O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Coletar registros do filtro de e-mail da Proofpoint

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros do filtro de e-mail do Proofpoint no Google Security Operations usando o agente do Bindplane.

O Proofpoint Email Protection (PPS) é um terminal de segurança de e-mail que oferece filtragem de spam, detecção de ameaças e aplicação de políticas de e-mail. Ele oferece suporte ao encaminhamento de syslog e à integração de registros CEF para exportar eventos de segurança e registros de transações de e-mail.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

Uma instância do Google SecOps
Windows Server 2016 ou mais recente ou host Linux com systemd
Conectividade de rede entre o agente do Bindplane e o servidor de proteção do Proofpoint (PPS, na sigla em inglês)
Se estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente Bindplane.
Acesso privilegiado ao console de gerenciamento do Proofpoint Protection Server (PPS) com permissões de administrador

Receber o arquivo de autenticação de ingestão do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Agentes de coleta.
Baixe o arquivo de autenticação de ingestão.
Salve o arquivo de forma segura no sistema em que o Bindplane será instalado.

Observação: esse arquivo JSON contém credenciais para autenticar o agente do Bindplane no Google SecOps.

Receber o ID de cliente do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Perfil.
Copie e salve o ID do cliente na seção Detalhes da organização.

Observação: o ID do cliente é necessário para configurar o exportador do agente Bindplane.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

Abra o prompt de comando ou o PowerShell como administrador.

Execute este comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Aguarde a conclusão da instalação.
Execute o seguinte comando para confirmar a instalação:
```
sc query observiq-otel-collector
```
O serviço vai aparecer como EM EXECUÇÃO.

Instalação do Linux

Abra um terminal com privilégios de root ou sudo.

Execute este comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Aguarde a conclusão da instalação.
Execute o seguinte comando para confirmar a instalação:
```
sudo systemctl status observiq-otel-collector
```
O serviço vai aparecer como ativo (em execução).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

Localizar o arquivo de configuração

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Editar o arquivo de configuração

Substitua todo o conteúdo de config.yaml pela seguinte configuração:

receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/proofpoint_mail_filter:
        compression: gzip
        creds_file_path: '<CREDS_FILE_PATH>'
        customer_id: '<CUSTOMER_ID>'
        endpoint: <REGION_ENDPOINT>
        log_type: PROOFPOINT_MAIL_FILTER
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/proofpoint_mail_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/proofpoint_mail_filter

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

Configuração do receptor:
- tcplog: recebe syslog por TCP. Use udplog se você configurar o transporte UDP no PPS.
- 0.0.0.0:514: detecta todas as interfaces na porta 514. Mude a porta se necessário (por exemplo, 1514 para Linux não root).
Configuração do exportador:
- <CREDS_FILE_PATH>: caminho completo para o arquivo de autenticação de ingestão:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <CUSTOMER_ID>: ID do cliente da etapa Receber o ID do cliente do Google SecOps.
- <REGION_ENDPOINT>: URL do endpoint regional:
  - EUA: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Ásia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Consulte a lista completa em Endpoints regionais.

Salve o arquivo de configuração.

Depois de editar, salve o arquivo:
- Linux: pressione Ctrl+O, Enter e Ctrl+X.
- Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças

Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:
```
sudo systemctl restart observiq-otel-collector
```
1. Verifique se o serviço está em execução:
```
sudo systemctl status observiq-otel-collector
```
2. Verifique se há erros nos registros:
```
sudo journalctl -u observiq-otel-collector -f
```
Para reiniciar o agente do Bindplane no Windows, escolha uma das seguintes opções:
- Prompt de comando ou PowerShell como administrador:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console de serviços:
  1. Pressione Win+R, digite services.msc e pressione Enter.
  2. Localize o Coletor do OpenTelemetry da observIQ.
  3. Clique com o botão direito do mouse e selecione Reiniciar.
  4. Verifique se o serviço está em execução:
```
sc query observiq-otel-collector
```
  5. Verifique se há erros nos registros:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configurar o encaminhamento de syslog da Proteção de e-mail da Proofpoint

Opção 1: configurar o encaminhamento do syslog no Proofpoint PPS

Faça login no console de gerenciamento do Proofpoint Protection Server (PPS).
Acesse Sistema > Registros e relatórios > Configurações de registro.
Na seção Configurações de registro remoto, configure o seguinte:
- Protocolo: selecione Syslog.
- Servidor Syslog: insira o endereço IP do host do agente Bindplane (por exemplo, 192.168.1.100).
- Porta: insira 514 (precisa corresponder à porta do receptor do agente do Bindplane).
- Transporte: selecione TCP (precisa corresponder à configuração do receptor do agente Bindplane). O TLS também é compatível com encaminhamento seguro.
Na seção Opções de registro local, configure a verbosidade do registro conforme necessário.
Clique em Salvar alterações.

Observação: as implantações na nuvem do Proofpoint on Demand (PoD) exigem uma licença extra de "Encaminhamento remoto de syslog" para enviar registros da nuvem a um servidor syslog local via TLS.

Opção 2: configurar a integração de registros CEF

Faça login no console de gerenciamento do Proofpoint Protection Server (PPS).
Acesse Configuração > Integrações > SIEM integrado.
Clique na guia Integração de registros do SIEM.
Selecione Ativar a exportação para o formato ArcSight para ativar a integração de registros CEF.
Configure o servidor de destino do syslog:
- Host: insira o endereço IP do host do agente do Bindplane (por exemplo, 192.168.1.100).
- Porta: insira 514 (precisa corresponder à porta do receptor do agente do Bindplane).
Clique em Salvar.
Verifique se os registros formatados em CEF estão sendo recebidos conferindo os registros do agente Bindplane.

