Mengumpulkan log Proofpoint Email Filter

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Proofpoint Email Filter ke Google Security Operations menggunakan agen Bindplane.

Proofpoint Email Protection (PPS) adalah gateway keamanan email yang menyediakan pemfilteran spam, deteksi ancaman, dan penegakan kebijakan email. Layanan ini mendukung penerusan syslog dan integrasi log CEF untuk mengekspor peristiwa keamanan dan log transaksi email.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan Proofpoint Protection Server (PPS)
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke konsol pengelolaan Proofpoint Protection Server (PPS) dengan izin administrator

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download File Autentikasi Penyerapan.

4. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

   Catatan: File JSON ini berisi kredensial untuk mengautentikasi agen Bindplane ke Google SecOps.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Edit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/proofpoint_mail_filter:
          compression: gzip
          creds_file_path: '<CREDS_FILE_PATH>'
          customer_id: '<CUSTOMER_ID>'
          endpoint: <REGION_ENDPOINT>
          log_type: PROOFPOINT_MAIL_FILTER
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/proofpoint_mail_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/proofpoint_mail_filter
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • tcplog: Menerima syslog melalui TCP. Gunakan udplog jika Anda mengonfigurasi transportasi UDP di PPS.
  • 0.0.0.0:514: Memproses semua antarmuka di port 514. Ubah port jika diperlukan (misalnya, 1514 untuk Linux non-root).

• Konfigurasi pengekspor:

  • <CREDS_FILE_PATH>: Jalur lengkap ke file autentikasi penyerapan:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <CUSTOMER_ID>: ID Pelanggan dari langkah Dapatkan ID pelanggan Google SecOps.
  • <REGION_ENDPOINT>: URL endpoint regional:
    • Amerika Serikat: malachiteingestion-pa.googleapis.com
    • Eropa: europe-malachiteingestion-pa.googleapis.com
    • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.

Simpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol Services:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Mulai ulang.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi penerusan syslog Proofpoint Email Protection

Opsi 1: Mengonfigurasi penerusan syslog di Proofpoint PPS

1. Login ke konsol pengelolaan Proofpoint Protection Server (PPS).
2. Buka System > Logs and Reports > Log Settings.
3. Di bagian Remote Log Settings, konfigurasikan hal berikut:
   • Protocol: Pilih Syslog.
   • Syslog server: Masukkan alamat IP host agen Bindplane (misalnya, 192.168.1.100).
   • Port: Masukkan 514 (harus cocok dengan port penerima agen Bindplane).
   • Transportasi: Pilih TCP (harus cocok dengan konfigurasi penerima agen Bindplane). TLS juga didukung untuk penerusan yang aman.
4. Di bagian Local Log Options, konfigurasikan kejelasan log sesuai kebutuhan.

5. Klik Simpan Perubahan.

   Catatan: Cloud Deploy Proofpoint on Demand (PoD) memerlukan lisensi "Remote Syslog Forwarding" tambahan untuk mengirim log dari cloud ke server syslog lokal melalui TLS.

