Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux du filtre de messagerie Proofpoint

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer les journaux de Proofpoint Email Filter dans Google Security Operations à l'aide de l'agent Bindplane.

Proofpoint Email Protection (PPS) est une passerelle de sécurité de messagerie qui fournit un filtrage du spam, une détection des menaces et une application des règles de messagerie. Il est compatible avec le transfert syslog et l'intégration des journaux CEF pour exporter les événements liés à la sécurité et les journaux des transactions de messagerie.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Une instance Google SecOps
Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
Connectivité réseau entre l'agent Bindplane et le serveur Proofpoint Protection (PPS)
Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
Accès privilégié à la console de gestion Proofpoint Protection Server (PPS) avec des autorisations d'administrateur

Obtenir le fichier d'authentification d'ingestion Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM> Agents de collecte.
Téléchargez le fichier d'authentification d'ingestion.
Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Remarque : Ce fichier JSON contient les identifiants permettant d'authentifier l'agent Bindplane auprès de Google SecOps.

Obtenir l'ID client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM > Profil.
Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Remarque : L'ID client est requis pour configurer l'exportateur de l'agent Bindplane.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

Exécutez la commande suivante :

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendez la fin de l'installation.
Vérifiez l'installation en exécutant la commande suivante :
```
sc query observiq-otel-collector
```
Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation sous Linux

Ouvrez un terminal avec des privilèges root ou sudo.

Exécutez la commande suivante :

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Attendez la fin de l'installation.
Vérifiez l'installation en exécutant la commande suivante :
```
sudo systemctl status observiq-otel-collector
```
Le service doit être indiqué comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour en savoir plus sur les options d'installation et le dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

Linux :

sudo nano /opt/observiq-otel-collector/config.yaml

Windows :

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/proofpoint_mail_filter:
        compression: gzip
        creds_file_path: '<CREDS_FILE_PATH>'
        customer_id: '<CUSTOMER_ID>'
        endpoint: <REGION_ENDPOINT>
        log_type: PROOFPOINT_MAIL_FILTER
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/proofpoint_mail_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/proofpoint_mail_filter

Paramètres de configuration

Remplacez les espaces réservés suivants :

Configuration du récepteur :
- tcplog : reçoit syslog via TCP. Utilisez udplog si vous configurez le transport UDP dans PPS.
- 0.0.0.0:514 : écoute sur toutes les interfaces sur le port 514. Modifiez le port si nécessaire (par exemple, 1514 pour Linux non racine).
Configuration de l'exportateur :
- <CREDS_FILE_PATH> : chemin d'accès complet au fichier d'authentification de l'ingestion :
  - Linux : /etc/bindplane-agent/ingestion-auth.json
  - Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <CUSTOMER_ID> : ID client de l'étape Obtenir l'ID client Google SecOps.
- <REGION_ENDPOINT> : URL du point de terminaison régional :
  - États-Unis : malachiteingestion-pa.googleapis.com
  - Europe : europe-malachiteingestion-pa.googleapis.com
  - Asie : asia-southeast1-malachiteingestion-pa.googleapis.com
  - Pour obtenir la liste complète, consultez Points de terminaison régionaux.

Enregistrez le fichier de configuration.

Après avoir modifié le fichier, enregistrez-le :
- Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
- Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :
```
sudo systemctl restart observiq-otel-collector
```
1. Vérifiez que le service est en cours d'exécution :
```
sudo systemctl status observiq-otel-collector
```
2. Recherchez les erreurs dans les journaux :
```
sudo journalctl -u observiq-otel-collector -f
```
Pour redémarrer l'agent Bindplane dans Windows, choisissez l'une des options suivantes :
- Invite de commande ou PowerShell en tant qu'administrateur :
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console Services :
  1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
  2. Localisez observIQ OpenTelemetry Collector.
  3. Effectuez un clic droit, puis sélectionnez Redémarrer.
  4. Vérifiez que le service est en cours d'exécution :
```
sc query observiq-otel-collector
```
  5. Recherchez les erreurs dans les journaux :
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configurer le transfert syslog de Proofpoint Email Protection

