Proofpoint Sendmail Sentrion-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Proofpoint Sendmail Sentrion-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Proofpoint Sendmail Sentrion ist ein Enterprise-Mail-Transfer-Agent (MTA), der Sicherheitskontrollen, Nachrichtenverfolgung und Richtlinienerzwingung für ausgehende und eingehende E‑Mails bietet. E-Mail-Transaktionen werden über die Standard-Syslog-Einrichtung mail protokolliert.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem Bindplane-Agent und dem Proofpoint Sendmail Sentrion MTA-Server
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Privilegierter Zugriff auf den Proofpoint Sendmail Sentrion-Server mit Root- oder Administratorberechtigungen

Authentifizierungsdatei für die Google SecOps-Datenaufnahme abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.

  4. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.

  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Fenstereinbau

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

    Der Dienst sollte als RUNNING (Wird ausgeführt) angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

    Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agent.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/proofpoint_sentrion:
        compression: gzip
        creds_file_path: '<CREDS_FILE_PATH>'
        customer_id: '<CUSTOMER_ID>'
        endpoint: <REGION_ENDPOINT>
        log_type: PROOFPOINT_SENDMAIL_SENTRION
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/sentrion_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/proofpoint_sentrion

Konfigurationsparameter

  • Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • udplog: Empfängt Syslog über UDP. Verwenden Sie tcplog, wenn Sie den TCP-Transport in der Syslog-Konfiguration konfiguriert haben.
    • 0.0.0.0:514: Überwacht alle Schnittstellen auf Port 514. Ändern Sie den Port bei Bedarf (z. B. 1514 für Linux ohne Root-Zugriff).

  • Exporter-Konfiguration:

    • <CREDS_FILE_PATH>: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <CUSTOMER_ID>: Kunden-ID aus dem Schritt Google SecOps-Kunden-ID abrufen.
    • <REGION_ENDPOINT>: Regionale Endpunkt-URL:
      • USA: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Eine vollständige Liste finden Sie unter Regionale Endpunkte.

Konfigurationsdatei speichern

  • Speichern Sie die Datei nach der Bearbeitung:
    • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
    • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

    1. Prüfen Sie, ob der Dienst ausgeführt wird:

      sudo systemctl status observiq-otel-collector

    2. Logs auf Fehler prüfen:

      sudo journalctl -u observiq-otel-collector -f

  • Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agent unter Windows neu zu starten:

    • Eingabeaufforderung oder PowerShell als Administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Services-Konsole:

      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

      4. Prüfen Sie, ob der Dienst ausgeführt wird:

        sc query observiq-otel-collector

      5. Logs auf Fehler prüfen:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung für Proofpoint Sendmail Sentrion konfigurieren

Sendmail Sentrion verwendet die Standard-Syslog-Einrichtung mail, um Protokolle für Mailtransaktionen zu schreiben. Die Standardspeicherorte für Logs hängen vom Betriebssystem ab:

Betriebssystem Standard-Logpfad
RHEL / CentOS /var/log/maillog
Debian / Ubuntu /var/log/mail.log
Solaris /var/log/syslog (gefiltert nach mail.*)

Option 1: Syslog-Weiterleitung mit rsyslog konfigurieren

  1. Bearbeiten Sie die Syslog-Konfigurationsdatei auf dem Sentrion MTA-Server:

    sudo nano /etc/rsyslog.d/sentrion.conf

  2. Fügen Sie die folgende Regel hinzu, um Mail Facility-Logs an den BindPlane-Agenten weiterzuleiten:

    mail.*    @BINDPLANE_AGENT_IP:514

  3. Speichern Sie die Datei und starten Sie den rsyslog-Dienst neu:

    sudo systemctl restart rsyslog

  4. Prüfen Sie anhand der Bindplane-Agent-Logs, ob Logs weitergeleitet werden.

Option 2: Syslog-Weiterleitung über die Sentrion-Verwaltungskonsole konfigurieren

