Proofpoint Sendmail Sentrion 로그 수집

다음에서 지원:

Google SecOps SIEM

이 문서에서는 Bindplane 에이전트를 사용하여 Proofpoint Sendmail Sentrion 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

Proofpoint Sendmail Sentrion은 발신 및 수신 이메일에 대한 보안 제어, 메시지 추적, 정책 시행을 제공하는 엔터프라이즈 메일 전송 에이전트 (MTA)입니다. 표준 syslog mail 기능을 통해 메일 트랜잭션을 로깅합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

• Google SecOps 인스턴스
• Windows Server 2016 이상 또는 systemd가 설치된 Linux 호스트
• Bindplane 에이전트와 Proofpoint Sendmail Sentrion MTA 서버 간의 네트워크 연결
• 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
• 루트 또는 관리자 권한이 있는 Proofpoint Sendmail Sentrion 서버에 대한 권한 액세스

Google SecOps 수집 인증 파일 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 수집 에이전트로 이동합니다.
3. 데이터 수집 인증 파일을 다운로드합니다.

4. Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.

   참고: 이 JSON 파일에는 Bindplane 에이전트를 Google SecOps에 인증하기 위한 사용자 인증 정보가 포함되어 있습니다.

Google SecOps 고객 ID 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 프로필로 이동합니다.

3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

   참고: Bindplane 에이전트 내보내기를 구성하려면 고객 ID가 필요합니다.

Bindplane 에이전트 설치

다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.

Windows 설치

1. 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.

2. 다음 명령어를 실행합니다.

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 설치가 완료될 때까지 기다립니다.

4. 다음을 실행하여 설치를 확인합니다.

   sc query observiq-otel-collector
   

   서비스가 실행 중으로 표시되어야 합니다.

Linux 설치

1. 루트 또는 sudo 권한으로 터미널을 엽니다.

2. 다음 명령어를 실행합니다.

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 설치가 완료될 때까지 기다립니다.

4. 다음을 실행하여 설치를 확인합니다.

   sudo systemctl status observiq-otel-collector
   

   서비스가 활성 (실행 중)으로 표시되어야 합니다.

추가 설치 리소스

추가 설치 옵션 및 문제 해결은 Bindplane 에이전트 설치 가이드를 참고하세요.

syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성

구성 파일 찾기

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

구성 파일 설정

• config.yaml의 전체 콘텐츠를 다음 구성으로 바꿉니다.

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/proofpoint_sentrion:
          compression: gzip
          creds_file_path: '<CREDS_FILE_PATH>'
          customer_id: '<CUSTOMER_ID>'
          endpoint: <REGION_ENDPOINT>
          log_type: PROOFPOINT_SENDMAIL_SENTRION
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/sentrion_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/proofpoint_sentrion
  

구성 매개변수

• 다음 자리표시자를 바꿉니다.

• 수신기 구성:

  • udplog: UDP를 통해 syslog를 수신합니다. syslog 구성에서 TCP 전송을 구성한 경우 tcplog를 사용합니다.
  • 0.0.0.0:514: 포트 514의 모든 인터페이스에서 수신합니다. 필요한 경우 포트를 변경합니다 (예: 비루트 Linux의 경우 1514).

• 내보내기 도구 구성:

  • <CREDS_FILE_PATH>: 수집 인증 파일의 전체 경로입니다.
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <CUSTOMER_ID>: Google SecOps 고객 ID 가져오기 단계의 고객 ID입니다.
  • <REGION_ENDPOINT>: 지역 엔드포인트 URL:
    • 미국: malachiteingestion-pa.googleapis.com
    • 유럽: europe-malachiteingestion-pa.googleapis.com
    • 아시아: asia-southeast1-malachiteingestion-pa.googleapis.com
    • 전체 목록은 리전 엔드포인트를 참고하세요.

구성 파일 저장

• 수정 후 파일을 저장합니다.
  • Linux: Ctrl+O, Enter, Ctrl+X 순으로 누릅니다.
  • Windows: 파일 > 저장을 클릭합니다.

