O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Coletar registros do McAfee ESM

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros do Trellix Enterprise Security Manager no Google Security Operations usando o agente Bindplane.

O Trellix Enterprise Security Manager (antigo McAfee ESM) é uma plataforma de gerenciamento de eventos e informações de segurança (SIEM) que oferece detecção, correlação e monitoramento de compliance de ameaças em tempo real. Ele coleta, normaliza e analisa dados de ocorrência de segurança em toda a empresa, permitindo que as equipes de segurança identifiquem e respondam a ameaças usando painéis centralizados, análises avançadas e alertas automatizados.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

Uma instância do Google SecOps
Um host Windows 2016 ou mais recente ou Linux com systemd
Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
Acesso privilegiado ao console do Trellix Enterprise Security Manager.

Receber o arquivo de autenticação de ingestão do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Agentes de coleta.
Baixe o arquivo de autenticação de ingestão.
Salve o arquivo com segurança no sistema em que o Bindplane será instalado.

Receber o ID de cliente do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Perfil.
Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

Abra o prompt de comando ou o PowerShell como administrador.

Execute este comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

Abra um terminal com privilégios de root ou sudo.

Execute este comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Outros recursos de instalação

Para outras opções de instalação, consulte este guia.

Configurar o agente do Bindplane para ingerir Syslog e enviar ao Google SecOps

Acesse o arquivo de configuração:
- Localize o arquivo config.yaml. Normalmente, ele fica no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
- Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

Edite o arquivo config.yaml da seguinte forma:

receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID_HERE
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'MCAFEE_ESM'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
Substitua YOUR_CUSTOMER_ID_HERE pelo ID de cliente real.
Atualize /path/to/ingestion-authentication-file.json para o caminho do arquivo em que o arquivo de autenticação foi salvo na etapa 1.
Atualize o valor de endpoint para corresponder à região do seu locatário.

Reinicie o agente do Bindplane para aplicar as mudanças

Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:
```
sudo systemctl restart observiq-otel-collector
```
Para reiniciar o agente do Bindplane em Windows, use o console Serviços ou digite o seguinte comando:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

Configurar o encaminhamento de syslog do Trellix Enterprise Security Manager

Faça login no console do Trellix Enterprise Security Manager.
Acesse Propriedades do sistema > Encaminhamento de eventos.
Clique em Adicionar para criar um destino de encaminhamento de eventos.
No campo Nome, insira um nome descritivo, por exemplo, Chronicle-Bindplane.
Na seção Destino, forneça os seguintes detalhes de configuração:
- Endereço IP: insira o endereço IP do host do agente do Bindplane (por exemplo, 192.168.1.100).
- Porta: digite 514 (ou a porta configurada no Bindplane).
- Protocolo: selecione TCP.
- Formato: selecione Syslog (formato CEF ou Syslog padrão).
Na seção Filtros, selecione os tipos de evento e os níveis de gravidade a serem encaminhados:
- Selecione Todos os eventos para encaminhar todos os eventos ou configure filtros específicos.
- Defina o limite de Gravidade conforme necessário (por exemplo, 1 a 100 para todos os níveis de gravidade).
Para ativar a regra de encaminhamento, marque a caixa de seleção Ativada.
Clique em OK para salvar a configuração.
Clique em Aplicar para ativar o encaminhamento de eventos.
Verifique se os eventos estão sendo encaminhados conferindo o status do Encaminhamento de eventos no console do ESM.