  1. Melden Sie sich in der Sentrion-Verwaltungskonsole an.
  2. Rufen Sie Konfiguration > Protokollierung (oder System > Protokolleinstellungen) auf.
  3. Remote-Syslog-Einstellungen konfigurieren:
    • Syslog-Server: Geben Sie die IP-Adresse des BindPlane-Agent-Hosts ein (z. B. 192.168.1.100).
    • Port: Geben Sie 514 ein (muss mit dem Empfängerport des BindPlane-Agenten übereinstimmen).
    • Protokoll: Wählen Sie UDP aus (muss mit der Bindplane-Agent-Receiver-Konfiguration übereinstimmen).
    • Logebene: Auf „Alle E-Mail-Transaktionsereignisse erfassen“ festgelegt.
  4. Klicken Sie auf Übernehmen oder Speichern.
  5. Prüfen Sie anhand der Bindplane-Agent-Logs, ob Logs weitergeleitet werden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
additional.fields Zusammengeführt aus „tty_label“ und „pwd_label“
Aktion security_result.action_details Wert direkt kopiert
action_result security_result.summary Wert wird direkt kopiert, sofern vorhanden
App principal.application Wert direkt kopiert
app_proto network.application_protocol Wert direkt kopiert
auth security_result.detection_fields Zusammengeführt als „auth_label“ (Schlüssel: „auth“, Wert: „auth“)
Bits security_result.detection_fields Zusammengeführt als „bits_label“ (Schlüssel: „bits“, Wert: „bits“)
Kategorisierung security_result.category_details Wert direkt kopiert
Chiffre network.tls.cipher Wert direkt kopiert
Klasse security_result.detection_fields Zusammengeführt als „class_label“ (Schlüssel: „class“, Wert: „class“)
Cluster principal.resource.attribute.labels Zusammengeführt als „cluster_label“ (Schlüssel: „cluster“, Wert: „cluster“)
COMMAND principal.process.command_line Wert direkt kopiert
Daemon security_result.detection_fields Zusammengeführt als „daemon_label“ (Schlüssel: „daemon“, Wert: „daemon“)
delay security_result.detection_fields Zusammengeführt als „delay_label“ (Schlüssel: „delay“, Wert: „delay“)
Beschreibung security_result.description Wert direkt kopiert
Details metadata.description Wert direkt kopiert
disposition security_result.detection_fields Zusammengeführt als „disposition_label“ (Schlüssel: „disposition“, Wert: „disposition“)
dsn security_result.detection_fields Zusammengeführt als „dsn_label“ (Schlüssel: „dsn“, Wert: „dsn“)
event_type metadata.event_type Wert direkt kopiert
von network.email.from Als „valid_from“ mit dem Grok-Muster extrahiert, wenn es sich um eine gültige E-Mail-Adresse handelt
Host principal.asset.hostname, principal.hostname Wert direkt kopiert
ip principal.asset.ip, principal.ip Wert direkt kopiert
job_name principal.resource.attribute.labels Zusammengeführt als „job_name_label“ (Schlüssel: „job_name“, Wert: „job_name“)
Mailer security_result.detection_fields Zusammengeführt als „mailer_label“ (Schlüssel: „mailer“, Wert: „mailer“)
msgid network.email.mail_id Wert, der direkt nach dem Entfernen von < und > kopiert wurde
mtaqid principal.resource.product_object_id Wert direkt kopiert
nw_direction network.direction Auf OUTBOUND gesetzt, wenn Übereinstimmungen (?i)Outbound
nrcpts security_result.detection_fields Zusammengeführt als nrcpts_label (Schlüssel: nrcpts, Wert: nrcpts)
pid principal.process.pid Wert direkt kopiert
Port principal.port Wert direkt kopiert und in eine Ganzzahl konvertiert
pri security_result.detection_fields Zusammengeführt als pri_label (Schlüssel: priority, Wert: pri)
Prozessor principal.resource.attribute.labels Zusammengeführt als „processor_label“ (Schlüssel: „processor“, Wert: „processor“)
product_event_type metadata.product_event_type Wert direkt kopiert
reject_msg security_result.summary Wert wird direkt kopiert, wenn „action_result“, „stat“ und „status“ leer sind
relay_domain intermediary.hostname Wert direkt kopiert
relay_ip intermediary.ip Wert direkt kopiert
Regelsatz security_result.rule_name Wert direkt kopiert
die Ausprägung security_result.severity Auf „INFORMATIONAL“ setzen, wenn es mit (?i)info übereinstimmt
Größe network.sent_bytes Wert direkt kopiert und in „uinteger“ konvertiert
STARTTLS security_result.detection_fields Zusammengeführt als „starttls_label“ (Schlüssel: STARTTLS, Wert: STARTTLS)
stat security_result.summary Wert wird direkt kopiert, wenn „action_result“ leer ist
Status security_result.summary Wert wird direkt kopiert, wenn „action_result“, „stat“ und „reject_msg“ leer sind
subject network.email.subject, security_result.detection_fields Wert direkt kopiert und als „subject_label“ zusammengeführt (Schlüssel: „subject“, Wert: „subject“)
tls_verify, verify security_result.action, security_result.description Auf ALLOW gesetzt, wenn (?i)OK übereinstimmt, auf BLOCK, wenn (?i)FAIL übereinstimmt; Beschreibung auf „tls_verify – tls_verify“ gesetzt; tls_verify aus „verify“, wenn tls_verify leer ist
bis network.email.to Als „valid_to“ aus dem Array extrahiert, wobei für jede E-Mail ein Grok-Muster verwendet wird
NUTZER, Nutzer principal.user.userid Wert aus USER, falls nicht leer, andernfalls aus user
Version network.tls.version Wert direkt kopiert
xdelay security_result.detection_fields Zusammengeführt als „xdelay_label“ (Schlüssel: „xdelay“, Wert: „xdelay“)
metadata.product_name Auf „Proofpoint Sendmail Sentrion“ festgelegt
metadata.vendor_name Auf „PROOFPOINT_SENDMAIL_SENTRION“ festlegen

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten