Recopila registros de Proofpoint Sendmail Sentrion

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de Proofpoint Sendmail Sentrion a Google Security Operations con el agente de Bindplane.

Proofpoint Sendmail Sentrion es un agente de transferencia de correo (MTA) empresarial que proporciona controles de seguridad, seguimiento de mensajes y aplicación de políticas para el correo electrónico entrante y saliente. Registra las transacciones de correo a través de la función estándar de syslog mail.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Windows Server 2016 o versiones posteriores, o host de Linux con systemd
• Conectividad de red entre el agente de Bindplane y el servidor MTA de Proofpoint Sendmail Sentrion
• Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
• Acceso con privilegios al servidor de Proofpoint Sendmail Sentrion con permisos de administrador o raíz

Obtén el archivo de autenticación de transferencia de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recopilación.
3. Descarga el archivo de autenticación de transferencia.

4. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

   Nota: Este archivo JSON contiene credenciales para autenticar el agente de Bindplane en Google SecOps.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.

3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

   Nota: Se requiere el ID del cliente para configurar el exportador del agente de Bindplane.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el comando siguiente:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Espera a que se complete la instalación.

4. Ejecuta el siguiente comando para verificar la instalación:

   sc query observiq-otel-collector
   

   El servicio debe mostrarse como RUNNING.

Instalación en Linux

1. Abre una terminal con privilegios de raíz o sudo.

2. Ejecuta el comando siguiente:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Espera a que se complete la instalación.

4. Ejecuta el siguiente comando para verificar la instalación:

   sudo systemctl status observiq-otel-collector
   

   El servicio debería mostrarse como activo (en ejecución).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solucionar problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir el registro del sistema y enviarlo a Google SecOps

Ubica el archivo de configuración

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Edita el archivo de configuración

• Reemplaza todo el contenido de config.yaml por la siguiente configuración:

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/proofpoint_sentrion:
          compression: gzip
          creds_file_path: '<CREDS_FILE_PATH>'
          customer_id: '<CUSTOMER_ID>'
          endpoint: <REGION_ENDPOINT>
          log_type: PROOFPOINT_SENDMAIL_SENTRION
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/sentrion_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/proofpoint_sentrion
  

Parámetros de configuración

• Reemplaza los marcadores de posición que se indican más abajo:

• Configuración del receptor:

  • udplog: Recibe registros del sistema a través de UDP. Usa tcplog si configuraste el transporte TCP en la configuración de syslog.
  • 0.0.0.0:514: Escucha en todas las interfaces del puerto 514. Cambia el puerto si es necesario (por ejemplo, 1514 para Linux sin acceso de administrador).

• Configuración del exportador:

  • <CREDS_FILE_PATH>: Ruta de acceso completa al archivo de autenticación de la transferencia:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <CUSTOMER_ID>: Es el ID de cliente del paso Obtén el ID de cliente de Google SecOps.
  • <REGION_ENDPOINT>: URL del endpoint regional:
    • EE.UU.: malachiteingestion-pa.googleapis.com
    • Europa: europe-malachiteingestion-pa.googleapis.com
    • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Consulta Extremos regionales para obtener la lista completa.

Cómo guardar el archivo de configuración

• Después de editarlo, guarda el archivo:
  • Linux: Presiona Ctrl+O, luego Enter y, después, Ctrl+X.
  • Windows: Haz clic en Archivo > Guardar.

Reinicia el agente de Bindplane para aplicar los cambios

• Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifica que el servicio esté en ejecución:

     sudo systemctl status observiq-otel-collector
     

  2. Revisa los registros en busca de errores:

     sudo journalctl -u observiq-otel-collector -f
     

• Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:

  • Símbolo del sistema o PowerShell como administrador:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Consola de Servicios:

    1. Presiona Win+R, escribe services.msc y presiona Intro.
    2. Busca observIQ OpenTelemetry Collector.
    3. Haz clic con el botón derecho y selecciona Reiniciar.

    4. Verifica que el servicio esté en ejecución:

       sc query observiq-otel-collector
       

    5. Revisa los registros en busca de errores:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configura el reenvío de Syslog de Proofpoint Sendmail Sentrion

Sendmail Sentrion usa la función estándar syslog mail para escribir registros de transacciones de correo. Las ubicaciones predeterminadas de los registros dependen del sistema operativo:

SO	Ruta de acceso predeterminada del registro
RHEL / CentOS	/var/log/maillog
Debian / Ubuntu	/var/log/mail.log
Solaris	/var/log/syslog (filtrado por mail.*)

Nota: Es posible que la consola de administración de Sentrion configure rutas de acceso de registro adicionales en /var/log/sentrion/ o en un directorio personalizado. Verifica la configuración de Sentrion para conocer la ruta exacta.

Opción 1: Configura el reenvío de syslog con rsyslog

1. Edita el archivo de configuración de syslog en el servidor MTA de Sentrion:

   sudo nano /etc/rsyslog.d/sentrion.conf
   

2. Agrega la siguiente regla para reenviar los registros de la instalación de correo al agente de BindPlane:

   mail.*    @BINDPLANE_AGENT_IP:514
   

   Nota: Usa @ para el transporte UDP o @@ para el transporte TCP. Reemplaza BINDPLANE_AGENT_IP por la dirección IP del host del agente de Bindplane.