Observação: para mais informações, consulte a documentação do Trellix Enterprise Security Manager.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento do UDM	Lógica
`about`	`about`	Mesclado
`about_token`	`about`	Mesclado
`deviceNtDomain`	`about.administrative_domain`	Renomeado/mapeado
`deviceExternalId`	`about.asset.asset_id`	Mapeado diretamente
`device_product`	`about.asset.asset_id`	Mapeado diretamente
`device_vendor`	`about.asset.asset_id`	Mapeado diretamente
`fileHash`	`about.file.full_path`	Mapeado diretamente
`filePath`	`about.file.full_path`	Renomeado/mapeado
`_hash`	`about.file.sha256`	Renomeado/mapeado
`fileHash`	`about.file.sha256`	Renomeado/mapeado
`fsize`	`about.file.size`	Renomeado/mapeado
`dvchost`	`about.hostname`	Renomeado/mapeado
`ips`	`about.ip`	Mesclado
`subjectLogonId_label`	`about.labels`	Mesclado
`dvcmac`	`about.mac`	Mesclado
`mac_address`	`about.mac`	Mesclado
`deviceTranslatedAddress`	`about.nat_ip`	Mesclado
`Emne`	`about.process.command_line`	Mapeado diretamente
`Path`	`about.process.command_line`	Mapeado diretamente
`Subject`	`about.process.command_line`	Mapeado diretamente
`deviceProcessName`	`about.process.command_line`	Renomeado/mapeado
`dvcpid`	`about.process.pid`	Renomeado/mapeado
`permissions`	`about.resource.attribute.permissions`	Mesclado
`ARCH_label`	`additional.fields`	Mesclado
`AUID_label`	`additional.fields`	Mesclado
`EGID_label`	`additional.fields`	Mesclado
`EUID_label`	`additional.fields`	Mesclado
`FSGID_label`	`additional.fields`	Mesclado
`FSUID_label`	`additional.fields`	Mesclado
`GID_label`	`additional.fields`	Mesclado
`SGID_label`	`additional.fields`	Mesclado
`SUID_label`	`additional.fields`	Mesclado
`SYSCALL_label`	`additional.fields`	Mesclado
`UID_label`	`additional.fields`	Mesclado
`additional_cfp1`	`additional.fields`	Mesclado
`additional_cfp2`	`additional.fields`	Mesclado
`additional_cfp3`	`additional.fields`	Mesclado
`additional_cfp4`	`additional.fields`	Mesclado
`additional_cn1`	`additional.fields`	Mesclado
`additional_cn2`	`additional.fields`	Mesclado
`additional_cn3`	`additional.fields`	Mesclado
`additional_cs1`	`additional.fields`	Mesclado
`additional_cs2`	`additional.fields`	Mesclado
`additional_cs3`	`additional.fields`	Mesclado
`additional_cs4`	`additional.fields`	Mesclado
`additional_cs5`	`additional.fields`	Mesclado
`additional_cs6`	`additional.fields`	Mesclado
`additional_cs7`	`additional.fields`	Mesclado
`additional_devicePayloadId`	`additional.fields`	Mesclado
`additional_euid`	`additional.fields`	Mesclado
`additional_eventId`	`additional.fields`	Mesclado
`additional_flexString1`	`additional.fields`	Mesclado
`additional_fname`	`additional.fields`	Mesclado
`additional_logname`	`additional.fields`	Mesclado
`additional_rsa_signature`	`additional.fields`	Mesclado
`additional_tty`	`additional.fields`	Mesclado
`arch_label`	`additional.fields`	Mesclado
`attack_count_label`	`additional.fields`	Mesclado
`auid_label`	`additional.fields`	Mesclado
`category_label`	`additional.fields`	Mesclado
`cmd_param_a0_label`	`additional.fields`	Mesclado
`cmd_param_a1_label`	`additional.fields`	Mesclado
`cmd_param_a2_label`	`additional.fields`	Mesclado
`cmd_param_a3_label`	`additional.fields`	Mesclado
`cs5_label`	`additional.fields`	Mesclado
`egid_label`	`additional.fields`	Mesclado
`euid_label`	`additional.fields`	Mesclado
`execution_status_label`	`additional.fields`	Mesclado
`exit_code_label`	`additional.fields`	Mesclado
`fsgid_label`	`additional.fields`	Mesclado
`fsuid_label`	`additional.fields`	Mesclado
`interface_label`	`additional.fields`	Mesclado
`items_label`	`additional.fields`	Mesclado
`key_label`	`additional.fields`	Mesclado
`node_label`	`additional.fields`	Mesclado
`proctitle_label`	`additional.fields`	Mesclado
`sensor_name_label`	`additional.fields`	Mesclado
`severity_label`	`additional.fields`	Mesclado
`sgid_label`	`additional.fields`	Mesclado
`suid_label`	`additional.fields`	Mesclado
`syscall_label`	`additional.fields`	Mesclado
`tty_label`	`additional.fields`	Mesclado
`auth_mechanism`	`extensions.auth.mechanism`	Mesclado
`vuln_token`	`extensions.vulns.vulnerabilities`	Mesclado
`intermediary`	`intermediary`	Mesclado
`Hostname`	`intermediary.hostname`	Mapeado diretamente
`msg`	`metadata.description`	Mapeado diretamente
`event_type`	`metadata.event_type`	Mapeado diretamente
`log_category`	`metadata.log_type`	Mapeado diretamente
`device_event_class_id`	`metadata.product_event_type`	Mapeado diretamente
`event_name`	`metadata.product_event_type`	Mapeado diretamente
`log_type`	`metadata.product_event_type`	Mapeado diretamente
`type`	`metadata.product_event_type`	Mapeado diretamente
`column1`	`metadata.product_log_id`	Mapeado diretamente
`externalId`	`metadata.product_log_id`	Mapeado diretamente
`device_product`	`metadata.product_name`	Mapeado diretamente
`sourceName`	`metadata.product_name`	Mapeado diretamente
`device_version`	`metadata.product_version`	Mapeado diretamente
`device_vendor`	`metadata.vendor_name`	Renomeado/mapeado
`app_protocol_output`	`network.application_protocol`	Mapeado diretamente
`requestMethod`	`network.http.method`	Renomeado/mapeado
`requestClientApplication`	`network.http.user_agent`	Renomeado/mapeado
`ip_protocol_out`	`network.ip_protocol`	Mapeado diretamente
`in`	`network.received_bytes`	Renomeado/mapeado
`out`	`network.sent_bytes`	Renomeado/mapeado
`ses`	`network.session_id`	Mapeado diretamente
`session_id`	`network.session_id`	Mapeado diretamente
`sntdom`	`principal.administrative_domain`	Renomeado/mapeado
`sourceServiceName`	`principal.application`	Renomeado/mapeado
`Group_name`	`principal.group.group_display_name`	Mapeado diretamente
`Gruppenavn`	`principal.group.group_display_name`	Mapeado diretamente
`Device_name`	`principal.hostname`	Mapeado diretamente
`Enhetsnavn`	`principal.hostname`	Mapeado diretamente
`hostname`	`principal.hostname`	Mapeado diretamente
`shost`	`principal.hostname`	Renomeado/mapeado
`data.src_ip`	`principal.ip`	Mesclado
`principal_ip`	`principal.ip`	Mesclado
`shost`	`principal.ip`	Mesclado
`src_ip`	`principal.ip`	Mesclado
`valid_src_ip`	`principal.ip`	Mesclado
`data.src_mac`	`principal.mac`	Mapeado diretamente
`mac`	`principal.mac`	Mesclado
`sourceTranslatedAddress`	`principal.nat_ip`	Mesclado
`sourceTranslatedPort`	`principal.nat_port`	Renomeado/mapeado
`INT:principal_port`	`principal.port`	Mapeado diretamente
`data.src_port`	`principal.port`	Mapeado diretamente
`principal_port`	`principal.port`	Renomeado/mapeado
`source_port`	`principal.port`	Renomeado/mapeado
`spt`	`principal.port`	Renomeado/mapeado
`comm`	`principal.process.command_line`	Mapeado diretamente
`sproc`	`principal.process.command_line`	Renomeado/mapeado
`exe`	`principal.process.file.full_path`	Mapeado diretamente
`ppid`	`principal.process.parent_pid`	Mapeado diretamente
`pid`	`principal.process.pid`	Mapeado diretamente
`spid`	`principal.process.pid`	Renomeado/mapeado
`principal_role`	`principal.user.attribute.roles`	Mesclado
`gid`	`principal.user.groupid`	Mapeado diretamente
`ruser`	`principal.user.user_display_name`	Mapeado diretamente
`suser`	`principal.user.user_display_name`	Mapeado diretamente
`data.UserIDSrc`	`principal.user.userid`	Mapeado diretamente
`suid`	`principal.user.userid`	Renomeado/mapeado
`uid`	`principal.user.userid`	Mapeado diretamente
`user_id`	`principal.user.userid`	Mapeado diretamente
`data.Source_UserID`	`principal.user.windows_sid`	Mapeado diretamente
`security_result`	`security_result`	Mesclado
`security_token`	`security_result`	Mesclado
`_action`	`security_result.action`	Mesclado
`Action_Taken`	`security_result.action_details`	Mapeado diretamente
`act`	`security_result.action_details`	Mapeado diretamente
`cat`	`security_result.category_details`	Mesclado
`Scan_Type`	`security_result.description`	Mapeado diretamente
`Type`	`security_result.description`	Mapeado diretamente
`data.sig.name`	`security_result.description`	Mapeado diretamente
`msg_data_2`	`security_result.description`	Mapeado diretamente
`infection_channel_label`	`security_result.detection_fields`	Mesclado
`operasjon_label`	`security_result.detection_fields`	Mesclado
`operation_label`	`security_result.detection_fields`	Mesclado
`permission_label`	`security_result.detection_fields`	Mesclado
`spyware_Grayware_Type_label`	`security_result.detection_fields`	Mesclado
`threat_probability_label`	`security_result.detection_fields`	Mesclado
`tillatelse_label`	`security_result.detection_fields`	Mesclado
`mwProfile`	`security_result.rule_name`	Mapeado diretamente
`Result`	`security_result.summary`	Mapeado diretamente
`appcategory`	`security_result.summary`	Mapeado diretamente
`reason`	`security_result.summary`	Renomeado/mapeado
`Spyware`	`security_result.threat_name`	Mapeado diretamente
`Unknown_Threat`	`security_result.threat_name`	Mapeado diretamente
`Virus_Malware_Name`	`security_result.threat_name`	Mapeado diretamente
`oldFilePath`	`src.file.full_path`	Renomeado/mapeado
`oldFileSize`	`src.file.size`	Renomeado/mapeado
`old_permissions`	`src.resource.attribute.permissions`	Mesclado
`data.DomainID`	`target.administrative_domain`	Mapeado diretamente
`dntdom`	`target.administrative_domain`	Renomeado/mapeado
`data.AppID`	`target.application`	Mapeado diretamente
`destinationServiceName`	`target.application`	Renomeado/mapeado
`data.Destination_Hostname`	`target.hostname`	Mapeado diretamente
`data.HostID`	`target.hostname`	Mapeado diretamente
`temp_dhost`	`target.hostname`	Mapeado diretamente
`IPv6_Address`	`target.ip`	Mesclado
`data.dst_ip`	`target.ip`	Mesclado
`dest_ip`	`target.ip`	Mesclado
`dst_ip`	`target.ip`	Mesclado
`data.dst_mac`	`target.mac`	Mapeado diretamente
`mac_address`	`target.mac`	Mesclado
`destination_translated_address`	`target.nat_ip`	Mesclado
`destinationTranslatedPort`	`target.nat_port`	Renomeado/mapeado
`INT:target_port`	`target.port`	Mapeado diretamente
`data.dst_port`	`target.port`	Mapeado diretamente
`destination_port`	`target.port`	Renomeado/mapeado
`dpt`	`target.port`	Renomeado/mapeado
`target_port`	`target.port`	Renomeado/mapeado
`data.Process_Name`	`target.process.command_line`	Mapeado diretamente
`dproc`	`target.process.command_line`	Renomeado/mapeado
`File_name`	`target.process.file.full_path`	Mapeado diretamente
`Infected_Resource`	`target.process.file.full_path`	Mapeado diretamente
`Object`	`target.process.file.full_path`	Mapeado diretamente
`Objekt`	`target.process.file.full_path`	Mapeado diretamente
`data.PID`	`target.process.pid`	Mapeado diretamente
`dpid`	`target.process.pid`	Renomeado/mapeado
`resource_Type_label`	`target.resource.attribute.labels`	Mesclado
`request`	`target.url`	Mapeado diretamente
`target_role`	`target.user.attribute.roles`	Mesclado
`CustomerName`	`target.user.user_display_name`	Mapeado diretamente
`temp_duser`	`target.user.user_display_name`	Mapeado diretamente
`username`	`target.user.user_display_name`	Mapeado diretamente
`Bruker`	`target.user.userid`	Mapeado diretamente
`User_value`	`target.user.userid`	Mapeado diretamente
`data.UserIDDst`	`target.user.userid`	Mapeado diretamente
`temp_duid`	`target.user.userid`	Mapeado diretamente
`data.Destination_UserID`	`target.user.windows_sid`	Mapeado diretamente
N/A	`about`	Constante: `about_token`
N/A	`about.ip`	Constante: `ips`
N/A	`about.labels`	Constante: `subjectLogonId_label`
N/A	`about.mac`	Constante: `mac_address`
N/A	`about.nat_ip`	Constante: `deviceTranslatedAddress`
N/A	`about.resource.attribute.permissions`	Constante: `permissions`
N/A	`additional.fields`	Constante: `severity_label`
N/A	`extensions.auth.auth_details`	Constante: `UNKNOWN_AUTHENTICATION_STATUS`
N/A	`extensions.auth.mechanism`	Constante: `auth_mechanism`
N/A	`extensions.vulns.vulnerabilities`	Constante: `vuln_token`
N/A	`intermediary`	Constante: `intermediary`
N/A	`metadata.event_type`	Constante: `GENERIC_EVENT`
N/A	`metadata.vendor_name`	Constante: `MCAFEE`
N/A	`network.application_protocol`	Constante: `SSH`
N/A	`network.direction`	Constante: `INBOUND`
N/A	`principal.ip`	Constante: `src_ip`
N/A	`principal.mac`	Constante: `mac`
N/A	`principal.nat_ip`	Constante: `sourceTranslatedAddress`
N/A	`principal.user.attribute.roles`	Constante: `principal_role`
N/A	`security_result`	Constante: `security_token`
N/A	`security_result.action`	Constante: `_action`
N/A	`security_result.category_details`	Constante: `cat`
N/A	`security_result.detection_fields`	Constante: `operation_label`
N/A	`security_result.severity`	Constante: `LOW`
N/A	`src.resource.attribute.permissions`	Constante: `old_permissions`
N/A	`target.ip`	Constante: `dest_ip`
N/A	`target.mac`	Constante: `mac_address`
N/A	`target.nat_ip`	Constante: `destination_translated_address`
N/A	`target.resource.attribute.labels`	Constante: `resource_Type_label`
N/A	`target.user.attribute.roles`	Constante: `target_role`

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.