Forcepoint Mail Relay のログを収集する

パーサーのバージョン: 1.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Amazon S3 を使用して Forcepoint Mail Relay ログを Google Security Operations に取り込む方法について説明します。

Forcepoint Mail Relay は、スパム、フィッシング、マルウェア、データ損失などのメール経由の脅威から組織を保護するクラウドベースのメール セキュリティ ソリューションです。このソリューションは、受信と送信の両方のメール トラフィックに対して、包括的なメール フィルタリング、データ損失防止（DLP）、暗号化、高度な脅威対策を提供します。

始める前に

次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス
• Forcepoint Mail Relay Cloud ポータルへの特権アクセス
• AWS（S3、IAM）への特権アクセス
• Forcepoint 管理者アカウントで Log Export 権限が有効になっている

Forcepoint Mail Relay Cloud SIEM ストレージを構成する

Forcepoint Mail Relay Cloud を構成してログを AWS S3 バケットにエクスポートするには、次の操作を行います。

1. AWS ポータルで 1 つ以上の AWS S3 バケットを作成します。

   注: バケット名はグローバルに一意でなければなりません。AWS S3 バケットの暗号化はサポートされていません。

2. Forcepoint Cloud Security Gateway Portal にログインします。

3. [アカウント> SIEM ストレージ] に移動します。

4. [ストレージ タイプ] セクションで、[独自のストレージを使用する] ラジオボタンを選択します。

5. [追加] をクリックして、バケットを [ストレージ リスト: Bring Your Own] テーブルに追加します。

6. [バケットを追加] ダイアログで、次の情報を入力します。

   • バケット名: AWS ポータルからバケット名を入力します（例: forcepoint-email-logs）。
   • 接頭辞（省略可）: ログファイルを整理するための接頭辞を入力します。/ を使用してフォルダ（email-logs/ など）を作成します。/ が含まれていない場合、接頭辞はファイル名の先頭に追加されます。

7. [保存] をクリックします。バケット情報がテーブルに追加されます。

8. [ストレージ リスト: Bring Your Own] テーブルで、追加したバケットの行にある [JSON] リンクをクリックします。

9. [バケット ポリシー] ページで、[テキストをコピー] をクリックして、JSON ペインの内容をクリップボードにコピーします。

10. AWS マネジメント コンソールで、S3 サービスを開きます。

11. バケットを選択します（例: forcepoint-email-logs）。

12. [権限> バケット ポリシー] に移動します。

13. [編集] をクリックします。

14. Forcepoint ポータルからコピーした JSON ポリシーを貼り付けます。

15. [変更を保存] をクリックします。

16. Forcepoint ポータルの [SIEM Storage] ページに戻ります。

17. [ストレージ リスト: Bring Your Own] テーブルで、バケットの [接続を確認] をクリックします。

    注: 接続に成功すると、ファイルがバケットに書き込めることを確認するために、トークン ファイルが書き込まれます。トークン番号は、AWS S3 バケットの connection_token オブジェクトに表示されます。接頭辞に基づいてフォルダが作成された場合、そのフォルダに connection_token が表示されます。生成されたトークンは 3 時間有効です。

18. 接続テストが成功したら、[ストレージ リスト: Bring Your Own] テーブルでバケットの [アクティブ] ラジオボタンを選択します。

    注: アクティブとして選択できるバケットは 1 つのみです。SIEM データはアクティブなバケットにエクスポートされます。

19. ページの下部にある [保存] をクリックします。

SIEM ロギングを有効にしてエクスポート形式を構成する

1. Forcepoint ポータルで、[Reporting] > [Account Reports] > [SIEM Integration] に移動します。
2. [データ型] リストから [メール セキュリティ] を選択します。

3. [データ エクスポートを有効にする] 切り替えボタンをオンにします。

   注: [アカウント] > [SIEM ストレージ] で有効なストレージ オプションが構成されていない限り、データのエクスポート オプションをオンにすることはできません。

4. 左側の [属性] セクションから、次の属性を [列] セクションにドラッグします。

   • 方向
   • 差出人: アドレス
   • ポリシー
   • Recipient Address
   • 受信者のドメイン
   • 送信者のドメイン
   • 送信者名
   • 件名
   • アクション
   • Black/Whitelisted
   • Blocked Attachment Ext
   • フィルタリングの理由
   • 送信者の IP
   • 送信者の IP 国
   • Attachment File Type
   • 添付ファイル名
   • Emb. URL のリスククラス
   • Emb. URL の重大度
   • 高度な暗号化
   • ファイル サンドボックスのステータス
   • ウイルスの名前
   • 日付と時刻
   • メッセージのサイズ
   • スパムスコア
   • Attachment Size
   注: 上記の属性がすべて選択されていることを確認してください。データが欠落している場合、データ取り込みは想定どおりに機能しません。

5. [保存] をクリックします。

Google SecOps 用に AWS S3 バケットと IAM を構成する

1. バケットの作成のユーザーガイドに沿って、Amazon S3 バケットを作成します。

   注: Forcepoint エクスポート用に作成したバケットを再利用することも、Google SecOps 取り込み用に別のバケットを作成することもできます。

2. バケットの名前とリージョンを保存して、後で参照できるようにします（例: forcepoint-email-logs）。

3. IAM ユーザーの作成のユーザーガイドに沿って、ユーザーを作成します。

4. 作成したユーザーを選択します。

5. [セキュリティ認証情報] タブを選択します。

6. [アクセスキー] セクションで [アクセスキーを作成] をクリックします。

7. [ユースケース] で [サードパーティ サービス] を選択します。

8. [次へ] をクリックします。

9. （省略可）説明タグを追加します。

10. [アクセスキーを作成] をクリックします。

11. [.csv ファイルをダウンロード] をクリックして、[アクセスキー] と [シークレット アクセスキー] を保存し、今後の参照に備えます。

12. [完了] をクリックします。

13. [権限] タブを選択します。

14. [権限ポリシー] セクションで [権限を追加] をクリックします。

15. [権限を追加] を選択します。

16. [ポリシーを直接アタッチする] を選択します。

17. AmazonS3FullAccess ポリシーを検索します。

18. ポリシーを選択します。

19. [次へ] をクリックします。

20. [権限を追加] をクリックします。

Forcepoint Mail Relay のログを取り込むように Google SecOps でフィードを構成する

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一のフィードを設定] をクリックします。
4. [Feed name] に一意の名前を入力します。
5. [ソースタイプ] として [Amazon S3 V2] を選択します。
6. [ログタイプ] として [Forcepoint Mail Relay] を選択します。
7. [次へ] をクリックしてから、[送信] をクリックします。

8. 次のフィールドに値を指定します。

   • S3 URI: s3://forcepoint-email-logs/email-logs/。
   • Source deletion option: 必要に応じて削除オプションを選択します。
   • ファイルの最大経過日数: 過去の日数以内に変更されたファイルを含めます（デフォルトは 180 日）。
   • アクセスキー ID: S3 バケットにアクセスできるユーザー アクセスキー。
   • シークレット アクセスキー: S3 バケットにアクセスできるユーザーのシークレット キー。
   • アセットの名前空間: アセットの名前空間。
   • Ingestion labels: このフィードのイベントに適用されるラベル。
   注: Delete transferred files オプションまたは Delete transferred files and empty directories オプションを選択する場合は、サービス アカウントに適切な権限が付与されていることを確認してください。

9. [次へ] をクリックしてから、[送信] をクリックします。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
	hybridSpamScore_label.key	「hybridSpamScore」に設定
hybridSpamScore	hybridSpamScore_label.value	値を直接コピーする
	localSpamScore_label.key	「localSpamScore」に設定
localSpamScore	localSpamScore_label.value	値を直接コピーする
	metadata.event_type	最初は「GENERIC_EVENT」に設定します。has_network_email が true の場合は「EMAIL_TRANSACTION」に設定します。それ以外の場合は、has_principal と has_target が true の場合は「NETWORK_CONNECTION」に設定します。それ以外の場合は、has_principal が true の場合は「STATUS_UPDATE」に設定します。それ以外の場合は「GENERIC_EVENT」に設定します。
product_event_type	metadata.product_event_type	値を直接コピーする
	metadata.product_name	「FORCEPOINT_MAIL_RELAY」に設定します
	metadata.vendor_name	「FORCEPOINT_MAIL_RELAY」に設定します
送信者	network.email.from	値を直接コピーする
件名	network.email.subject	値を直接コピーする
受信者	network.email.to	値を直接コピーする
identHostName	principal.asset.hostname	値を直接コピーする
identSrc、trueSrc、src	principal.asset.ip	src が空でない場合は src の値、src が空で trueSrc が空でない場合は trueSrc の値、それ以外の場合は identSrc
identHostName	principal.hostname	値を直接コピーする
identSrc、trueSrc、src	principal.ip	src が空でない場合は src の値、src が空で trueSrc が空でない場合は trueSrc の値、それ以外の場合は identSrc
送信者	principal.user.email_addresses	値を直接コピーする
概要	security_result.action	概要が (?i)clean と一致する場合は「ALLOW」に設定します
act	security_result.action_details	値を直接コピーする
hybridSpamScore_label、localSpamScore_label	security_result.detection_fields	hybridSpamScore_label と localSpamScore_label から統合
概要	security_result.summary	値を直接コピーする
dst	target.asset.ip	値を直接コピーする
dst	target.ip	値を直接コピーする
受信者	target.user.email_addresses	値を直接コピーする

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。