Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengumpulkan log Proofpoint Sendmail Sentrion

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Proofpoint Sendmail Sentrion ke Google Security Operations menggunakan agen Bindplane.

Proofpoint Sendmail Sentrion adalah agen transfer email (MTA) tingkat perusahaan yang menyediakan kontrol keamanan, pelacakan pesan, dan penerapan kebijakan untuk email keluar dan masuk. Aplikasi ini mencatat transaksi email melalui fasilitas syslog mail standar.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
Konektivitas jaringan antara agen Bindplane dan server MTA Proofpoint Sendmail Sentrion
Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
Akses istimewa ke server Proofpoint Sendmail Sentrion dengan izin root atau administrator

Mendapatkan file autentikasi penyerapan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Agen Pengumpulan.
Download File Autentikasi Penyerapan.
Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Catatan: File JSON ini berisi kredensial untuk mengautentikasi agen Bindplane ke Google SecOps.

Mendapatkan ID pelanggan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Profil.
Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

Buka Command Prompt atau PowerShell sebagai administrator.

Jalankan perintah berikut:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Tunggu hingga penginstalan selesai.
Verifikasi penginstalan dengan menjalankan:
```
sc query observiq-otel-collector
```
Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

Buka terminal dengan hak istimewa root atau sudo.

Jalankan perintah berikut:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Tunggu hingga penginstalan selesai.
Verifikasi penginstalan dengan menjalankan:
```
sudo systemctl status observiq-otel-collector
```
Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

Ganti seluruh konten config.yaml dengan konfigurasi berikut:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/proofpoint_sentrion:
        compression: gzip
        creds_file_path: '<CREDS_FILE_PATH>'
        customer_id: '<CUSTOMER_ID>'
        endpoint: <REGION_ENDPOINT>
        log_type: PROOFPOINT_SENDMAIL_SENTRION
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/sentrion_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/proofpoint_sentrion

Parameter konfigurasi

Ganti placeholder berikut:
Konfigurasi penerima:
- udplog: Menerima syslog melalui UDP. Gunakan tcplog jika Anda mengonfigurasi transport TCP dalam konfigurasi syslog.
- 0.0.0.0:514: Memproses semua antarmuka di port 514. Ubah port jika diperlukan (misalnya, 1514 untuk Linux non-root).
Konfigurasi pengekspor:
- <CREDS_FILE_PATH>: Jalur lengkap ke file autentikasi penyerapan:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <CUSTOMER_ID>: ID Pelanggan dari langkah Dapatkan ID pelanggan Google SecOps.
- <REGION_ENDPOINT>: URL endpoint regional:
  - Amerika Serikat: malachiteingestion-pa.googleapis.com
  - Eropa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.

Simpan file konfigurasi

Setelah mengedit, simpan file:
- Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
- Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

sudo systemctl restart observiq-otel-collector

Pastikan layanan sedang berjalan:

sudo systemctl status observiq-otel-collector

Periksa log untuk mengetahui error:

sudo journalctl -u observiq-otel-collector -f

Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:
- Command Prompt atau PowerShell sebagai administrator:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Konsol layanan:
  1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
  2. Cari observIQ OpenTelemetry Collector.
  3. Klik kanan, lalu pilih Mulai ulang.
  4. Pastikan layanan sedang berjalan:
```
sc query observiq-otel-collector
```
  5. Periksa log untuk mengetahui error:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Mengonfigurasi penerusan syslog Proofpoint Sendmail Sentrion

Sendmail Sentrion menggunakan fasilitas syslog mail standar untuk menulis log transaksi email. Lokasi log default bergantung pada sistem operasi:

OS	Jalur log default
RHEL / CentOS	`/var/log/maillog`
Debian / Ubuntu	`/var/log/mail.log`
Solaris	`/var/log/syslog` (difilter menurut `mail.*`)

Opsi 1: Mengonfigurasi penerusan syslog menggunakan rsyslog

Edit file konfigurasi syslog di server MTA Sentrion:
```
sudo nano /etc/rsyslog.d/sentrion.conf
```
Tambahkan aturan berikut untuk meneruskan log fasilitas email ke agen Bindplane:
```
mail.*    @BINDPLANE_AGENT_IP:514
```
Catatan: Gunakan @ untuk transportasi UDP atau @@ untuk transportasi TCP. Ganti BINDPLANE_AGENT_IP dengan alamat IP host agen Bindplane.
Simpan file dan mulai ulang layanan rsyslog:
```
sudo systemctl restart rsyslog
```
Pastikan log diteruskan dengan memeriksa log agen BindPlane.