Option 1 : Configurer le transfert syslog dans Proofpoint PPS

Connectez-vous à la console de gestion Proofpoint Protection Server (PPS).
Accédez à Système > Journaux et rapports > Paramètres de journal.
Dans la section Paramètres de journalisation à distance, configurez les éléments suivants :
- Protocole : sélectionnez Syslog.
- Serveur Syslog : saisissez l'adresse IP de l'hôte de l'agent Bindplane (par exemple, 192.168.1.100).
- Port : saisissez 514 (doit correspondre au port du récepteur de l'agent Bindplane).
- Transport : sélectionnez TCP (doit correspondre à la configuration du récepteur de l'agent Bindplane). Le protocole TLS est également compatible avec le transfert sécurisé.
Dans la section Local Log Options (Options de journalisation locale), configurez le niveau de verbosité de la journalisation selon vos besoins.
Cliquez sur Enregistrer les modifications.

Remarque : Les déploiements cloud Proofpoint on Demand (PoD) nécessitent une licence "Remote Syslog Forwarding" supplémentaire pour envoyer des journaux du cloud à un serveur syslog sur site via TLS.

Option 2 : Configurer l'intégration des journaux CEF

Connectez-vous à la console de gestion Proofpoint Protection Server (PPS).
Accédez à Configuration > Intégrations > SIEM intégré.
Cliquez sur l'onglet Intégration des journaux SIEM.
Sélectionnez Activer l'exportation au format ArcSight pour activer l'intégration des journaux CEF.
Configurez le serveur de destination syslog :
- Hôte : saisissez l'adresse IP de l'hôte de l'agent BindPlane (par exemple, 192.168.1.100).
- Port : saisissez 514 (doit correspondre au port du récepteur de l'agent Bindplane).
Cliquez sur Enregistrer.
Vérifiez que les journaux au format CEF sont bien reçus en consultant les journaux de l'agent Bindplane.

