Mengumpulkan log Trellix DLP (sebelumnya McAfee DLP)

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Trellix DLP (sebelumnya dikenal sebagai McAfee DLP) ke Google Security Operations menggunakan Bindplane.

Trellix DLP adalah solusi pencegahan kebocoran data yang memantau, mendeteksi, dan mencegah transmisi data sensitif yang tidak sah di seluruh endpoint, jaringan, dan lingkungan cloud. Trellix DLP dikelola melalui Trellix ePO (ePolicy Orchestrator), yang menyediakan pengelolaan kebijakan terpusat, pemantauan peristiwa, dan pelaporan untuk insiden DLP.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps.
• Host Windows 2016 atau yang lebih baru atau Linux dengan systemd.
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane.
• Akses istimewa ke konsol Trellix ePO (ePolicy Orchestrator).
• Kebijakan Trellix DLP dikonfigurasi dan menghasilkan peristiwa di ePO.

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Nama akun layanan: Masukkan nama untuk akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Berencana beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan ini.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan Bindplane collector v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

1. Akses file konfigurasi:

   • Cari file config.yaml. Biasanya, file ini berada di direktori /observiq-otel-collector/ di Linux atau di direktori penginstalan di Windows.
   • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

2. Edit file config.yaml sebagai berikut:

   receivers:
     tcplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<customer_id>'
       endpoint: chronicle.googleapis.com
       log_type: MCAFEE_DLP
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

• Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
• Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan menambahkan awalan chronicle.googleapis.com dengan nilai ini.
• Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
• Ganti <customer_id> dengan ID Pelanggan yang sebenarnya.
• Ganti /path/to/ingestion-authentication-file.json dengan jalur file tempat file kunci akun layanan (Opsi 1) disimpan di bagian Mendapatkan kredensial Google SecOps untuk agen Bindplane.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur file autentikasi penyerapan, dan jika instance Anda berada di luar Amerika Serikat, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: MCAFEE_DLP
      raw_log_field: body
      ingestion_labels:
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux:

1. Jalankan perintah berikut:

   sudo systemctl restart observiq-otel-collector
   

2. Pastikan layanan sedang berjalan:

   sudo systemctl status observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   sudo journalctl -u observiq-otel-collector -f
   

Untuk memulai ulang agen Bindplane di Windows:

1. Pilih salah satu opsi berikut:

   • Command Prompt atau PowerShell sebagai administrator:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Konsol layanan:
     1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
     2. Cari observIQ OpenTelemetry Collector.
     3. Klik kanan, lalu pilih Restart.

2. Pastikan layanan sedang berjalan:

   sc query observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Mengonfigurasi penerusan syslog Trellix DLP

Penerusan syslog untuk Trellix DLP dikonfigurasi melalui konsol Trellix ePO (ePolicy Orchestrator) dengan mendaftarkan server syslog.

1. Login ke konsol Trellix ePO.
2. Buka Menu > Configuration > Registered Servers.
3. Klik New Server.
4. Di dropdown Server type, pilih Syslog.
5. Di kolom Name, masukkan nama deskriptif (misalnya, Chronicle-Bindplane).
6. Klik Berikutnya.
7. Berikan detail konfigurasi berikut:
   • Syslog Server: Masukkan alamat IP host agen Bindplane.
   • Port: Masukkan 514.
   • Protocol: Pilih TCP.
   • Format peristiwa: Pilih Common Event Format (CEF).
8. Klik Uji Koneksi untuk memverifikasi konektivitas ke agen Bindplane.
9. Klik Simpan untuk menyimpan server syslog yang terdaftar.

Mengaktifkan penerusan peristiwa DLP

1. Buka Menu > Otomatisasi > Respons Otomatis.
2. Klik Respons Baru untuk membuat aturan respons otomatis baru.
3. Di kolom Name, masukkan nama deskriptif (misalnya, DLP Syslog Forwarding).
4. Di menu drop-down Grup Peristiwa, pilih Peristiwa DLP.
5. Di dropdown Jenis Peristiwa, pilih Peristiwa Insiden DLP.
6. Klik Berikutnya.
7. Di tab Filter, konfigurasikan filter sesuai kebutuhan atau biarkan default untuk meneruskan semua peristiwa DLP.
8. Klik Berikutnya.
9. Di tab Tindakan, klik Tambahkan Tindakan.
10. Di dropdown Action type, pilih Send Syslog.
11. Di dropdown Syslog Server, pilih server syslog yang terdaftar (Chronicle-Bindplane).
12. Klik Berikutnya.