변경사항을 적용하려면 Bindplane 에이전트를 다시 시작하세요.

• Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

  sudo systemctl restart observiq-otel-collector
  

  1. 서비스가 실행 중인지 확인합니다.

     sudo systemctl status observiq-otel-collector
     

  2. 로그에서 오류를 확인합니다.

     sudo journalctl -u observiq-otel-collector -f
     

• Windows에서 Bindplane 에이전트를 다시 시작하려면 다음 옵션 중 하나를 선택하세요.

  • 관리자 권한으로 명령 프롬프트 또는 PowerShell:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • 서비스 콘솔:

    1. Win+R 키를 누르고 services.msc를 입력한 다음 Enter 키를 누릅니다.
    2. observIQ OpenTelemetry Collector를 찾습니다.
    3. 마우스 오른쪽 버튼을 클릭하고 다시 시작을 선택합니다.

    4. 서비스가 실행 중인지 확인합니다.

       sc query observiq-otel-collector
       

    5. 로그에서 오류를 확인합니다.

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Proofpoint Sendmail Sentrion syslog 전달 구성

Sendmail Sentrion은 표준 syslog mail 기능을 사용하여 메일 트랜잭션 로그를 작성합니다. 기본 로그 위치는 운영체제에 따라 다릅니다.

OS	기본 로그 경로
RHEL / CentOS	/var/log/maillog
Debian / Ubuntu	/var/log/mail.log
Solaris	/var/log/syslog (필터링 기준: mail.*)

참고: Sentrion 관리 콘솔은 /var/log/sentrion/ 또는 맞춤 디렉터리 아래에 추가 로그 경로를 구성할 수 있습니다. 정확한 경로에 대해 Sentrion 구성을 확인합니다.

옵션 1: rsyslog를 사용하여 syslog 전달 구성

1. Sentrion MTA 서버에서 syslog 구성 파일을 수정합니다.

   sudo nano /etc/rsyslog.d/sentrion.conf
   

2. 다음 규칙을 추가하여 메일 시설 로그를 Bindplane 에이전트로 전달합니다.

   mail.*    @BINDPLANE_AGENT_IP:514
   

   참고: UDP 전송에는 @을, TCP 전송에는 @@을 사용하세요. BINDPLANE_AGENT_IP를 Bindplane 에이전트 호스트의 IP 주소로 바꿉니다.

3. 파일을 저장하고 rsyslog 서비스를 다시 시작합니다.

   sudo systemctl restart rsyslog
   

4. Bindplane 에이전트 로그를 확인하여 로그가 전달되고 있는지 확인합니다.

옵션 2: Sentrion 관리 콘솔을 통해 syslog 전달 구성

1. Sentrion 관리 콘솔에 로그인합니다.
2. 구성 > 로깅 (또는 시스템 > 로그 설정)으로 이동합니다.
3. 원격 syslog 설정을 구성합니다.
   • 시스템로그 서버: Bindplane 에이전트 호스트의 IP 주소를 입력합니다 (예: 192.168.1.100).
   • 포트: 514를 입력합니다 (Bindplane 에이전트 수신기 포트와 일치해야 함).
   • 프로토콜: UDP를 선택합니다 (Bindplane 에이전트 수신기 구성과 일치해야 함).
   • 로그 수준: 모든 메일 거래 이벤트를 캡처하도록 설정합니다.
4. 적용 또는 저장을 클릭합니다.
5. Bindplane 에이전트 로그를 확인하여 로그가 전달되고 있는지 확인합니다.

UDM 매핑 테이블

로그 필드	UDM 매핑	로직
	additional.fields	tty_label 및 pwd_label에서 병합됨
action	security_result.action_details	값이 직접 복사됨
action_result	security_result.summary	값이 있는 경우 직접 복사됨
앱	principal.application	값이 직접 복사됨
app_proto	network.application_protocol	값이 직접 복사됨
auth	security_result.detection_fields	auth_label (키: auth, 값: auth)로 병합됨
비트	security_result.detection_fields	bits_label (키: bits, 값: bits)로 병합됨
분류	security_result.category_details	값이 직접 복사됨
암호	network.tls.cipher	값이 직접 복사됨
클래스	security_result.detection_fields	class_label (키: class, 값: class)로 병합됨
클러스터	principal.resource.attribute.labels	cluster_label (키: cluster, 값: cluster)로 병합됨
COMMAND	principal.process.command_line	값이 직접 복사됨
데몬	security_result.detection_fields	daemon_label (키: daemon, 값: daemon)로 병합됨
delay	security_result.detection_fields	delay_label (키: delay, 값: delay)로 병합됨
설명	security_result.description	값이 직접 복사됨
세부정보	metadata.description	값이 직접 복사됨
disposition	security_result.detection_fields	disposition_label (키: disposition, 값: disposition)로 병합됨
dsn	security_result.detection_fields	dsn_label (키: dsn, 값: dsn)로 병합됨
event_type	metadata.event_type	값이 직접 복사됨
소스	network.email.from	유효한 이메일인 경우 grok 패턴을 사용하여 valid_from으로 추출됨
호스트	principal.asset.hostname, principal.hostname	값이 직접 복사됨
ip	principal.asset.ip, principal.ip	값이 직접 복사됨
job_name	principal.resource.attribute.labels	job_name_label (키: job_name, 값: job_name)로 병합됨
메일러	security_result.detection_fields	mailer_label (키: mailer, 값: mailer)로 병합됨
msgid	network.email.mail_id	< 및 >를 삭제한 후 바로 복사된 값
mtaqid	principal.resource.product_object_id	값이 직접 복사됨
nw_direction	network.direction	(?i)Outbound와 일치하는 경우 OUTBOUND로 설정됩니다.
nrcpts	security_result.detection_fields	nrcpts_label (키: nrcpts, 값: nrcpts)로 병합됨
pid	principal.process.pid	값이 직접 복사됨
포트	principal.port	값이 직접 복사되어 정수로 변환됨
pri	security_result.detection_fields	pri_label (키: priority, 값: pri)로 병합됨
프로세서	principal.resource.attribute.labels	processor_label (키: processor, 값: processor)로 병합됨
product_event_type	metadata.product_event_type	값이 직접 복사됨
reject_msg	security_result.summary	action_result, stat, status가 비어 있으면 직접 복사된 값
relay_domain	intermediary.hostname	값이 직접 복사됨
relay_ip	intermediary.ip	값이 직접 복사됨
규칙 세트	security_result.rule_name	값이 직접 복사됨
줄이는 것을	security_result.severity	(?i)info와 일치하는 경우 INFORMATIONAL로 설정
크기	network.sent_bytes	값이 직접 복사되고 uinteger로 변환됨
STARTTLS	security_result.detection_fields	starttls_label (키: STARTTLS, 값: STARTTLS)로 병합됨
stat	security_result.summary	action_result가 비어 있으면 값이 직접 복사됨
상태	security_result.summary	action_result, stat, reject_msg가 비어 있으면 직접 복사된 값
subject	network.email.subject, security_result.detection_fields	값이 직접 복사되어 subject_label (키: subject, 값: subject)로 병합됨
tls_verify, verify	security_result.action, security_result.description	(?i)OK와 일치하면 ALLOW로 설정하고 (?i)FAIL과 일치하면 BLOCK으로 설정합니다. 설명은 tls_verify - tls_verify로 설정됩니다. tls_verify가 비어 있으면 확인에서 tls_verify
~	network.email.to	각 이메일의 grok 패턴을 사용하여 배열에서 valid_to로 추출됨
USER, user	principal.user.userid	비어 있지 않으면 USER의 값, 비어 있으면 사용자의 값
버전	network.tls.version	값이 직접 복사됨
xdelay	security_result.detection_fields	xdelay_label (키: xdelay, 값: xdelay)로 병합됨
	metadata.product_name	'Proofpoint Sendmail Sentrion'으로 설정
	metadata.vendor_name	'PROOFPOINT_SENDMAIL_SENTRION'으로 설정됩니다.

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.