Skyhigh Secure Web Gateway-Logs (lokal) erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Skyhigh Secure Web Gateway-Logs (lokal) mit Google Cloud Storage in Google SecOps aufnehmen können.

Skyhigh Secure Web Gateway (früher McAfee Web Gateway) ist eine lokale Websicherheitslösung, die Malware-Erkennung, URL-Filterung, Anwendungssteuerung, Schutz vor Datenverlust und HTTPS-Prüfung bietet, um Organisationen vor webbasierten Bedrohungen zu schützen und Richtlinien zur zulässigen Verwendung durchzusetzen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Privilegierter Zugriff auf die Verwaltungskonsole von Skyhigh Secure Web Gateway
  • Ein GCP-Projekt mit aktivierter Cloud Storage API
  • Ein Linux-basierter Erfassungsserver mit Netzwerkzugriff auf die Skyhigh Secure Web Gateway-Appliance und ausgehendem Zugriff auf Google Cloud Storage
  • Skyhigh Secure Web Gateway Version 7.x oder höher

Format des Skyhigh Secure Web Gateway-Zugriffslogs konfigurieren

Konfigurieren Sie den Log-Handler-Regelsatz so, dass Zugriffslogeinträge im JSON-Format generiert werden.

  1. Melden Sie sich in der Verwaltungskonsole von Skyhigh Secure Web Gateway an.
  2. Rufen Sie Richtlinie > Regelsätze auf.
  3. Klicken Sie im linken Navigationsbereich auf Log-Handler.
  4. Maximieren Sie den Standardregelsatz.
  5. Wählen Sie den verschachtelten Regelsatz Access Log aus.
  6. Klicken Sie auf Hinzufügen > Regel, um eine neue Regel zu erstellen.
  7. Konfigurieren Sie die Regel mit den folgenden Einstellungen:
    • Name: Geben Sie Write access log data for collection ein.
    • Kriterien: Wählen Sie Immer aus.
    • Aktion: Wählen Sie Weiter aus.
    • Ereignis: Klicken Sie auf Hinzufügen > Ereignis.
  8. Im Dialogfeld „Ereignis hinzufügen“:
    1. Wählen Sie Benutzerdefinierte logLine festlegen aus.
    2. Klicken Sie auf Parameter.
    3. Erstellen Sie den Wert der Logzeile, indem Sie die erforderlichen Attribute kombinieren. Verwenden Sie das Attribut User-Defined.logLine, um die Felder im gewünschten Format zu verketten.
    4. Klicken Sie auf OK.
  9. Fügen Sie ein zweites Ereignis hinzu, um die Logzeile in die Zugriffslogdatei zu schreiben:
    1. Klicken Sie auf Hinzufügen > Ereignis.
    2. Wählen Sie Dateisystem-Logging aus.
    3. Klicken Sie auf Parameter.
    4. Wählen Sie für den Parameter message die Option User-Defined.logLine aus.
    5. Klicken Sie auf OK.
  10. Klicken Sie auf Fertig, um die Regel zu speichern.

  11. Klicken Sie oben auf der Seite auf Änderungen speichern.

Automatischen Push für das Logging des Dateisystems konfigurieren

Konfigurieren Sie das Skyhigh Secure Web Gateway so, dass Zugriffslogdateien automatisch an den Erfassungsserver übertragen werden.

  1. Rufen Sie in der Skyhigh Secure Web Gateway-Konsole Policy > Settings > Engines > File System Logging auf.
  2. Wählen Sie die Einstellungen für die Konfiguration des Zugriffslogs aus.
  3. Maximieren Sie Einstellungen für Rotation, Push und Löschen.
  4. Im Abschnitt Automatisches Push:
    1. Klicken Sie auf das Kästchen Automatisches Push aktivieren.
    2. Geben Sie im Feld Ziel die FTP- oder HTTP-URL des Erfassungsservers ein:
      • FTP-Beispiel: ftp://COLLECTION_SERVER_IP:21/swg-logs/
      • HTTP-Beispiel: http://COLLECTION_SERVER_IP:9111/logloader/
    3. Geben Sie im Feld Nutzername den Nutzernamen für den Erfassungsserver ein.
    4. Geben Sie im Feld Passwort das Passwort für den Erfassungsserver ein.
  5. Konfigurieren Sie im Abschnitt Rotation das Rotationsintervall basierend auf Ihrem Logvolumen:
    • In Umgebungen mit hohem Volumen sollte die Rotation alle 5 bis 15 Minuten erfolgen.
    • Legen Sie für Standardumgebungen die Rotation auf alle 30–60 Minuten fest.

  6. Klicken Sie auf Änderungen speichern.

Logpräfix prüfen

  1. Rufen Sie in der Skyhigh Secure Web Gateway-Konsole Configuration > Appliances > Syslog > Log Prefix auf.
  2. Prüfen Sie, ob das Präfix auf mwg festgelegt ist.

