איסוף יומנים של Proofpoint Email Filter

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Proofpoint Email Filter ב-Google Security Operations באמצעות סוכן Bindplane.

‫Proofpoint Email Protection ‏ (PPS) הוא שער אבטחה לאימייל שמספק סינון ספאם, זיהוי איומים ואכיפת מדיניות אימייל. היא תומכת בהעברה של syslog ובשילוב של יומני CEF לייצוא של אירועי אבטחה ויומני עסקאות של דואר.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מכונה של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות רשת בין סוכן Bindplane לבין Proofpoint Protection Server ‏ (PPS)
  • אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • גישה עם הרשאות אדמין למסוף הניהול של Proofpoint Protection Server ‏ (PPS)

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
  2. נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
  3. לוחצים על Create service account.
  4. מזינים את פרטי ההגדרה הבאים:
    • שם חשבון השירות: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את כלי הייצוא.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות SIEM > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. מאמתים את ההתקנה על ידי הרצת:

    sc query observiq-otel-collector

    השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. מאמתים את ההתקנה על ידי הרצת:

    sudo systemctl status observiq-otel-collector

    השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

מאתרים את קובץ התצורה

  • ‫Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

  • מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/proofpoint_mail_filter:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: PROOFPOINT_MAIL_FILTER
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/proofpoint_mail_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/proofpoint_mail_filter

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת המקלט:

    • ‫tcplog: קבלת syslog דרך TCP. אם מגדירים תעבורת UDP ב-PPS, צריך להשתמש ב-udplog.
    • ‫0.0.0.0:514: האזנה בכל הממשקים ביציאה 514. אם צריך, משנים את היציאה (לדוגמה, 1514 ל-Linux ללא הרשאות בסיס).

  • הגדרת הייצוא:

    • ‫<CREDS_FILE_PATH>: הנתיב המלא לקובץ מפתח JSON של חשבון השירות (אפשרות 1):
      • ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫<CUSTOMER_ID>: מזהה הלקוח מהשלב קבלת מזהה הלקוח ב-Google SecOps.
    • ‫location: מחליפים את <LOCATION> באזור של מופע Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). ערך זה מתווסף לתחילית chronicle.googleapis.com של הכלי לייצוא. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט מתוך IAM & Admin > Settings.
    • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

כלי לייצוא נתונים מ-Legacy ingestion API

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב לקובץ האימות של ההעברה, ואם המופע שלכם נמצא מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/proofpoint_mail_filter:
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: PROOFPOINT_MAIL_FILTER
    raw_log_field: body
    ingestion_labels:
      env: production

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
    • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
      2. מחפשים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog של Proofpoint Email Protection

אפשרות 1: הגדרת העברת syslog ב-Proofpoint PPS

  1. נכנסים למסוף הניהול של Proofpoint Protection Server ‏ (PPS).
  2. עוברים אל System > Logs and Reports > Log Settings (מערכת > יומנים ודוחות > הגדרות יומן).
  3. בקטע Remote Log Settings (הגדרות של יומן מרחוק), קובעים את ההגדרות הבאות:
    • Protocol: בוחרים באפשרות Syslog.
    • שרת Syslog: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
    • יציאה: מזינים 514 (חייבת להתאים ליציאת המקלט של סוכן Bindplane).
    • ‫Transport: בוחרים באפשרות TCP (צריך להתאים להגדרת המקלט של סוכן Bindplane). יש גם תמיכה ב-TLS להעברה מאובטחת.
  4. בקטע Local Log Options, מגדירים את דרגת המלל של הרישום ביומן לפי הצורך.

  5. לוחצים על שמירת השינויים.

אפשרות 2: הגדרת שילוב של יומן CEF

  1. נכנסים למסוף הניהול של Proofpoint Protection Server ‏ (PPS).
  2. עוברים אל הגדרה > שילובים > SIEM משולב.
  3. לוחצים על הכרטיסייה SIEM Log Integration (שילוב יומני SIEM).
  4. כדי להפעיל את השילוב של יומן CEF, בוחרים באפשרות הפעלת ייצוא לפורמט ArcSight.
  5. מגדירים את שרת היעד של syslog:
    • מארח: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
    • יציאה: מזינים 514 (חייב להיות זהה ליציאת המקלט של סוכן Bindplane).
  6. לוחצים על Save.
  7. כדי לוודא שיומנים בפורמט CEF מתקבלים, בודקים את יומני הפעילות של סוכן Bindplane.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
מידע כללי מידע נוסף על האירוע
adultscore, attachments, hops, routes, notroutes, eid, querydepth, selector, spamscore, phishscore, mod, status, folder additional.fields נתוני אירועים ספציפיים לספק שלא ניתן לייצג באופן הולם בקטעים הרשמיים של מודל UDM
auth extensions.auth.type סוג האימות שבו נעשה שימוש
מתווך מידע על מכשירי ביניים שמעורבים באירוע
דומיין intermediary.administrative_domain הדומיין הניהולי של המתווך
hops-ip, lip, interm_ip intermediary.ip כתובת ה-IP של המתווך
metadata.event_type סוג האירוע (למשל, USER_LOGIN, ‏ NETWORK_CONNECTION)
prod_event_type metadata.product_event_type סוג אירוע ספציפי למוצר
מנוע metadata.product_version הגרסה של המוצר שיצרה את האירוע
פרוטו, דיוור network.application_protocol פרוטוקול האפליקציה שמשמש בחיבור לרשת
hfrom, from network.email.from כתובת האימייל של השולח
m, msgid, net_mail_id, hdr_mid network.email.mail_id המזהה הייחודי של הודעת האימייל
נושא network.email.subject שורת הנושא של האימייל
הם במצב network.email.to כתובות האימייל של הנמענים
received_byte network.received_bytes מספר הבייטים שהתקבלו בחיבור לרשת
s network.session_id המזהה הייחודי של הסשן ברשת
צופן network.tls.cipher סט האלגוריתמים להצפנה (cipher suite) ב-TLS שנעשה בו שימוש
tls_version, version network.tls.version גרסת ה-TLS שבה נעשה שימוש
דומיין principal.administrative_domain הדומיין הניהולי של החשבון הראשי
proc principal.application האפליקציה שמעורבת באירוע
מכשיר, מארח principal.asset.hostname שם המארח של הנכס שמשויך לחשבון המשתמש
ip, srcip principal.asset.ip כתובת ה-IP של הנכס שמשויך לחשבון המשתמש
guid principal.asset_id המזהה הייחודי של הנכס.
מכשיר, מארח principal.hostname שם המארח של הישות המורשית
ip, srcip principal.ip כתובת ה-IP של הגורם המרכזי
מדינה principal.location.country_or_region המדינה או האזור של מיקום החשבון הראשי
cmd principal.process.command_line שורת הפקודה ששימשה להפעלת התהליך
קובץ, שם principal.process.file.full_path הנתיב המלא של הקובץ שמעורב בתהליך
sz, size principal.process.file.size גודל הקובץ בבייטים
pid, process_id principal.process.pid מזהה התהליך
action, security_action security_result.action הפעולה שבוצעה על ידי מוצר האבטחה
מסווג security_result.category הקטגוריה של תוצאת האבטחה
class, internalId security_result.detection_fields שדות שמשמשים לזיהוי
כלל security_result.rule_name שם הכלל שהפעיל את תוצאת האבטחה
security_desc security_result.summary סיכום של תוצאת האבטחה
שם המארח target.asset.hostname שם המארח של הנכס שמשויך ליעד
שם המארח target.hostname שם המארח של היעד
metadata.product_name שם המוצר שיצר את האירוע
metadata.vendor_name שם הספק שייצר את המוצר
AppAccessContext.AADSessionId event.idm.read_only_udm.network.session_id מופה מיומן השינויים
ClientAppName event.idm.read_only_udm.target.application מופה מיומן השינויים
AppAccessContext.CorrelationId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
AppAccessContext.UniqueTokenId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
AppAccessContext.UserObjectId event.idm.read_only_udm.principal.user.product_object_id מופה מיומן השינויים
Id event.idm.read_only_udm.target.resource.product_object_id מופה מיומן השינויים
Operation event.idm.read_only_udm.metadata.product_event_type מופה מיומן השינויים
RecordType event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
UserKey event.idm.read_only_udm.principal.user.attribute.labels מופה מיומן השינויים
UserType event.idm.read_only_udm.principal.user.attribute.labels מופה מיומן השינויים
Version event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Workload event.idm.read_only_udm.principal.application מופה מיומן השינויים
ClientIP event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
UserId event.idm.read_only_udm.principal.user.email_addresses מופה מיומן השינויים
AuthenticationType event.idm.read_only_udm.extensions.auth.auth_details מופה מיומן השינויים
BrowserName event.idm.read_only_udm.network.http.parsed_user_agent מופה מיומן השינויים
BrowserVersion event.idm.read_only_udm.network.http.parsed_user_agent.browser_version מופה מיומן השינויים
CorrelationId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
EventSource event.idm.read_only_udm.additional.fields מופה מיומן השינויים
GeoLocation event.idm.read_only_udm.principal.location.name מופה מיומן השינויים
IsManagedDevice event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
ItemType event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ListId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ListItemUniqueId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Platform event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Site event.idm.read_only_udm.additional.fields מופה מיומן השינויים
UserAgent event.idm.read_only_udm.network.http.user_agent מופה מיומן השינויים
WebId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
HighPriorityMediaProcessing event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ListBaseType event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ListServerTemplate event.idm.read_only_udm.additional.fields מופה מיומן השינויים
SourceRelativeUrl event.idm.read_only_udm.principal.url מופה מיומן השינויים
net_mail_id" and "hdr_mid network.email.mail_id מופה מיומן השינויים
delay about.resource.attribute.labels מופה מיומן השינויים
relay intermediary.administrative_domain מופה מיומן השינויים
device" from "intermediary.hostname principal.hostname מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.