Opsi 2: Mengonfigurasi integrasi log CEF

1. Login ke konsol pengelolaan Proofpoint Protection Server (PPS).
2. Buka Konfigurasi > Integrasi > SIEM Terintegrasi.
3. Klik tab SIEM Log Integration.
4. Pilih Aktifkan ekspor ke format ArcSight untuk mengaktifkan integrasi log CEF.
5. Konfigurasikan server tujuan syslog:
   • Host: Masukkan alamat IP host agen Bindplane (misalnya, 192.168.1.100).
   • Port: Masukkan 514 (harus cocok dengan port penerima agen Bindplane).
6. Klik Simpan.
7. Pastikan log berformat CEF diterima dengan memeriksa log agen Bindplane.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
	tentang	Informasi tambahan tentang acara
adultscore, attachments, hops, routes, notroutes, eid, querydepth, selector, spamscore, phishscore, mod, status, folder	additional.fields	Data peristiwa khusus vendor yang tidak dapat direpresentasikan secara memadai dalam bagian formal model UDM
auth	extensions.auth.type	Jenis autentikasi yang digunakan
	perantara	Informasi tentang perangkat perantara yang terlibat dalam peristiwa
domain	intermediary.administrative_domain	Domain administratif perantara
hops-ip, lip, interm_ip	intermediary.ip	Alamat IP perantara
	metadata.event_type	Jenis peristiwa (misalnya, USER_LOGIN, NETWORK_CONNECTION)
prod_event_type	metadata.product_event_type	Jenis peristiwa khusus produk
mesin	metadata.product_version	Versi produk yang menghasilkan peristiwa
proto, mailer	network.application_protocol	Protokol aplikasi yang digunakan dalam koneksi jaringan
hfrom, from	network.email.from	Alamat pengirim email
m, msgid, net_mail_id, hdr_mid	network.email.mail_id	ID unik untuk pesan email
subject	network.email.subject	Baris subjek email
sampai	network.email.to	Alamat penerima email
received_byte	network.received_bytes	Jumlah byte yang diterima dalam koneksi jaringan
s	network.session_id	ID unik untuk sesi jaringan
cipher	network.tls.cipher	Cipher suite TLS yang digunakan
tls_version, version	network.tls.version	Versi TLS yang digunakan
domain	principal.administrative_domain	Domain administratif akun utama
proc	principal.application	Aplikasi yang terlibat dalam peristiwa
perangkat, host	principal.asset.hostname	Nama host aset yang terkait dengan akun utama
ip, srcip	principal.asset.ip	Alamat IP aset yang terkait dengan pemilik
guid	principal.asset_id	ID unik untuk aset
perangkat, host	principal.hostname	Nama host utama
ip, srcip	principal.ip	Alamat IP kepala sekolah
country	principal.location.country_or_region	Negara atau wilayah lokasi prinsipal
cmd	principal.process.command_line	Command line yang digunakan untuk meluncurkan proses
file, name	principal.process.file.full_path	Jalur lengkap file yang terlibat dalam proses
sz, size	principal.process.file.size	Ukuran file dalam byte
pid, process_id	principal.process.pid	ID proses
action, security_action	security_result.action	Tindakan yang diambil oleh produk keamanan
pengklasifikasi	security_result.category	Kategori hasil keamanan
class, internalId	security_result.detection_fields	Kolom yang digunakan untuk deteksi
aturan	security_result.rule_name	Nama aturan yang memicu hasil keamanan
security_desc	security_result.summary	Ringkasan hasil keamanan
hostname	target.asset.hostname	Nama host aset yang terkait dengan target
hostname	target.hostname	Nama host target
	metadata.product_name	Nama produk yang menghasilkan peristiwa
	metadata.vendor_name	Nama vendor yang memproduksi produk
AppAccessContext.AADSessionId	event.idm.read_only_udm.network.session_id	Dipetakan dari log perubahan
ClientAppName	event.idm.read_only_udm.target.application	Dipetakan dari log perubahan
AppAccessContext.CorrelationId	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
AppAccessContext.UniqueTokenId	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
AppAccessContext.UserObjectId	event.idm.read_only_udm.principal.user.product_object_id	Dipetakan dari log perubahan
Id	event.idm.read_only_udm.target.resource.product_object_id	Dipetakan dari log perubahan
Operation	event.idm.read_only_udm.metadata.product_event_type	Dipetakan dari log perubahan
RecordType	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
UserKey	event.idm.read_only_udm.principal.user.attribute.labels	Dipetakan dari log perubahan
UserType	event.idm.read_only_udm.principal.user.attribute.labels	Dipetakan dari log perubahan
Version	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Workload	event.idm.read_only_udm.principal.application	Dipetakan dari log perubahan
ClientIP	event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
UserId	event.idm.read_only_udm.principal.user.email_addresses	Dipetakan dari log perubahan
AuthenticationType	event.idm.read_only_udm.extensions.auth.auth_details	Dipetakan dari log perubahan
BrowserName	event.idm.read_only_udm.network.http.parsed_user_agent	Dipetakan dari log perubahan
BrowserVersion	event.idm.read_only_udm.network.http.parsed_user_agent.browser_version	Dipetakan dari log perubahan
CorrelationId	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
EventSource	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
GeoLocation	event.idm.read_only_udm.principal.location.name	Dipetakan dari log perubahan
IsManagedDevice	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
ItemType	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ListId	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ListItemUniqueId	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Platform	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Site	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
UserAgent	event.idm.read_only_udm.network.http.user_agent	Dipetakan dari log perubahan
WebId	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
HighPriorityMediaProcessing	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ListBaseType	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ListServerTemplate	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
SourceRelativeUrl	event.idm.read_only_udm.principal.url	Dipetakan dari log perubahan
net_mail_id" and "hdr_mid	network.email.mail_id	Dipetakan dari log perubahan
delay	about.resource.attribute.labels	Dipetakan dari log perubahan
relay	intermediary.administrative_domain	Dipetakan dari log perubahan
device" from "intermediary.hostname	principal.hostname	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.