Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Proofpoint Email Filter のログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して Proofpoint Email Filter ログを Google Security Operations に取り込む方法について説明します。

Proofpoint Email Protection（PPS）は、スパムフィルタリング、脅威の検出、メールポリシーの適用を提供するメールセキュリティゲートウェイです。セキュリティイベントとメールトランザクションログをエクスポートするための syslog 転送と CEF ログ統合をサポートしています。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Windows Server 2016 以降、または systemd を使用する Linux ホスト
Bindplane エージェントと Proofpoint Protection Server（PPS）間のネットワーク接続
プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォールポートが開いていることを確認します。
管理者権限を持つ Proofpoint Protection Server（PPS）管理コンソールへの特権アクセス

Google SecOps の取り込み認証ファイルを取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [収集エージェント] に移動します。
取り込み認証ファイル をダウンロードします。
Bindplane をインストールするシステムにファイルを安全に保存します。

注: この JSON ファイルには、Bindplane エージェントを Google SecOps に対して認証するための認証情報が含まれています。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

注: Bindplane エージェントエクスポータを構成するには、顧客 ID が必要です。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティングシステムに Bindplane エージェントをインストールします。

Windows のインストール

管理者としてコマンドプロンプトまたは PowerShell を開きます。

次のコマンドを実行します。

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

インストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
```
sc query observiq-otel-collector
```
サービスが RUNNING と表示されます。

Linux へのインストール

root 権限または sudo 権限でターミナルを開きます。

次のコマンドを実行します。

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

インストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
```
sudo systemctl status observiq-otel-collector
```
サービスは active (running) と表示されます。

その他のインストールリソース

その他のインストールオプションとトラブルシューティングについては、Bindplane エージェントのインストールガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探します。

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

config.yaml の内容全体を次の構成に置き換えます。

receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/proofpoint_mail_filter:
        compression: gzip
        creds_file_path: '<CREDS_FILE_PATH>'
        customer_id: '<CUSTOMER_ID>'
        endpoint: <REGION_ENDPOINT>
        log_type: PROOFPOINT_MAIL_FILTER
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/proofpoint_mail_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/proofpoint_mail_filter

構成パラメータ

各プレースホルダを次のように置き換えます。

レシーバーの構成:
- tcplog: TCP を介して Syslog を受信します。PPS で UDP 転送を構成する場合は、udplog を使用します。
- 0.0.0.0:514: ポート 514 のすべてのインターフェースでリッスンします。必要に応じてポートを変更します（たとえば、非 root Linux の場合は 1514）。
エクスポータの構成:
- <CREDS_FILE_PATH>: 取り込み認証ファイルのフルパス:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <CUSTOMER_ID>: Google SecOps のお客様 ID を取得するステップで取得したお客様 ID。
- <REGION_ENDPOINT>: リージョンエンドポイント URL:
  - 米国: malachiteingestion-pa.googleapis.com
  - ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
  - アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
  - 完全なリストについては、リージョンエンドポイントをご覧ください。

構成ファイルを保存する

編集が完了したら、ファイルを保存します。
- Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
- Windows の場合: [ファイル] > [保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。
```
sudo systemctl restart observiq-otel-collector
```
1. サービスが実行されていることを確認します。
```
sudo systemctl status observiq-otel-collector
```
2. ログでエラーを確認します。
```
sudo journalctl -u observiq-otel-collector -f
```
Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。
- 管理者としてコマンドプロンプトまたは PowerShell を開きます。
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- サービスコンソール:
  1. Win+R キーを押し、「services.msc」と入力して Enter キーを押します。
  2. observIQ OpenTelemetry Collector を見つけます。
  3. 右クリックして [再起動] を選択します。
  4. サービスが実行されていることを確認します。
```
sc query observiq-otel-collector
```
  5. ログでエラーを確認します。
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Proofpoint Email Protection の syslog 転送を構成する

オプション 1: Proofpoint PPS で syslog 転送を構成する

Proofpoint Protection Server（PPS）管理コンソールにログインします。
[System] > [Logs and Reports] > [Log Settings] に移動します。
[リモートログの設定] セクションで、次のように構成します。
- プロトコル: [Syslog] を選択します。
- Syslog サーバー: Bindplane エージェントホストの IP アドレス（192.168.1.100 など）を入力します。
- ポート: 514 を入力します（Bindplane エージェントレシーバーポートと一致する必要があります）。
- トランスポート: [TCP] を選択します（Bindplane エージェントレシーバーの構成と一致している必要があります）。TLS は安全な転送でもサポートされています。
[Local Log Options] セクションで、必要に応じてロギングの詳細度を構成します。
[変更を保存] をクリックします。

注: Proofpoint on Demand（PoD）Cloud Deploy では、TLS 経由でクラウドからオンプレミスの Syslog サーバーにログを送信するために、追加の「リモート syslog 転送」ライセンスが必要です。

オプション 2: CEF ログ統合を構成する

Proofpoint Protection Server（PPS）管理コンソールにログインします。
[Configuration] > [Integrations] > [Integrated SIEM] に移動します。
[SIEM ログ統合] タブをクリックします。
[ArcSight 形式へのエクスポートを有効にする] を選択して、CEF ログ統合を有効にします。
syslog 宛先サーバーを構成します。
- ホスト: Bindplane エージェントホストの IP アドレス（192.168.1.100 など）を入力します。
- ポート: 514 を入力します（Bindplane エージェントのレシーバーポートと一致する必要があります）。
[保存] をクリックします。
Bindplane エージェントログを調べて、CEF 形式のログが受信されていることを確認します。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
	about	イベントに関する追加情報
adultscore、attachments、hops、routes、notroutes、eid、querydepth、selector、spamscore、phishscore、mod、status、folder	additional.fields	UDM モデルの正式なセクション内で適切に表現できないベンダー固有のイベントデータ
auth	extensions.auth.type	使用する認証タイプ
	intermediary	イベントに関連する中間デバイスに関する情報
ドメイン	intermediary.administrative_domain	仲介者の管理ドメイン
hops-ip、lip、interm_ip	intermediary.ip	仲介者の IP アドレス
	metadata.event_type	イベントのタイプ（例: USER_LOGIN、NETWORK_CONNECTION）
prod_event_type	metadata.product_event_type	プロダクト固有のイベントタイプ
エンジン	metadata.product_version	イベントを生成したプロダクトのバージョン
proto、mailer	network.application_protocol	ネットワーク接続で使用されるアプリケーションプロトコル
hfrom、from	network.email.from	メールの送信元アドレス
m、msgid、net_mail_id、hdr_mid	network.email.mail_id	メールメッセージの一意の識別子
件名	network.email.subject	メールの件名
～	network.email.to	メールの受信者アドレス
received_byte	network.received_bytes	ネットワーク接続で受信したバイト数
s	network.session_id	ネットワークセッションの固有識別子
暗号	network.tls.cipher	使用された TLS 暗号スイート
tls_version、version	network.tls.version	使用された TLS バージョン
ドメイン	principal.administrative_domain	プリンシパルの管理ドメイン
proc	principal.application	イベントに関与したアプリケーション
デバイス、ホスト	principal.asset.hostname	プリンシパルに関連付けられたアセットのホスト名
ip、srcip	principal.asset.ip	プリンシパルに関連付けられたアセットの IP アドレス
guid	principal.asset_id	アセットの一意の識別子
デバイス、ホスト	principal.hostname	プリンシパルのホスト名
ip, srcip	principal.ip	プリンシパルの IP アドレス
country	principal.location.country_or_region	プリンシパルのロケーションの国または地域
cmd	principal.process.command_line	プロセスの起動に使用されたコマンドライン
ファイル、名前	principal.process.file.full_path	プロセスに関与するファイルのフルパス
sz、size	principal.process.file.size	ファイルのサイズ（バイト単位）
pid、process_id	principal.process.pid	プロセス ID
action、security_action	security_result.action	セキュリティプロダクトによって実行されたアクション
分類器	security_result.category	セキュリティ結果のカテゴリ
class、internalId	security_result.detection_fields	検出に使用されるフィールド
ルール	security_result.rule_name	セキュリティ結果をトリガーしたルールの名前
security_desc	security_result.summary	セキュリティ結果の概要
hostname	target.asset.hostname	ターゲットに関連付けられているアセットのホスト名
hostname	target.hostname	ターゲットのホスト名
	metadata.product_name	イベントを生成したサービスの名前
	metadata.vendor_name	製品を製造したベンダーの名前
`AppAccessContext.AADSessionId`	`event.idm.read_only_udm.network.session_id`	変更履歴からマッピング
`ClientAppName`	`event.idm.read_only_udm.target.application`	変更履歴からマッピング
`AppAccessContext.CorrelationId`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`AppAccessContext.UniqueTokenId`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`AppAccessContext.UserObjectId`	`event.idm.read_only_udm.principal.user.product_object_id`	変更履歴からマッピング
`Id`	`event.idm.read_only_udm.target.resource.product_object_id`	変更履歴からマッピング
`Operation`	`event.idm.read_only_udm.metadata.product_event_type`	変更履歴からマッピング
`RecordType`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`UserKey`	`event.idm.read_only_udm.principal.user.attribute.labels`	変更履歴からマッピング
`UserType`	`event.idm.read_only_udm.principal.user.attribute.labels`	変更履歴からマッピング
`Version`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`Workload`	`event.idm.read_only_udm.principal.application`	変更履歴からマッピング
`ClientIP`	`event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip`	変更履歴からマッピング
`UserId`	`event.idm.read_only_udm.principal.user.email_addresses`	変更履歴からマッピング
`AuthenticationType`	`event.idm.read_only_udm.extensions.auth.auth_details`	変更履歴からマッピング
`BrowserName`	`event.idm.read_only_udm.network.http.parsed_user_agent`	変更履歴からマッピング
`BrowserVersion`	`event.idm.read_only_udm.network.http.parsed_user_agent.browser_version`	変更履歴からマッピング
`CorrelationId`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`EventSource`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`GeoLocation`	`event.idm.read_only_udm.principal.location.name`	変更履歴からマッピング
`IsManagedDevice`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`ItemType`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`ListId`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`ListItemUniqueId`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`Platform`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`Site`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`UserAgent`	`event.idm.read_only_udm.network.http.user_agent`	変更履歴からマッピング
`WebId`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`HighPriorityMediaProcessing`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`ListBaseType`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`ListServerTemplate`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`SourceRelativeUrl`	`event.idm.read_only_udm.principal.url`	変更履歴からマッピング
`net_mail_id" and "hdr_mid`	`network.email.mail_id`	変更履歴からマッピング
`delay`	`about.resource.attribute.labels`	変更履歴からマッピング
`relay`	`intermediary.administrative_domain`	変更履歴からマッピング
`device" from "intermediary.hostname`	`principal.hostname`	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。