i log nel tuo bucket AWS S3, procedi nel seguente modo:

1. Crea uno o più bucket AWS S3 nel portale AWS.

   Nota: i nomi dei bucket devono essere univoci a livello globale. La crittografia per i bucket AWS S3 non è supportata.

2. Accedi al portale Forcepoint Cloud Security Gateway.

3. Vai a Account > Spazio di archiviazione SIEM.

4. Nella sezione Tipo di archiviazione, seleziona il pulsante di opzione Bring your own storage.

5. Fai clic su Aggiungi per aggiungere il bucket alla tabella Elenco di archiviazione: porta il tuo.

6. Nella finestra di dialogo Aggiungi bucket, inserisci quanto segue:

   • Nome bucket: inserisci il nome del bucket dal portale AWS (ad esempio, forcepoint-email-logs).
   • Prefisso (facoltativo): inserisci un prefisso per organizzare i file di log. Utilizza / per creare una cartella (ad esempio email-logs/). Se non è incluso alcun /, il prefisso viene aggiunto all'inizio del nome file.

7. Fai clic su Salva. Le informazioni sul bucket vengono aggiunte alla tabella.

8. Nella tabella Elenco di archiviazione: porta il tuo, fai clic sul link JSON nella riga del bucket che hai appena aggiunto.

9. Nella pagina Bucket Policy (Norme del bucket), fai clic su Copy Text (Copia testo) per copiare i contenuti del riquadro JSON negli appunti.

10. Nella console di gestione AWS, apri il servizio S3.

11. Seleziona il bucket (ad esempio, forcepoint-email-logs).

12. Vai a Autorizzazioni > Policy del bucket.

13. Fai clic su Modifica.

14. Incolla i criteri JSON copiati dal portale Forcepoint.

15. Fai clic su Salva modifiche.

16. Torna alla pagina SIEM Storage del portale Forcepoint.

17. Nella tabella Elenco di archiviazione: porta il tuo, fai clic su Controlla connessione per il tuo bucket.

    Nota :se la connessione viene stabilita, viene scritto un file token per confermare che i file possono essere scritti nel bucket. Il numero del token viene visualizzato nell'oggetto connection_token nel bucket AWS S3. Se è stata creata una cartella in base al prefisso, in questa cartella viene visualizzato connection_token. Il token generato è valido per 3 ore.

18. Una volta superato il test di connessione, seleziona il pulsante di opzione Attivo per il tuo bucket nella tabella Elenco di archiviazione: porta il tuo.

    Nota: è possibile selezionare un solo bucket come attivo. I dati SIEM vengono esportati nel bucket attivo.

19. Fai clic su Salva in fondo alla pagina.

Attiva la registrazione SIEM e configura il formato di esportazione

1. Nel portale Forcepoint, vai a Reporting > Report account > Integrazione SIEM.
2. Dall'elenco Tipo di dati, seleziona Sicurezza email.

3. Imposta l'opzione di attivazione/disattivazione Attiva esportazione dati su ON.

   Nota: l'opzione per esportare i dati non può essere impostata su ON a meno che non sia stata configurata un'opzione di archiviazione valida in Account > Archiviazione SIEM.

4. Dalla sezione Attributi a sinistra, trascina i seguenti attributi nella sezione Colonne:

   • Direzione
   • Da: indirizzo
   • Policy
   • Indirizzo del destinatario
   • Dominio destinatario
   • Dominio mittente
   • Nome del mittente
   • Oggetto
   • Azione
   • Black/Whitelisted
   • Estensione allegato bloccato
   • Motivo del filtro
   • IP mittente
   • Paese dell'IP mittente
   • Tipo di file allegato
   • Nome file allegato
   • Emb. Classe di rischio dell'URL
   • Emb. Gravità URL
   • Crittografia avanzata
   • Stato della sandbox dei file
   • Nome virus
   • Data e ora
   • Dimensione messaggio
   • Punteggio spam
   • Dimensioni allegato
   Nota: assicurati che tutti gli attributi precedenti siano selezionati. L'importazione dei dati non funzionerà come previsto se i dati sono mancanti.

5. Fai clic su Salva.

Configura il bucket AWS S3 e IAM per Google SecOps

1. Crea un bucket Amazon S3 seguendo questa guida dell'utente: Creazione di un bucket

   Nota: puoi utilizzare lo stesso bucket creato per l'esportazione di Forcepoint o crearne uno separato per l'importazione di Google SecOps.