3. Guarda el archivo y reinicia el servicio rsyslog:

   sudo systemctl restart rsyslog
   

4. Verifica que los registros se reenvíen revisando los registros del agente de Bindplane.

Opción 2: Configura el reenvío de syslog a través de la consola de administración de Sentrion

1. Accede a la consola de administración de Sentrion.
2. Ve a Configuration > Logging (o System > Log Settings).
3. Configura los parámetros de configuración de syslog remoto:
   • Servidor Syslog: Ingresa la dirección IP del host del agente de BindPlane (por ejemplo, 192.168.1.100).
   • Puerto: Ingresa 514 (debe coincidir con el puerto del receptor del agente de BindPlane).
   • Protocolo: Selecciona UDP (debe coincidir con la configuración del receptor del agente de Bindplane).
   • Nivel de registro: Se configura para capturar todos los eventos de transacción de correo.
4. Haz clic en Aplicar o Guardar.
5. Verifica que los registros se reenvíen revisando los registros del agente de Bindplane.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
	additional.fields	Se combinó de tty_label y pwd_label
acción	security_result.action_details	El valor se copió directamente.
action_result	security_result.summary	El valor se copia directamente si está presente.
app	principal.application	El valor se copió directamente.
app_proto	network.application_protocol	El valor se copió directamente.
auth	security_result.detection_fields	Se combinó como auth_label (clave: auth, valor: auth)
bits	security_result.detection_fields	Se fusionó como bits_label (clave: bits, valor: bits)
categorización	security_result.category_details	El valor se copió directamente.
cifrado	network.tls.cipher	El valor se copió directamente.
clase	security_result.detection_fields	Se combinó como class_label (clave: clase, valor: clase)
clúster	principal.resource.attribute.labels	Se combinó como cluster_label (clave: clúster, valor: clúster)
COMMAND	principal.process.command_line	El valor se copió directamente.
daemon	security_result.detection_fields	Se combinó como daemon_label (clave: daemon, valor: daemon)
delay	security_result.detection_fields	Se combinó como delay_label (clave: delay, valor: delay)
descripción	security_result.description	El valor se copió directamente.
detalles	metadata.description	El valor se copió directamente.
disposition	security_result.detection_fields	Se combinó como disposition_label (clave: disposición, valor: disposición)
dsn	security_result.detection_fields	Se combinó como dsn_label (clave: dsn, valor: dsn)
event_type	metadata.event_type	El valor se copió directamente.
de	network.email.from	Se extrae como valid_from con el patrón de grok si es un correo electrónico válido
host	principal.asset.hostname, principal.hostname	El valor se copió directamente.
ip	principal.asset.ip, principal.ip	El valor se copió directamente.
job_name	principal.resource.attribute.labels	Se combinó como job_name_label (clave: job_name, valor: job_name)
mailer	security_result.detection_fields	Se combinó como mailer_label (clave: mailer, valor: mailer)
msgid	network.email.mail_id	Valor copiado directamente después de quitar < y >
mtaqid	principal.resource.product_object_id	El valor se copió directamente.
nw_direction	network.direction	Se establece en OUTBOUND si coincide con (?i)Outbound.
nrcpts	security_result.detection_fields	Se combinó como nrcpts_label (clave: nrcpts, valor: nrcpts)
pid	principal.process.pid	El valor se copió directamente.
puerto	principal.port	El valor se copia directamente y se convierte en un número entero.
pri	security_result.detection_fields	Se combinó como pri_label (clave: prioridad, valor: pri)
procesador	principal.resource.attribute.labels	Se combinó como processor_label (clave: processor, valor: processor)
product_event_type	metadata.product_event_type	El valor se copió directamente.
reject_msg	security_result.summary	El valor se copia directamente si action_result, stat y status están vacíos.
relay_domain	intermediary.hostname	El valor se copió directamente.
relay_ip	intermediary.ip	El valor se copió directamente.
conjunto de reglas	security_result.rule_name	El valor se copió directamente.
gravedad,	security_result.severity	Se establece en INFORMATIONAL si coincide con (?i)info
tamaño	network.sent_bytes	El valor se copia directamente y se convierte en uinteger.
STARTTLS	security_result.detection_fields	Se combinó como starttls_label (clave: STARTTLS, valor: STARTTLS)
stat	security_result.summary	El valor se copia directamente si action_result está vacío.
estado	security_result.summary	El valor se copia directamente si action_result, stat y reject_msg están vacíos.
asunto	network.email.subject, security_result.detection_fields	El valor se copió directamente y se combinó como subject_label (clave: subject, valor: subject).
tls_verify, verify	security_result.action, security_result.description	Se establece en ALLOW si coincide con (?i)OK, en BLOCK si coincide con (?i)FAIL; la descripción se establece en tls_verify - tls_verify; tls_verify de verify si tls_verify está vacío
a	network.email.to	Se extrae como valid_to del array con el patrón de grok para cada correo electrónico.
USUARIO, usuario	principal.user.userid	Valor de USER si no está vacío; de lo contrario, del usuario
versión	network.tls.version	El valor se copió directamente.
xdelay	security_result.detection_fields	Se combinó como xdelay_label (clave: xdelay, valor: xdelay)
	metadata.product_name	Se establece en "Proofpoint Sendmail Sentrion".
	metadata.vendor_name	Se establece en "PROOFPOINT_SENDMAIL_SENTRION".

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.