Tabela de mapeamento do UDM

Campo de registro	Mapeamento do UDM	Lógica
	sobre	Outras informações sobre o evento
adultscore, attachments, hops, routes, notroutes, eid, querydepth, selector, spamscore, phishscore, mod, status, folder	additional.fields	Dados de eventos específicos do fornecedor que não podem ser adequadamente representados nas seções formais do modelo UDM
auth	extensions.auth.type	Tipo de autenticação usado
	intermediário	Informações sobre dispositivos intermediários envolvidos no evento
domínio	intermediary.administrative_domain	Domínio administrativo do intermediário
hops-ip, lip, interm_ip	intermediary.ip	Endereço IP do intermediário
	metadata.event_type	Tipo de evento (por exemplo, USER_LOGIN, NETWORK_CONNECTION)
prod_event_type	metadata.product_event_type	Tipo de evento específico do produto
de consulta	metadata.product_version	Versão do produto que gerou o evento
proto, mailer	network.application_protocol	Protocolo de aplicativo usado na conexão de rede.
hfrom, from	network.email.from	Endereço do remetente do e-mail
m, msgid, net_mail_id, hdr_mid	network.email.mail_id	Identificador exclusivo da mensagem de e-mail.
subject	network.email.subject	Linha de assunto do e-mail
a	network.email.to	Endereços de e-mail dos destinatários
received_byte	network.received_bytes	Número de bytes recebidos na conexão de rede
s	network.session_id	Identificador exclusivo da sessão de rede.
criptografia	network.tls.cipher	Pacote de criptografia TLS usado
tls_version, version	network.tls.version	Versão do TLS usada
domínio	principal.administrative_domain	Domínio administrativo do principal
proc	principal.application	Aplicativo envolvido no evento
dispositivo, host	principal.asset.hostname	Nome do host do recurso associado ao principal
ip, srcip	principal.asset.ip	Endereço IP do recurso associado ao principal
guid	principal.asset_id	Identificador exclusivo do recurso
dispositivo, host	principal.hostname	Nome do host do principal
ip, srcip	principal.ip	Endereço IP do principal
país	principal.location.country_or_region	País ou região da localização do principal
cmd	principal.process.command_line	Linha de comando usada para iniciar o processo
arquivo, nome	principal.process.file.full_path	Caminho completo do arquivo envolvido no processo
sz, size	principal.process.file.size	Tamanho do arquivo em bytes
pid, process_id	principal.process.pid	ID do processo
action, security_action	security_result.action	Ação realizada pelo produto de segurança
classificador	security_result.category	Categoria do resultado de segurança
class, internalId	security_result.detection_fields	Campos usados para detecção
regra	security_result.rule_name	Nome da regra que acionou o resultado de segurança
security_desc	security_result.summary	Resumo do resultado de segurança
nome do host	target.asset.hostname	Nome do host do recurso associado ao destino
nome do host	target.hostname	Nome do host do destino
	metadata.product_name	Nome do produto que gerou o evento
	metadata.vendor_name	Nome do fornecedor que produziu o produto.
`AppAccessContext.AADSessionId`	`event.idm.read_only_udm.network.session_id`	Mapeado do registro de mudanças
`ClientAppName`	`event.idm.read_only_udm.target.application`	Mapeado do registro de mudanças
`AppAccessContext.CorrelationId`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`AppAccessContext.UniqueTokenId`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`AppAccessContext.UserObjectId`	`event.idm.read_only_udm.principal.user.product_object_id`	Mapeado do registro de mudanças
`Id`	`event.idm.read_only_udm.target.resource.product_object_id`	Mapeado do registro de mudanças
`Operation`	`event.idm.read_only_udm.metadata.product_event_type`	Mapeado do registro de mudanças
`RecordType`	`event.idm.read_only_udm.security_result.detection_fields`	Mapeado do registro de mudanças
`UserKey`	`event.idm.read_only_udm.principal.user.attribute.labels`	Mapeado do registro de mudanças
`UserType`	`event.idm.read_only_udm.principal.user.attribute.labels`	Mapeado do registro de mudanças
`Version`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`Workload`	`event.idm.read_only_udm.principal.application`	Mapeado do registro de mudanças
`ClientIP`	`event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip`	Mapeado do registro de mudanças
`UserId`	`event.idm.read_only_udm.principal.user.email_addresses`	Mapeado do registro de mudanças
`AuthenticationType`	`event.idm.read_only_udm.extensions.auth.auth_details`	Mapeado do registro de mudanças
`BrowserName`	`event.idm.read_only_udm.network.http.parsed_user_agent`	Mapeado do registro de mudanças
`BrowserVersion`	`event.idm.read_only_udm.network.http.parsed_user_agent.browser_version`	Mapeado do registro de mudanças
`CorrelationId`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`EventSource`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`GeoLocation`	`event.idm.read_only_udm.principal.location.name`	Mapeado do registro de mudanças
`IsManagedDevice`	`event.idm.read_only_udm.security_result.detection_fields`	Mapeado do registro de mudanças
`ItemType`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`ListId`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`ListItemUniqueId`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`Platform`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`Site`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`UserAgent`	`event.idm.read_only_udm.network.http.user_agent`	Mapeado do registro de mudanças
`WebId`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`HighPriorityMediaProcessing`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`ListBaseType`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`ListServerTemplate`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de mudanças
`SourceRelativeUrl`	`event.idm.read_only_udm.principal.url`	Mapeado do registro de mudanças
`net_mail_id" and "hdr_mid`	`network.email.mail_id`	Mapeado do registro de mudanças
`delay`	`about.resource.attribute.labels`	Mapeado do registro de mudanças
`relay`	`intermediary.administrative_domain`	Mapeado do registro de mudanças
`device" from "intermediary.hostname`	`principal.hostname`	Mapeado do registro de mudanças

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.