Opsi 2: Mengonfigurasi penerusan syslog melalui konsol pengelolaan Sentrion

Login ke konsol pengelolaan Sentrion.
Buka Configuration > Logging (atau System > Log Settings).
Konfigurasi setelan syslog jarak jauh:
- Server Syslog: Masukkan alamat IP host agen BindPlane (misalnya, 192.168.1.100).
- Port: Masukkan 514 (harus cocok dengan port penerima agen Bindplane).
- Protocol: Pilih UDP (harus cocok dengan konfigurasi penerima agen Bindplane).
- Tingkat log: Setel untuk merekam semua peristiwa transaksi email.
Klik Terapkan atau Simpan.
Pastikan log diteruskan dengan memeriksa log agen BindPlane.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
	additional.fields	Digabungkan dari tty_label dan pwd_label
tindakan	security_result.action_details	Nilai disalin secara langsung
action_result	security_result.summary	Nilai disalin langsung jika ada
aplikasi	principal.application	Nilai disalin secara langsung
app_proto	network.application_protocol	Nilai disalin secara langsung
auth	security_result.detection_fields	Digabungkan sebagai auth_label (kunci: auth, nilai: auth)
bit	security_result.detection_fields	Digabungkan sebagai bits_label (kunci: bit, nilai: bit)
pengkategorian	security_result.category_details	Nilai disalin secara langsung
cipher	network.tls.cipher	Nilai disalin secara langsung
class	security_result.detection_fields	Digabungkan sebagai class_label (kunci: class, nilai: class)
cluster	principal.resource.attribute.labels	Digabungkan sebagai cluster_label (kunci: cluster, nilai: cluster)
PERINTAH	principal.process.command_line	Nilai disalin secara langsung
daemon	security_result.detection_fields	Digabungkan sebagai daemon_label (kunci: daemon, nilai: daemon)
penundaan	security_result.detection_fields	Digabungkan sebagai delay_label (kunci: delay, nilai: delay)
deskripsi	security_result.description	Nilai disalin secara langsung
detail	metadata.description	Nilai disalin secara langsung
disposisi	security_result.detection_fields	Digabungkan sebagai disposition_label (kunci: disposition, nilai: disposition)
dsn	security_result.detection_fields	Digabungkan sebagai dsn_label (kunci: dsn, nilai: dsn)
event_type	metadata.event_type	Nilai disalin secara langsung
dari	network.email.from	Diekstrak sebagai valid_from menggunakan pola grok jika email valid
host	principal.asset.hostname, principal.hostname	Nilai disalin secara langsung
ip	principal.asset.ip, principal.ip	Nilai disalin secara langsung
job_name	principal.resource.attribute.labels	Digabungkan sebagai job_name_label (kunci: job_name, nilai: job_name)
mailer	security_result.detection_fields	Digabungkan sebagai mailer_label (kunci: mailer, nilai: mailer)
msgid	network.email.mail_id	Nilai disalin langsung setelah menghapus < dan >
mtaqid	principal.resource.product_object_id	Nilai disalin secara langsung
nw_direction	network.direction	Tetapkan ke OUTBOUND jika cocok dengan (?i)Outbound
nrcpts	security_result.detection_fields	Digabungkan sebagai nrcpts_label (kunci: nrcpts, nilai: nrcpts)
pid	principal.process.pid	Nilai disalin secara langsung
port	principal.port	Nilai disalin langsung dan dikonversi menjadi bilangan bulat
pri	security_result.detection_fields	Digabungkan sebagai pri_label (kunci: priority, nilai: pri)
prosesor	principal.resource.attribute.labels	Digabungkan sebagai processor_label (kunci: processor, nilai: processor)
product_event_type	metadata.product_event_type	Nilai disalin secara langsung
reject_msg	security_result.summary	Nilai disalin langsung jika action_result, stat, dan status kosong
relay_domain	intermediary.hostname	Nilai disalin secara langsung
relay_ip	intermediary.ip	Nilai disalin secara langsung
kumpulan aturan	security_result.rule_name	Nilai disalin secara langsung
tingkat keseriusan,	security_result.severity	Disetel ke INFORMATIONAL jika cocok dengan (?i)info
ukuran	network.sent_bytes	Nilai disalin langsung dan dikonversi ke uinteger
STARTTLS	security_result.detection_fields	Digabungkan sebagai starttls_label (kunci: STARTTLS, nilai: STARTTLS)
stat	security_result.summary	Nilai disalin langsung jika action_result kosong
status	security_result.summary	Nilai disalin langsung jika action_result, stat, dan reject_msg kosong
subject	network.email.subject, security_result.detection_fields	Nilai disalin secara langsung dan digabungkan sebagai subject_label (kunci: subject, nilai: subject)
tls_verify, verify	security_result.action, security_result.description	Disetel ke ALLOW jika cocok dengan (?i)OK, BLOCK jika cocok dengan (?i)FAIL; deskripsi disetel ke tls_verify - tls_verify; tls_verify dari verify jika tls_verify kosong
sampai	network.email.to	Diekstrak sebagai valid_to dari array menggunakan pola grok untuk setiap email
PENGGUNA, pengguna	principal.user.userid	Nilai dari USER jika tidak kosong, jika tidak, dari pengguna
versi	network.tls.version	Nilai disalin secara langsung
xdelay	security_result.detection_fields	Digabungkan sebagai xdelay_label (kunci: xdelay, nilai: xdelay)
	metadata.product_name	Setel ke "Proofpoint Sendmail Sentrion"
	metadata.vendor_name	Ditetapkan ke "PROOFPOINT_SENDMAIL_SENTRION"

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.