איסוף יומנים של מסנן האימייל של Proofpoint

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Proofpoint Email Filter ב-Google Security Operations באמצעות סוכן Bindplane.

‫Proofpoint Email Protection ‏ (PPS) הוא שער אבטחה לאימייל שמספק סינון ספאם, זיהוי איומים ואכיפה של מדיניות אימייל. הוא תומך בהעברת syslog ובשילוב יומני CEF כדי לייצא אירועי אבטחה ויומני עסקאות בדואר.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין שרת ההגנה של Proofpoint‏ (PPS)
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה מורשית למסוף הניהול של Proofpoint Protection Server ‏ (PPS) עם הרשאות אדמין

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.
3. מורידים את קובץ האימות להטמעת נתונים.

4. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

   הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת הסוכן של Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sc query observiq-otel-collector
   

   השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sudo systemctl status observiq-otel-collector
   

   השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

מאתרים את קובץ התצורה

• ‫Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ ההגדרות

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/proofpoint_mail_filter:
          compression: gzip
          creds_file_path: '<CREDS_FILE_PATH>'
          customer_id: '<CUSTOMER_ID>'
          endpoint: <REGION_ENDPOINT>
          log_type: PROOFPOINT_MAIL_FILTER
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/proofpoint_mail_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/proofpoint_mail_filter
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫tcplog: קבלת syslog דרך TCP. משתמשים ב-udplog אם מגדירים העברת UDP ב-PPS.
  • ‫0.0.0.0:514: האזנה לכל הממשקים ביציאה 514. אם צריך, משנים את היציאה (לדוגמה, 1514 ל-Linux שאינו root).

• הגדרת כלי הייצוא:

  • ‫<CREDS_FILE_PATH>: הנתיב המלא לקובץ האימות להטמעת נתונים:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫<CUSTOMER_ID>: מספר הלקוח משלב קבלת מספר הלקוח ב-Google SecOps.
  • ‫<REGION_ENDPOINT>: כתובת ה-URL של נקודת הקצה האזורית:
    • ארה"ב: malachiteingestion-pa.googleapis.com
    • אירופה: europe-malachiteingestion-pa.googleapis.com
    • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
    • לרשימה המלאה, ראו נקודות קצה אזוריות.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מחפשים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת העברת syslog של Proofpoint Email Protection

אפשרות 1: הגדרת העברת syslog ב-Proofpoint PPS

1. נכנסים למסוף הניהול של Proofpoint Protection Server (PPS).
2. עוברים אל System > Logs and Reports > Log Settings (מערכת > יומנים ודוחות > הגדרות יומן).
3. בקטע Remote Log Settings (הגדרות של יומן מרחוק), קובעים את ההגדרות הבאות:
   • פרוטוקול: בוחרים באפשרות Syslog.
   • שרת Syslog: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
   • יציאה: מזינים 514 (חייב להיות זהה ליציאת המקלט של סוכן Bindplane).
   • ‫Transport: בוחרים באפשרות TCP (צריך להתאים להגדרת המקלט של סוכן Bindplane). יש גם תמיכה ב-TLS להעברה מאובטחת.
4. בקטע Local Log Options (אפשרויות של יומן מקומי), מגדירים את דרגת המלל של הרישום ביומן לפי הצורך.

5. לוחצים על שמירת השינויים.

   הערה: פריסות Cloud Deploy של Proofpoint on Demand (PoD) דורשות רישיון נוסף של 'העברת syslog מרחוק' כדי לשלוח יומנים מהענן לשרת syslog מקומי באמצעות TLS.