13. Tinjau ringkasan, lalu klik Save.

    Catatan: Ulangi langkah-langkah ini untuk jenis peristiwa DLP tambahan (seperti DLP Operation Events atau DLP Policy Events) guna meneruskan semua log DLP yang relevan.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
additional_field_0	additional.fields	Digabung
additional_field_1	additional.fields	Digabung
additional_field_2	additional.fields	Digabung
additional_field_3	additional.fields	Digabung
additional_field_4	additional.fields	Digabung
additional_field_5	additional.fields	Digabung
additional_field_6	additional.fields	Digabung
expected_act	additional.fields	Digabung
res_id	additional.fields	Digabung
status_label	additional.fields	Digabung
local_date	metadata.event_timestamp	Diurai sebagai yyyy-MM-d HH:mm:ss
has_principal	metadata.event_type	Dipetakan: true → STATUS_UPDATE
has_principal_user	metadata.event_type	Dipetakan: true → USER_UNCATEGORIZED
inc_type	metadata.event_type	Dipetakan: "10000","10001","10002","40101","40400","40500","40700" → SCAN_NETWORK, 40102 ...
inc_type	metadata.product_event_type	Dipetakan secara langsung
inc_id	metadata.product_log_id	Dipetakan secara langsung
agent_ver	metadata.product_version	Dipetakan secara langsung
device_name	principal.asset.hostname	Dipetakan secara langsung
ip_address	principal.asset.ip	Digabung
device_name	principal.hostname	Dipetakan secara langsung
status_id	principal.investigation.status	Dipetakan: "1","2" → NEW, "3","4" → CLOSED, "5","6" → REVIEWED
ip_address	principal.ip	Digabung
group_label	principal.user.attribute.labels	Digabung
user_ou	principal.user.group_identifiers	Dipetakan: ^.{0,255}$ → user_ou
name	principal.user.user_display_name	Dipetakan secara langsung
user	principal.user.userid	Dipetakan secara langsung
sec_action	security_result.action	Digabung
action	security_result.action_details	Dipetakan secara langsung
fail_reason	security_result.description	Dipetakan: 0 → No Failure
encryption_label	security_result.detection_fields	Digabung
usb_label	security_result.detection_fields	Digabung
volume_label	security_result.detection_fields	Digabung
rule_set_label	security_result.rule_labels	Digabung
rule_name	security_result.rule_name	Dipetakan secara langsung
sev	security_result.severity	Nilai yang dipetakan (total 5, misalnya 1 → INFORMATIONAL, 2 → ERROR, 3 → LOW)
sev	security_result.severity_details	Dipetakan secara langsung
dst_app	target.application	Dipetakan secara langsung
dst	target.asset.hostname	Dipetakan secara langsung
file	target.file.full_path	Dipetakan secara langsung
file_size	target.file.size	Diganti namanya/dipetakan
dst	target.hostname	Dipetakan secara langsung
process_name	target.process.file.full_path	Dipetakan secara langsung
dst_url	target.url	Dipetakan secara langsung
dst	target.user.userid	Dipetakan secara langsung
T/A	metadata.event_type	Konstanta: SCAN_NETWORK
T/A	metadata.product_name	Konstanta: Mcafee DLP
T/A	metadata.vendor_name	Konstanta: Mcafee
T/A	principal.investigation.status	Konstanta: NEW
T/A	security_result.description	Konstanta: No Failure
T/A	security_result.severity	Konstanta: INFORMATIONAL
dst	event.idm.read_only_udm.target.asset.hostname	Dipetakan dari log perubahan
device_name	event.idm.read_only_udm.principal.asset.hostname	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.