2. Salva il nome e la regione del bucket per riferimento futuro (ad esempio, forcepoint-email-logs).

3. Crea un utente seguendo questa guida utente: Creazione di un utente IAM.

4. Seleziona l'utente creato.

5. Seleziona la scheda Credenziali di sicurezza.

6. Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.

7. Seleziona Servizio di terze parti come Caso d'uso.

8. Fai clic su Avanti.

9. (Facoltativo) Aggiungi il tag di descrizione.

10. Fai clic su Crea chiave di accesso.

11. Fai clic su Scarica file .csv per salvare la chiave di accesso e la chiave di accesso segreta per riferimento futuro.

12. Fai clic su Fine.

13. Seleziona la scheda Autorizzazioni.

14. Fai clic su Aggiungi autorizzazioni nella sezione Criteri per le autorizzazioni.

15. Seleziona Aggiungi autorizzazioni.

16. Seleziona Allega direttamente le norme.

17. Cerca la policy AmazonS3FullAccess.

18. Seleziona la policy.

19. Fai clic su Avanti.

20. Fai clic su Aggiungi autorizzazioni.

Configura un feed in Google SecOps per importare i log di Forcepoint Mail Relay

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Inserisci un nome univoco per il nome feed.
5. Seleziona Amazon S3 V2 come Tipo di origine.
6. Seleziona Forcepoint Mail Relay come Tipo di log.
7. Fai clic su Avanti e poi su Invia.

8. Specifica i valori per i seguenti campi:

   • URI S3: s3://forcepoint-email-logs/email-logs/.
   • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze.
   • Età massima file: includi i file modificati nell'ultimo numero di giorni (il valore predefinito è 180 giorni).
   • ID chiave di accesso: chiave di accesso utente con accesso al bucket S3.
   • Chiave di accesso segreta: chiave segreta dell'utente con accesso al bucket S3.
   • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
   • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
   Nota: se selezioni l'opzione Delete transferred files o Delete transferred files and empty directories, assicurati di aver concesso le autorizzazioni appropriate al service account.

9. Fai clic su Avanti e poi su Invia.

Tabella di mappatura UDM

Campo log	mappatura UDM	Logica
	hybridSpamScore_label.key	Impostato su "hybridSpamScore"
hybridSpamScore	hybridSpamScore_label.value	Valore copiato direttamente
	localSpamScore_label.key	Impostato su "localSpamScore"
localSpamScore	localSpamScore_label.value	Valore copiato direttamente
	metadata.event_type	Inizialmente impostato su "GENERIC_EVENT"; impostato su "EMAIL_TRANSACTION" se has_network_email è true; altrimenti impostato su "NETWORK_CONNECTION" se has_principal e has_target sono true; altrimenti impostato su "STATUS_UPDATE" se has_principal è true; altrimenti "GENERIC_EVENT"
product_event_type	metadata.product_event_type	Valore copiato direttamente
	metadata.product_name	Impostato su "FORCEPOINT_MAIL_RELAY"
	metadata.vendor_name	Impostato su "FORCEPOINT_MAIL_RELAY"
mittente	network.email.from	Valore copiato direttamente
subject	network.email.subject	Valore copiato direttamente
destinatario	network.email.to	Valore copiato direttamente
identHostName	principal.asset.hostname	Valore copiato direttamente
identSrc, trueSrc, src	principal.asset.ip	Valore di src se non è vuoto, altrimenti trueSrc se non è vuoto, altrimenti identSrc
identHostName	principal.hostname	Valore copiato direttamente
identSrc, trueSrc, src	principal.ip	Valore di src se non è vuoto, altrimenti trueSrc se non è vuoto, altrimenti identSrc
mittente	principal.user.email_addresses	Valore copiato direttamente
riepilogo	security_result.action	Imposta su "ALLOW" se il riepilogo corrisponde a (?i)clean
act	security_result.action_details	Valore copiato direttamente
hybridSpamScore_label, localSpamScore_label	security_result.detection_fields	Unito da hybridSpamScore_label e localSpamScore_label
riepilogo	security_result.summary	Valore copiato direttamente
dst	target.asset.ip	Valore copiato direttamente
dst	target.ip	Valore copiato direttamente
destinatario	target.user.email_addresses	Valore copiato direttamente

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.