אפשרות 2: הגדרת שילוב של יומן CEF

1. נכנסים למסוף הניהול של Proofpoint Protection Server ‏ (PPS).
2. עוברים אל הגדרה > שילובים > SIEM משולב.
3. לוחצים על הכרטיסייה SIEM Log Integration (שילוב יומני SIEM).
4. כדי להפעיל את השילוב של יומן CEF, בוחרים באפשרות הפעלת ייצוא לפורמט ArcSight.
5. מגדירים את שרת היעד של syslog:
   • מארח: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
   • יציאה: מזינים 514 (חייבת להתאים ליציאת המקלט של סוכן Bindplane).
6. לוחצים על Save.
7. כדי לוודא שיומנים בפורמט CEF מתקבלים, בודקים את יומן הפעילות של סוכן Bindplane.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
	מידע כללי	מידע נוסף על האירוע
adultscore, ‏ attachments, ‏ hops, ‏ routes, ‏ notroutes, ‏ eid, ‏ querydepth, ‏ selector, ‏ spamscore, ‏ phishscore, ‏ mod, ‏ status, ‏ folder	additional.fields	נתוני אירועים ספציפיים לספק שלא ניתן לייצג בצורה הולמת בקטעים הרשמיים של מודל ה-UDM
auth	extensions.auth.type	סוג האימות שבו נעשה שימוש
	מתווך	מידע על מכשירי ביניים שמעורבים באירוע
דומיין	intermediary.administrative_domain	הדומיין הניהולי של המתווך
hops-ip, lip, interm_ip	intermediary.ip	כתובת ה-IP של המתווך
	metadata.event_type	סוג האירוע (למשל, USER_LOGIN, ‏ NETWORK_CONNECTION)
prod_event_type	metadata.product_event_type	סוג אירוע שספציפי למוצר
מנוע	metadata.product_version	הגרסה של המוצר שיצרה את האירוע
proto, mailer	network.application_protocol	פרוטוקול האפליקציה שנעשה בו שימוש בחיבור לרשת
hfrom, from	network.email.from	כתובת האימייל של השולח
m, msgid, net_mail_id, hdr_mid	network.email.mail_id	המזהה הייחודי של הודעת האימייל
נושא	network.email.subject	שורת הנושא של האימייל
הם במצב	network.email.to	כתובות האימייל של הנמענים
received_byte	network.received_bytes	מספר הבייטים שהתקבלו בחיבור לרשת
s	network.session_id	מזהה ייחודי של סשן ברשת
צופן	network.tls.cipher	סט האלגוריתמים להצפנה (cipher suite) שנעשה בו שימוש ב-TLS
tls_version, version	network.tls.version	גרסת TLS שנעשה בה שימוש
דומיין	principal.administrative_domain	הדומיין האדמיניסטרטיבי של הגורם
proc	principal.application	האפליקציה שמעורבת באירוע
מכשיר, מארח	principal.asset.hostname	שם המארח של הנכס שמשויך לגורם הראשי
ip, srcip	principal.asset.ip	כתובת ה-IP של הנכס שמשויך לחשבון המשתמש
guid	principal.asset_id	המזהה הייחודי של הנכס.
מכשיר, מארח	principal.hostname	שם המארח של הישות המורשית
ip, srcip	principal.ip	כתובת ה-IP של החשבון הראשי
מדינה	principal.location.country_or_region	המדינה או האזור של מיקום החשבון הראשי
cmd	principal.process.command_line	שורת הפקודה ששימשה להפעלת התהליך
file, name	principal.process.file.full_path	הנתיב המלא של הקובץ שמעורב בתהליך
sz, size	principal.process.file.size	גודל הקובץ בבייטים
pid, process_id	principal.process.pid	מזהה התהליך
action, security_action	security_result.action	הפעולה שבוצעה על ידי מוצר האבטחה
מסווג	security_result.category	קטגוריה של תוצאת האבטחה
class, internalId	security_result.detection_fields	שדות שמשמשים לזיהוי
כלל	security_result.rule_name	שם הכלל שהפעיל את תוצאת האבטחה
security_desc	security_result.summary	סיכום תוצאות האבטחה
שם המארח	target.asset.hostname	שם המארח של הנכס שמשויך ליעד
שם המארח	target.hostname	שם המארח של היעד
	metadata.product_name	שם המוצר שיצר את האירוע
	metadata.vendor_name	שם הספק שייצר את המוצר
AppAccessContext.AADSessionId	event.idm.read_only_udm.network.session_id	מופה מיומן השינויים
ClientAppName	event.idm.read_only_udm.target.application	מופה מיומן השינויים
AppAccessContext.CorrelationId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
AppAccessContext.UniqueTokenId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
AppAccessContext.UserObjectId	event.idm.read_only_udm.principal.user.product_object_id	מופה מיומן השינויים
Id	event.idm.read_only_udm.target.resource.product_object_id	מופה מיומן השינויים
Operation	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
RecordType	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
UserKey	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
UserType	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
Version	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Workload	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
ClientIP	event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
UserId	event.idm.read_only_udm.principal.user.email_addresses	מופה מיומן השינויים
AuthenticationType	event.idm.read_only_udm.extensions.auth.auth_details	מופה מיומן השינויים
BrowserName	event.idm.read_only_udm.network.http.parsed_user_agent	מופה מיומן השינויים
BrowserVersion	event.idm.read_only_udm.network.http.parsed_user_agent.browser_version	מופה מיומן השינויים
CorrelationId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
EventSource	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
GeoLocation	event.idm.read_only_udm.principal.location.name	מופה מיומן השינויים
IsManagedDevice	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
ItemType	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ListId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ListItemUniqueId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Platform	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Site	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
UserAgent	event.idm.read_only_udm.network.http.user_agent	מופה מיומן השינויים
WebId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
HighPriorityMediaProcessing	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ListBaseType	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ListServerTemplate	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
SourceRelativeUrl	event.idm.read_only_udm.principal.url	מופה מיומן השינויים
net_mail_id" and "hdr_mid	network.email.mail_id	מופה מיומן השינויים
delay	about.resource.attribute.labels	מופה מיומן השינויים
relay	intermediary.administrative_domain	מופה מיומן השינויים
device" from "intermediary.hostname	principal.hostname	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.