  3. Wenn das Präfix anders ist, ändern Sie es in mwg und klicken Sie auf Save Changes (Änderungen speichern).

Google Cloud Storage-Bucket erstellen

  1. Gehen Sie zur Google Cloud Console.
  2. Wählen Sie Ihr Projekt aus oder erstellen Sie ein neues.
  3. Rufen Sie im Navigationsmenü Cloud Storage > Buckets auf.
  4. Klicken Sie auf Bucket erstellen.

  5. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Bucket benennen Geben Sie einen global eindeutigen Namen ein (z. B. skyhigh-swg-logs).
    Standorttyp Wählen Sie die Option, die am besten zu Ihren Anforderungen passt (Region, Dual-Region, Multi-Region).
    Standort Wählen Sie den Standort aus (z. B. us-central1).
    Speicherklasse Standard (empfohlen für Logs, auf die häufig zugegriffen wird)
    Zugriffssteuerung Einheitlich (empfohlen)
    Schutztools Optional: Objektversionsverwaltung oder Aufbewahrungsrichtlinie aktivieren

  6. Klicken Sie auf Erstellen.

Erfassungsserver für das Hochladen von Logs in GCS konfigurieren

Richten Sie einen Erfassungsserver ein, um die von Skyhigh Secure Web Gateway gesendeten Protokolldateien zu empfangen und in den GCS-Bucket hochzuladen.

gcloud-CLI installieren

  1. Installieren Sie auf dem Erfassungsserver die gcloud CLI:

    curl https://sdk.cloud.google.com | bash
exec -l $SHELL

  2. Initialisieren Sie die gcloud CLI:

    gcloud init

  3. Authentifizieren Sie sich mit einem Dienstkonto oder Nutzerkonto:

    gcloud auth login

  4. Legen Sie das Standardprojekt fest:

    gcloud config set project PROJECT_ID

FTP-Server für den Empfang von Push-Logs konfigurieren

  1. Installieren Sie einen FTP-Server auf dem Erfassungsserver (z. B. vsftpd):

    sudo apt-get install vsftpd -y

  2. Erstellen Sie ein dediziertes Verzeichnis für die übertragenen Protokolldateien:

    sudo mkdir -p /var/log/swg-logs
sudo chown ftp:ftp /var/log/swg-logs

  3. Konfigurieren Sie den FTP-Server so, dass Schreibzugriff auf das Logverzeichnis möglich ist.

  4. Starten Sie den FTP-Dienst:

    sudo systemctl enable vsftpd
sudo systemctl start vsftpd

GCS-Upload-Script erstellen

  1. Erstellen Sie das Upload-Script:

    sudo mkdir -p /opt/swg-gcs-uploader

  2. Erstellen Sie die Datei /opt/swg-gcs-uploader/upload_to_gcs.sh mit folgendem Inhalt:

    #!/bin/bash
LOG_DIR="/var/log/swg-logs"
GCS_BUCKET="gs://skyhigh-swg-logs/swg-access-logs/"
ARCHIVE_DIR="/var/log/swg-logs/archived"

mkdir -p "$ARCHIVE_DIR"

# Upload new log files to GCS
for log_file in "$LOG_DIR"/*.log; do
    if [ -f "$log_file" ]; then
        gsutil cp "$log_file" "$GCS_BUCKET"
        if [ $? -eq 0 ]; then
            mv "$log_file" "$ARCHIVE_DIR/"
            echo "$(date): Uploaded and archived $(basename "$log_file")"
        else
            echo "$(date): Failed to upload $(basename "$log_file")"
        fi
    fi
done

# Clean up archived files older than 7 days
find "$ARCHIVE_DIR" -type f -mtime +7 -delete

  3. Machen Sie das Skript ausführbar:

    sudo chmod +x /opt/swg-gcs-uploader/upload_to_gcs.sh

  4. Ersetzen Sie skyhigh-swg-logs durch den tatsächlichen Namen des GCS-Buckets.

Upload-Script planen

  1. Öffnen Sie den Crontab-Editor:

    sudo crontab -e

  2. Fügen Sie den folgenden Eintrag hinzu, damit der Upload alle 10 Minuten ausgeführt wird:

    */10 * * * * /opt/swg-gcs-uploader/upload_to_gcs.sh >> /var/log/swg-gcs-uploader.log 2>&1

  3. Speichern Sie die Datei und beenden Sie den Vorgang.

Upload prüfen

  1. Warten Sie, bis das Skyhigh Secure Web Gateway eine Protokolldatei an den Erfassungsserver sendet.

  2. Prüfen Sie, ob die Logdatei im Logverzeichnis vorhanden ist:

    ls -la /var/log/swg-logs/

  3. Führen Sie das Upload-Script manuell aus, um es zu testen:

    sudo /opt/swg-gcs-uploader/upload_to_gcs.sh

  4. Prüfen Sie, ob die Datei in GCS hochgeladen wurde:

    gsutil ls gs://skyhigh-swg-logs/swg-access-logs/

Konfiguration auf den Central Management-Cluster anwenden

Wenn Sie mehrere Skyhigh Secure Web Gateway-Appliances in einem zentralen Verwaltungscluster ausführen:

  1. Wiederholen Sie die Konfiguration des automatischen Push-Vorgangs für das Dateisystem-Logging auf jeder Appliance im Cluster.

  2. Die Konfiguration des Log Handler-Regelsatzes wird automatisch im gesamten Cluster synchronisiert.

Google SecOps-Dienstkonto abrufen

  1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Skyhigh SWG Logs.
  5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
  6. Wählen Sie McAfee Web Protection als Logtyp aus.

  7. Klicken Sie auf Dienstkonto abrufen. Eine eindeutige E-Mail-Adresse für das Dienstkonto wird angezeigt, z. B.:

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. Kopieren Sie diese E-Mail-Adresse, um sie im nächsten Schritt zu verwenden.

  9. Klicken Sie auf Weiter.

  10. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Storage-Bucket-URL: Geben Sie den GCS-Bucket-URI mit dem Präfixpfad ein:

      gs://skyhigh-swg-logs/swg-access-logs/

    • Option zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus:

      • Nie: Nach Übertragungen werden keine Dateien gelöscht (empfohlen für Tests).
      • Übertragene Dateien löschen: Dateien werden nach erfolgreicher Übertragung gelöscht.

      • Übertragene Dateien und leere Verzeichnisse löschen: Dateien und leere Verzeichnisse werden nach erfolgreicher Übertragung gelöscht.

      • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage)

      • Asset-Namespace: Der Asset-Namespace

      • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

  11. Klicken Sie auf Weiter.

  12. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Dem Google SecOps-Dienstkonto IAM-Berechtigungen gewähren

  1. Rufen Sie Cloud Storage > Buckets auf.
  2. Klicken Sie auf skyhigh-swg-logs.
  3. Wechseln Sie zum Tab Berechtigungen.
  4. Klicken Sie auf Zugriff erlauben.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Hauptkonten hinzufügen: Fügen Sie die E‑Mail-Adresse des Google SecOps-Dienstkontos ein.
    • Rollen zuweisen: Wählen Sie Storage Object Viewer aus.
  6. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
mediaType additional.fields Zusammengeführt mit Labels aus mediaType, reputation, Ssl_scanned, av_scanned_up, av_scanned_down, rbi, dlp
Bewertung additional.fields
Ssl_scanned additional.fields
av_scanned_up additional.fields
av_scanned_down additional.fields
rbi additional.fields
dlp additional.fields
intermediary_ip1 intermediary.ip Zusammengeführt aus intermediary_ip1, intermediary_ip2, client_ip
intermediary_ip2 intermediary.ip
client_ip intermediary.ip
intermediary_port intermediary.port In Ganzzahl umgewandelt
uriScheme metadata.event_type Auf „GENERIC_EVENT“ festgelegt, wird zu „NETWORK_HTTP“ überschrieben, wenn uriScheme in ["http", "https"] ist
uriScheme network.application_protocol Legen Sie „HTTPS“ fest, wenn „uriScheme“ mit „https“ übereinstimmt, oder „HTTP“, wenn es mit „http“ übereinstimmt.
http_action network.http.method Wert direkt kopiert
user_agent_comment network.http.parsed_user_agent In geparsten User-Agent konvertiert
httpStatusCode network.http.response_code In Ganzzahl umgewandelt
user_agent_comment network.http.user_agent Wert direkt kopiert
serverToClientBytes network.received_bytes In uinteger umgewandelt
clientToServerBytes network.sent_bytes In uinteger umgewandelt
Dateiname principal.file.full_path Wert direkt kopiert
source_ip principal.ip Wert direkt kopiert
country principal.location.country_or_region Wert direkt kopiert
process_name principal.process.command_line Wert direkt kopiert
Ssl_client_prot principal.resource.attribute.labels Zusammengeführt mit Labels aus Ssl_client_prot, Ssl_server_prot
Ssl_server_prot principal.resource.attribute.labels
URL principal.url Wert direkt kopiert
Nutzername principal.user.userid Wert direkt kopiert
blockReason security_result.action Auf „ALLOW“ festgelegt, wird auf „BLOCK“ überschrieben, wenn „blockReason“ nicht leer ist
Ergebnis security_result.action_details Wert direkt kopiert
Kategorie security_result.category_details Wert direkt kopiert
virus security_result.detection_fields Zusammengeführt mit Labels aus virus, Location, lastRule, applicationType, Mw_probablility, Discarded_host, domain_fronting_url
Standort security_result.detection_fields
lastRule security_result.detection_fields
applicationType security_result.detection_fields
Mw_probablility security_result.detection_fields
Discarded_host security_result.detection_fields
domain_fronting_url security_result.detection_fields
blockReason security_result.summary Wert direkt kopiert
requested_path target.file.full_path Wert direkt kopiert
requested_host target.hostname Wert direkt kopiert
destination_ip target.ip Wert direkt kopiert
userID target.user.userid Wert direkt kopiert

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten