Trellix DLP-Logs (früher McAfee DLP) erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Trellix DLP-Logs (früher McAfee DLP) mit Bindplane in Google Security Operations aufnehmen.

Trellix DLP ist eine Lösung zum Schutz vor Datenverlust, mit der die unbefugte Übertragung sensibler Daten über Endpunkte, Netzwerke und Cloud-Umgebungen hinweg überwacht, erkannt und verhindert wird. Die Verwaltung erfolgt über Trellix ePO (ePolicy Orchestrator), das eine zentrale Richtlinienverwaltung, Ereignisüberwachung und Berichterstellung für DLP-Vorfälle bietet.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz.
• Ein Windows 2016- oder höherer oder Linux-Host mit systemd.
• Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf die Trellix ePO-Konsole (ePolicy Orchestrator).
• Trellix DLP-Richtlinien sind konfiguriert und generieren Ereignisse in ePO.

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM & Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis :Der JSON-Schlüssel ist eine Anmeldedaten. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der alten Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie, vor diesem Datum zu Option 1 zu wechseln.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profil auf.
3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie in diesem Installationsleitfaden.

Hinweis :Für die Konfiguration des Chronicle API-Exporters ist der Bindplane-Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, führen Sie ein Upgrade des Collectors durch, bevor Sie die Konfiguration ändern.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

1. Greifen Sie auf die Konfigurationsdatei zu:

   • Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /observiq-otel-collector/ oder unter Windows im Installationsverzeichnis.
   • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

2. Bearbeiten Sie die Datei config.yamlso:

   receivers:
     tcplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<customer_id>'
       endpoint: chronicle.googleapis.com
       log_type: MCAFEE_DLP
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

• Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
• Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran.
• Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM & Verwaltung > Einstellungen.
• Ersetzen Sie <customer_id> durch die tatsächliche Kundennummer.
• Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Dateipfad, unter dem die Schlüsseldatei des Dienstkontos (Option 1) im Abschnitt Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen gespeichert wurde.

Exporter für die Legacy Ingestion API

• Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: MCAFEE_DLP
      raw_log_field: body
      ingestion_labels:
  

Hinweis: Dieser Exporteur funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

So starten Sie den Bindplane-Agenten unter Linux neu:

1. Führen Sie dazu diesen Befehl aus:

   sudo systemctl restart observiq-otel-collector
   

2. Prüfen Sie, ob der Dienst ausgeführt wird:

   sudo systemctl status observiq-otel-collector
   

3. Prüfen Sie die Logs auf Fehler:

   sudo journalctl -u observiq-otel-collector -f
   

So starten Sie den Bindplane-Agenten unter Windows neu:

1. Wählen Sie eine der folgenden Optionen aus:

   • Eingabeaufforderung oder PowerShell als Administrator:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Services Console:
     1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
     2. Suchen Sie nach observIQ OpenTelemetry Collector.
     3. Rechtsklicken Sie und wählen Sie Neu starten aus.

2. Prüfen Sie, ob der Dienst ausgeführt wird:

   sc query observiq-otel-collector
   

3. Prüfen Sie die Logs auf Fehler:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Syslog-Weiterleitung für Trellix DLP konfigurieren

Die Syslog-Weiterleitung für Trellix DLP wird über die Trellix ePO-Konsole (ePolicy Orchestrator) konfiguriert, indem ein Syslog-Server registriert wird.

1. Melden Sie sich in der Trellix ePO-Konsole an.
2. Gehen Sie zu Menü > Konfiguration > Registrierte Server.
3. Klicken Sie auf Neuer Server.
4. Wählen Sie im Drop-down-Menü Servertyp die Option Syslog aus.
5. Geben Sie im Feld Name einen aussagekräftigen Namen ein, z. B. Chronicle-Bindplane.
6. Klicken Sie auf Weiter.
7. Geben Sie die folgenden Konfigurationsdetails an:
   • Syslog-Server: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
   • Port: Geben Sie 514 ein.
   • Protokoll: Wählen Sie TCP aus.
   • Ereignisformat: Wählen Sie Common Event Format (CEF) aus.
8. Klicken Sie auf Verbindung testen, um die Verbindung zum Bindplane-Agent zu prüfen.
9. Klicken Sie auf Speichern, um den registrierten Syslog-Server zu speichern.

DLP-Ereignisweiterleitung aktivieren

1. Gehen Sie zu Menü > „Automatisierung“ > „Automatische Antworten“.
2. Klicken Sie auf Neue Antwort, um eine neue Regel für automatische Antworten zu erstellen.
3. Geben Sie im Feld Name einen aussagekräftigen Namen ein, z. B. DLP Syslog Forwarding.
4. Wählen Sie im Drop-down-Menü Ereignisgruppe die Option DLP-Ereignisse aus.
5. Wählen Sie im Drop-down-Menü Ereignistyp die Option DLP-Vorfallereignisse aus.
6. Klicken Sie auf Weiter.
7. Konfigurieren Sie auf dem Tab Filter die Filter nach Bedarf oder übernehmen Sie die Standardeinstellungen, um alle DLP-Ereignisse weiterzuleiten.
8. Klicken Sie auf Weiter.
9. Klicken Sie auf dem Tab Aktionen auf Aktion hinzufügen.
10. Wählen Sie im Drop-down-Menü Aktionstyp die Option Syslog senden aus.
11. Wählen Sie im Drop-down-Menü Syslog-Server den registrierten Syslog-Server (Chronicle-Bindplane) aus.
12. Klicken Sie auf Weiter.

13. Prüfen Sie die Zusammenfassung und klicken Sie auf Speichern.

    Hinweis :Wiederholen Sie diese Schritte für zusätzliche DLP-Ereignistypen (z. B. DLP-Vorgang-Ereignisse oder DLP-Richtlinienereignisse), um alle relevanten DLP-Logs weiterzuleiten.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
additional_field_0	additional.fields	Zusammengeführt
additional_field_1	additional.fields	Zusammengeführt
additional_field_2	additional.fields	Zusammengeführt
additional_field_3	additional.fields	Zusammengeführt
additional_field_4	additional.fields	Zusammengeführt
additional_field_5	additional.fields	Zusammengeführt
additional_field_6	additional.fields	Zusammengeführt
expected_act	additional.fields	Zusammengeführt
res_id	additional.fields	Zusammengeführt
status_label	additional.fields	Zusammengeführt
local_date	metadata.event_timestamp	Geparst als yyyy-MM-d HH:mm:ss
has_principal	metadata.event_type	Zugeordnet: true → STATUS_UPDATE
has_principal_user	metadata.event_type	Zugeordnet: true → USER_UNCATEGORIZED
inc_type	metadata.event_type	Zugeordnet: "10000","10001","10002","40101","40400","40500","40700" → SCAN_NETWORK, 40102 …
inc_type	metadata.product_event_type	Direkt zugeordnet
inc_id	metadata.product_log_id	Direkt zugeordnet
agent_ver	metadata.product_version	Direkt zugeordnet
device_name	principal.asset.hostname	Direkt zugeordnet
ip_address	principal.asset.ip	Zusammengeführt
device_name	principal.hostname	Direkt zugeordnet
status_id	principal.investigation.status	Zugeordnet: "1","2" → NEW, "3","4" → CLOSED, "5","6" → REVIEWED
ip_address	principal.ip	Zusammengeführt
group_label	principal.user.attribute.labels	Zusammengeführt
user_ou	principal.user.group_identifiers	Zugeordnet: ^.{0,255}$ → user_ou
name	principal.user.user_display_name	Direkt zugeordnet
user	principal.user.userid	Direkt zugeordnet
sec_action	security_result.action	Zusammengeführt
action	security_result.action_details	Direkt zugeordnet
fail_reason	security_result.description	Zugeordnet: 0 → No Failure
encryption_label	security_result.detection_fields	Zusammengeführt
usb_label	security_result.detection_fields	Zusammengeführt
volume_label	security_result.detection_fields	Zusammengeführt
rule_set_label	security_result.rule_labels	Zusammengeführt
rule_name	security_result.rule_name	Direkt zugeordnet
sev	security_result.severity	Zugeordnete Werte (insgesamt 5, z. B. 1 → INFORMATIONAL, 2 → ERROR, 3 → LOW)
sev	security_result.severity_details	Direkt zugeordnet
dst_app	target.application	Direkt zugeordnet
dst	target.asset.hostname	Direkt zugeordnet
file	target.file.full_path	Direkt zugeordnet
file_size	target.file.size	Umbenannt/zugeordnet
dst	target.hostname	Direkt zugeordnet
process_name	target.process.file.full_path	Direkt zugeordnet
dst_url	target.url	Direkt zugeordnet
dst	target.user.userid	Direkt zugeordnet
–	metadata.event_type	Konstante: SCAN_NETWORK
–	metadata.product_name	Konstante: Mcafee DLP
–	metadata.vendor_name	Konstante: Mcafee
–	principal.investigation.status	Konstante: NEW
–	security_result.description	Konstante: No Failure
–	security_result.severity	Konstante: INFORMATIONAL
dst	event.idm.read_only_udm.target.asset.hostname	Aus Änderungsprotokoll zugeordnet
device_name	event.idm.read_only_udm.principal.asset.hostname	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten