איסוף יומנים של Trellix DLP (לשעבר McAfee DLP)

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני Trellix DLP (לשעבר McAfee DLP) ב-Google Security Operations באמצעות Bindplane.

‫Trellix DLP הוא פתרון למניעת אובדן נתונים (DLP) שעוקב אחרי העברה לא מורשית של נתונים רגישים בנקודות קצה, ברשתות ובסביבות ענן, מזהה אותה ומונע אותה. הוא מנוהל באמצעות Trellix ePO (ePolicy Orchestrator), שמספק ניהול מדיניות מרכזי, מעקב אחר אירועים ודיווח על אירועי DLP.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מופע של Google SecOps.
• מארח Windows 2016 ואילך או מארח Linux עם systemd.
• אם אתם מפעילים את הסוכן מאחורי שרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה עם הרשאות למסוף Trellix ePO ‏(ePolicy Orchestrator).
• כללי מדיניות DLP של Trellix מוגדרים ויוצרים אירועים ב-ePO.

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לעבור לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.
3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

מקורות מידע נוספים בנושא התקנה

אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, שדרגו את ה-collector לפני שתשנו את ההגדרות.

הגדרת סוכן Bindplane להטמעת Syslog ושליחה אל Google SecOps

1. ניגשים לקובץ התצורה:

   • מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /observiq-otel-collector/ ב-Linux או בספריית ההתקנה ב-Windows.
   • פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או פנקס הרשימות).

2. עורכים את הקובץ config.yaml:

   receivers:
     tcplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<customer_id>'
       endpoint: chronicle.googleapis.com
       log_type: MCAFEE_DLP
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

• מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית שלכם.
• מחליפים את <LOCATION> באזור של המופע של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המערכת מוסיפה את הערך הזה בתחילת chronicle.googleapis.com.
• מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
• מחליפים את <customer_id> במספר הלקוח בפועל.
• מעדכנים את /path/to/ingestion-authentication-file.json לנתיב הקובץ שבו נשמר קובץ המפתח של חשבון השירות (אפשרות 1) בקטע קבלת פרטי הכניסה של Google SecOps לסוכן Bindplane.

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: MCAFEE_DLP
      raw_log_field: body
      ingestion_labels:
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

1. מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. מוודאים שהשירות פועל:

   sudo systemctl status observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   sudo journalctl -u observiq-otel-collector -f
   

כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows:

1. בוחרים אחת מהאפשרויות האלה:

   • שורת הפקודה או PowerShell כאדמין:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • מסוף השירותים:
     1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
     2. מאתרים את observIQ OpenTelemetry Collector.
     3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

2. מוודאים שהשירות פועל:

   sc query observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

הגדרת העברת syslog של Trellix DLP

כדי להגדיר העברת Syslog ל-Trellix DLP, צריך לרשום שרת Syslog דרך מסוף Trellix ePO (ePolicy Orchestrator).

1. נכנסים למסוף Trellix ePO.
2. עוברים אל תפריט > הגדרה > שרתים רשומים.
3. לוחצים על שרת חדש.
4. בתפריט הנפתח Server type, בוחרים באפשרות Syslog.
5. בשדה Name, מזינים שם תיאורי (לדוגמה, Chronicle-Bindplane).
6. לוחצים על הבא.
7. מזינים את פרטי ההגדרה הבאים:
   • שרת Syslog: מזינים את כתובת ה-IP של המארח של סוכן Bindplane.
   • יציאה: מזינים 514.
   • Protocol: בוחרים באפשרות TCP.
   • פורמט אירוע: בוחרים באפשרות Common Event Format (CEF)‎.
8. לוחצים על Test Connection כדי לוודא שיש קישוריות לסוכן Bindplane.
9. לוחצים על שמירה כדי לשמור את שרת ה-syslog הרשום.

הפעלת העברת אירועי DLP

1. עוברים אל תפריט > אוטומציה > תגובות אוטומטיות.
2. לוחצים על תגובה חדשה כדי ליצור כלל חדש לתגובה אוטומטית.
3. בשדה Name, מזינים שם תיאורי (לדוגמה, DLP Syslog Forwarding).
4. בתפריט הנפתח קבוצת אירועים, בוחרים באפשרות אירועי DLP.
5. בתפריט הנפתח סוג אירוע, בוחרים באפשרות אירועי DLP.
6. לוחצים על הבא.
7. בכרטיסייה מסננים, מגדירים מסננים לפי הצורך או משאירים את ברירות המחדל כדי להעביר את כל אירועי ה-DLP.
8. לוחצים על הבא.
9. בכרטיסייה פעולות, לוחצים על הוספת פעולה.
10. בתפריט הנפתח סוג פעולה, בוחרים באפשרות שליחת Syslog.
11. בתפריט הנפתח Syslog Server, בוחרים את שרת ה-Syslog הרשום (Chronicle-Bindplane).
12. לוחצים על הבא.

13. בודקים את הסיכום ולוחצים על שמירה.

    הערה: כדי להעביר את כל יומני ה-DLP הרלוונטיים, צריך לחזור על השלבים האלה לסוגי אירועים נוספים של DLP (כמו אירועי פעולות של DLP או אירועי מדיניות של DLP).

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
additional_field_0	additional.fields	ממוזג
additional_field_1	additional.fields	ממוזג
additional_field_2	additional.fields	ממוזג
additional_field_3	additional.fields	ממוזג
additional_field_4	additional.fields	ממוזג
additional_field_5	additional.fields	ממוזג
additional_field_6	additional.fields	ממוזג
expected_act	additional.fields	ממוזג
res_id	additional.fields	ממוזג
status_label	additional.fields	ממוזג
local_date	metadata.event_timestamp	נותח בתור yyyy-MM-d HH:mm:ss
has_principal	metadata.event_type	מופה: true ← STATUS_UPDATE
has_principal_user	metadata.event_type	מופה: true ← USER_UNCATEGORIZED
inc_type	metadata.event_type	מופו: "10000","10001","10002","40101","40400","40500","40700" ← SCAN_NETWORK, 40102 ...
inc_type	metadata.product_event_type	מיפוי ישיר
inc_id	metadata.product_log_id	מיפוי ישיר
agent_ver	metadata.product_version	מיפוי ישיר
device_name	principal.asset.hostname	מיפוי ישיר
ip_address	principal.asset.ip	ממוזג
device_name	principal.hostname	מיפוי ישיר
status_id	principal.investigation.status	מופו: "1","2" ← NEW, "3","4" ← CLOSED, "5","6" ← REVIEWED
ip_address	principal.ip	ממוזג
group_label	principal.user.attribute.labels	ממוזג
user_ou	principal.user.group_identifiers	מופה: ^.{0,255}$ ← user_ou
name	principal.user.user_display_name	מיפוי ישיר
user	principal.user.userid	מיפוי ישיר
sec_action	security_result.action	ממוזג
action	security_result.action_details	מיפוי ישיר
fail_reason	security_result.description	מופה: 0 ← No Failure
encryption_label	security_result.detection_fields	ממוזג
usb_label	security_result.detection_fields	ממוזג
volume_label	security_result.detection_fields	ממוזג
rule_set_label	security_result.rule_labels	ממוזג
rule_name	security_result.rule_name	מיפוי ישיר
sev	security_result.severity	ערכים ממופים (5 בסך הכול, לדוגמה 1 ← INFORMATIONAL, 2 ← ERROR, 3 ← LOW)
sev	security_result.severity_details	מיפוי ישיר
dst_app	target.application	מיפוי ישיר
dst	target.asset.hostname	מיפוי ישיר
file	target.file.full_path	מיפוי ישיר
file_size	target.file.size	שינוי שם/מיפוי
dst	target.hostname	מיפוי ישיר
process_name	target.process.file.full_path	מיפוי ישיר
dst_url	target.url	מיפוי ישיר
dst	target.user.userid	מיפוי ישיר
לא רלוונטי	metadata.event_type	קבוע: SCAN_NETWORK
לא רלוונטי	metadata.product_name	קבוע: Mcafee DLP
לא רלוונטי	metadata.vendor_name	קבוע: Mcafee
לא רלוונטי	principal.investigation.status	קבוע: NEW
לא רלוונטי	security_result.description	קבוע: No Failure
לא רלוונטי	security_result.severity	קבוע: INFORMATIONAL
dst	event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
device_name	event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.