Coletar registros do Fortinet FortiMail

Versão do analisador:3.0

Compatível com:

Este documento explica como ingerir registros do Fortinet FortiMail no Google Security Operations usando o agente Bindplane.

O FortiMail da Fortinet é um terminal de segurança de e-mail que gera mensagens syslog para transações de e-mail, filtragem de spam, detecção de vírus, eventos de autenticação e aplicação de políticas. O analisador extrai pares de chave-valor, normaliza carimbos de data/hora e endereços IP e os mapeia para o modelo de dados unificado (UDM).

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Uma instância do Google SecOps
  • Windows Server 2016 ou mais recente ou host Linux com systemd
  • Conectividade de rede entre o agente do Bindplane e o FortiMail da Fortinet
  • Se estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente Bindplane.
  • Acesso privilegiado ao Fortinet FortiMail

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Baixe o arquivo de autenticação de ingestão.

  4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.

  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

Instale o agente do Bindplane no sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o prompt de comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sc query observiq-otel-collector

    O serviço vai aparecer como EM EXECUÇÃO.

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sudo systemctl status observiq-otel-collector

    O serviço vai aparecer como ativo (em execução).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

Localizar o arquivo de configuração

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Editar o arquivo de configuração

  • Substitua todo o conteúdo de config.yaml pela seguinte configuração:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/fortinet_fortimail:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: FORTINET_FORTIMAIL
        raw_log_field: body

service:
    pipelines:
        logs/fortinet_fortimail_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/fortinet_fortimail

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

  • Configuração do receptor:

    • listen_address: endereço IP e porta a serem detectados:
      • 0.0.0.0 para detectar em todas as interfaces (recomendado)
      • A porta 514 é a porta padrão do syslog. Ela exige acesso root no Linux. Use 1514 para acesso não root.

  • Configuração do exportador:

    • creds_file_path: caminho completo para o arquivo de autenticação de ingestão:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID do cliente copiado do console do Google SecOps
    • endpoint: URL do endpoint regional:
      • EUA: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Ásia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Consulte a lista completa em Endpoints regionais.

Salve o arquivo de configuração.

  • Depois de editar, salve o arquivo:
    • Linux: pressione Ctrl+O, Enter e Ctrl+X.
    • Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças

  • Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifique se o serviço está em execução:

      sudo systemctl status observiq-otel-collector

    2. Verifique se há erros nos registros:

      sudo journalctl -u observiq-otel-collector -f

  • Para reiniciar o agente do Bindplane no Windows, escolha uma das seguintes opções:

    • Prompt de comando ou PowerShell como administrador:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console de serviços:

      1. Pressione Win+R, digite services.msc e pressione Enter.
      2. Localize o Coletor do OpenTelemetry da observIQ.
      3. Clique com o botão direito do mouse e selecione Reiniciar.

      4. Verifique se o serviço está em execução:

        sc query observiq-otel-collector

      5. Verifique se há erros nos registros:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurar o syslog do Fortinet FortiMail

  1. Faça login na interface da Web do dispositivo FortiMail.
  2. Selecione Registro e relatório > Configurações de registro > Remoto.
  3. Clique em Nova para criar uma entrada.
  4. Na caixa de diálogo que aparece, selecione Ativar para permitir o registro em um host remoto.
  5. Forneça os seguintes detalhes:
    • Nome: insira um nome exclusivo e significativo.
    • Nome/IP do servidor: insira o endereço IP do Bindplane.
    • Porta do servidor: insira o número da porta UDP do Bindplane.
    • Nível: selecione Informação como o nível de gravidade.
    • Unidade: insira um identificador exclusivo e verifique se nenhum outro dispositivo de rede usa o mesmo identificador.
    • Desmarque Formato CSV.
    • Protocolo de registro: selecione Syslog.
    • Configuração da política de geração de registros: ative o encaminhamento de todos os tipos de eventos ou registros.
  6. Clique em Criar.

Tabela de mapeamento de UDM

Campo de registro Mapeamento de UDM Lógica
authid read_only_udm.target.user.email_addresses Se o campo authid contiver @, mapeie para este campo.
authid read_only_udm.target.user.userid Mapear o campo authid para este campo
criptografia read_only_udm.network.tls.cipher Mapear o campo cipher para este campo
client_ip read_only_udm.principal.ip Mapear o campo client_ip para este campo
client_name read_only_udm.principal.hostname Mapear o campo client_name para este campo
detail read_only_udm.security_result.summary Mapear o campo detail para este campo
device_id read_only_udm.principal.resource.id Mapear o campo device_id para este campo
devname read_only_udm.principal.resource.name Mapear o campo devname para este campo
direção read_only_udm.network.direction Se o campo direction for igual a out, mapeie o valor OUTBOUND. Se o campo direction for igual a in, mapeie o valor INBOUND. Caso contrário, mapeie o valor UNKNOWN_DIRECTION.
disposition read_only_udm.security_result.detection_fields.value Mapeie o campo disposition para este campo quando o campo de chave for igual a Disposition
domínio read_only_udm.principal.administrative_domain Mapear o campo domain para este campo
dst_ip read_only_udm.target.ip Mapear o campo dst_ip para este campo
de read_only_udm.network.email.from Se o campo from contiver @, mapeie para este campo.
log_id read_only_udm.metadata.product_log_id Mapear o campo log_id para este campo
message_id read_only_udm.network.email.mail_id Mapear o campo message_id para este campo
message_length read_only_udm.additional.fields.value.number_value Mapeie o campo message_length para este campo quando o campo de chave for igual a message_length.
msg read_only_udm.security_result.description Mapear o campo msg para este campo
polid read_only_udm.security_result.detection_fields.value Mapeie o campo polid para este campo quando o campo de chave for igual a Polid
redirecionamento read_only_udm.intermediary.ip Mapear o campo relay para este campo
resolvido read_only_udm.security_result.detection_fields.value Mapeie o campo resolved para este campo quando o campo de chave for igual a Resolved
session_id read_only_udm.network.session_id Mapear o campo session_id para este campo
src_type read_only_udm.additional.fields.value.string_value Mapeie o campo src_type para este campo quando o campo de chave for igual a src_type.
stat read_only_udm.metadata.description Mapear o campo stat para este campo
subject read_only_udm.network.email.subject Mapear o campo subject para este campo
a read_only_udm.network.email.to Se o campo to contiver @, mapeie para este campo.
usuário read_only_udm.principal.user.userid Mapear o campo user para este campo
N/A read_only_udm.extensions.auth.mechanism O valor desse campo é codificado no código do analisador como USERNAME_PASSWORD quando o campo authid existe.
N/A read_only_udm.extensions.auth.type O valor desse campo é codificado no código do analisador como AUTHTYPE_UNSPECIFIED quando o campo authid existe.
N/A read_only_udm.metadata.event_type O valor desse campo é determinado pela lógica do analisador com base em uma combinação de campos disponíveis. Se o campo from existir, o valor será EMAIL_TRANSACTION. Se o campo to existir, o valor será EMAIL_UNCATEGORIZED. Se os campos client_ip e dst_ip existirem, o valor será NETWORK_CONNECTION. Se o campo authid existir, o valor será USER_LOGIN. Se o campo user existir, o valor será USER_UNCATEGORIZED. Se o campo client_ip existir, o valor será STATUS_UPDATE. Caso contrário, o valor será GENERIC_EVENT.
N/A read_only_udm.metadata.log_type O valor desse campo está fixado no código do analisador como FORTINET_FORTIMAIL.
N/A read_only_udm.metadata.product_name O valor desse campo está fixado no código do analisador como FORTINET_FORTIMAIL.
N/A read_only_udm.metadata.vendor_name O valor desse campo está fixado no código do analisador como FORTINET.
N/A read_only_udm.principal.resource.resource_type O valor desse campo está fixado no código do analisador como DEVICE.
type" and "subtype metadata.product_event_type Mapeado do registro de mudanças

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.