Table de mappage UDM

Champ de journal	Mappage UDM	Logique
	à propos de	Informations supplémentaires sur l'événement
adultscore, attachments, hops, routes, notroutes, eid, querydepth, selector, spamscore, phishscore, mod, status, folder	additional.fields	Données d'événement spécifiques à un fournisseur qui ne peuvent pas être représentées de manière adéquate dans les sections formelles du modèle UDM
auth	extensions.auth.type	Type d'authentification utilisé
	intermédiaire	Informations sur les appareils intermédiaires impliqués dans l'événement
domaine	intermediary.administrative_domain	Domaine administratif de l'intermédiaire
hops-ip, lip, interm_ip	intermediary.ip	Adresse IP de l'intermédiaire
	metadata.event_type	Type d'événement (par exemple, USER_LOGIN, NETWORK_CONNECTION)
prod_event_type	metadata.product_event_type	Type d'événement spécifique au produit
de requête	metadata.product_version	Version du produit ayant généré l'événement
proto, mailer	network.application_protocol	Protocole d'application utilisé dans la connexion réseau
hfrom, from	network.email.from	Adresse e-mail de l'expéditeur
m, msgid, net_mail_id, hdr_mid	network.email.mail_id	Identifiant unique de l'e-mail
subject	network.email.subject	Objet de l'e-mail
à	network.email.to	Adresses e-mail des destinataires
received_byte	network.received_bytes	Nombre d'octets reçus dans la connexion réseau
s	network.session_id	Identifiant unique de la session réseau
chiffrement	network.tls.cipher	Suite de chiffrement TLS utilisée
tls_version, version	network.tls.version	La version TLS utilisée.
domaine	principal.administrative_domain	Domaine administratif du compte principal
proc	principal.application	Application impliquée dans l'événement
appareil, hôte	principal.asset.hostname	Nom d'hôte de l'élément associé au compte principal
ip, srcip	principal.asset.ip	Adresse IP de l'élément associé au principal
guid	principal.asset_id	Identifiant unique de l'asset
appareil, hôte	principal.hostname	Nom d'hôte du principal
ip, srcip	principal.ip	Adresse IP du compte principal
pays	principal.location.country_or_region	Pays ou région où se trouve le représentant légal
cmd	principal.process.command_line	Ligne de commande utilisée pour lancer le processus
file, name	principal.process.file.full_path	Chemin d'accès complet au fichier concerné par le processus
sz, size	principal.process.file.size	Taille du fichier en octets
pid, process_id	principal.process.pid	ID du processus
action, security_action	security_result.action	Action effectuée par le produit de sécurité
classificateur	security_result.category	Catégorie du résultat de sécurité
class, internalId	security_result.detection_fields	Champs utilisés pour la détection
règle	security_result.rule_name	Nom de la règle qui a déclenché le résultat de sécurité
security_desc	security_result.summary	Résumé du résultat de sécurité
nom d'hôte	target.asset.hostname	Nom d'hôte de l'asset associé à la cible
nom d'hôte	target.hostname	Nom d'hôte de la cible
	metadata.product_name	Nom du produit ayant généré l'événement
	metadata.vendor_name	Nom du fournisseur qui a produit le produit
`AppAccessContext.AADSessionId`	`event.idm.read_only_udm.network.session_id`	Mappé à partir du journal des modifications
`ClientAppName`	`event.idm.read_only_udm.target.application`	Mappé à partir du journal des modifications
`AppAccessContext.CorrelationId`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`AppAccessContext.UniqueTokenId`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`AppAccessContext.UserObjectId`	`event.idm.read_only_udm.principal.user.product_object_id`	Mappé à partir du journal des modifications
`Id`	`event.idm.read_only_udm.target.resource.product_object_id`	Mappé à partir du journal des modifications
`Operation`	`event.idm.read_only_udm.metadata.product_event_type`	Mappé à partir du journal des modifications
`RecordType`	`event.idm.read_only_udm.security_result.detection_fields`	Mappé à partir du journal des modifications
`UserKey`	`event.idm.read_only_udm.principal.user.attribute.labels`	Mappé à partir du journal des modifications
`UserType`	`event.idm.read_only_udm.principal.user.attribute.labels`	Mappé à partir du journal des modifications
`Version`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`Workload`	`event.idm.read_only_udm.principal.application`	Mappé à partir du journal des modifications
`ClientIP`	`event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip`	Mappé à partir du journal des modifications
`UserId`	`event.idm.read_only_udm.principal.user.email_addresses`	Mappé à partir du journal des modifications
`AuthenticationType`	`event.idm.read_only_udm.extensions.auth.auth_details`	Mappé à partir du journal des modifications
`BrowserName`	`event.idm.read_only_udm.network.http.parsed_user_agent`	Mappé à partir du journal des modifications
`BrowserVersion`	`event.idm.read_only_udm.network.http.parsed_user_agent.browser_version`	Mappé à partir du journal des modifications
`CorrelationId`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`EventSource`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`GeoLocation`	`event.idm.read_only_udm.principal.location.name`	Mappé à partir du journal des modifications
`IsManagedDevice`	`event.idm.read_only_udm.security_result.detection_fields`	Mappé à partir du journal des modifications
`ItemType`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`ListId`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`ListItemUniqueId`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`Platform`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`Site`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`UserAgent`	`event.idm.read_only_udm.network.http.user_agent`	Mappé à partir du journal des modifications
`WebId`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`HighPriorityMediaProcessing`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`ListBaseType`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`ListServerTemplate`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`SourceRelativeUrl`	`event.idm.read_only_udm.principal.url`	Mappé à partir du journal des modifications
`net_mail_id" and "hdr_mid`	`network.email.mail_id`	Mappé à partir du journal des modifications
`delay`	`about.resource.attribute.labels`	Mappé à partir du journal des modifications
`relay`	`intermediary.administrative_domain`	Mappé à partir du journal des modifications
`device" from "intermediary.hostname`	`principal.hostname`	Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.