Coletar registros do Proofpoint Sendmail Sentrion

Compatível com:

Este documento explica como ingerir registros do Proofpoint Sendmail Sentrion no Google Security Operations usando o agente Bindplane.

O Proofpoint Sendmail Sentrion é um agente de transferência de e-mail (MTA, na sigla em inglês) empresarial que oferece controles de segurança, rastreamento de mensagens e aplicação de políticas para e-mails enviados e recebidos. Ele registra transações de e-mail usando o recurso syslog mail padrão.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Uma instância do Google SecOps
  • Windows Server 2016 ou mais recente ou host Linux com systemd
  • Conectividade de rede entre o agente do Bindplane e o servidor MTA do Proofpoint Sendmail Sentrion
  • Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
  • Acesso privilegiado ao servidor Proofpoint Sendmail Sentrion com permissões de administrador ou raiz

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Baixe o arquivo de autenticação de ingestão.

  4. Salve o arquivo com segurança no sistema em que o Bindplane será instalado.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.

  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o prompt de comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sc query observiq-otel-collector

    O serviço vai aparecer como EM EXECUÇÃO.

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sudo systemctl status observiq-otel-collector

    O serviço vai aparecer como ativo (em execução).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

Localizar o arquivo de configuração

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Editar o arquivo de configuração

  • Substitua todo o conteúdo de config.yaml pela seguinte configuração:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/proofpoint_sentrion:
        compression: gzip
        creds_file_path: '<CREDS_FILE_PATH>'
        customer_id: '<CUSTOMER_ID>'
        endpoint: <REGION_ENDPOINT>
        log_type: PROOFPOINT_SENDMAIL_SENTRION
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/sentrion_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/proofpoint_sentrion

Parâmetros de configuração

  • Substitua os seguintes marcadores de posição:

  • Configuração do receptor:

    • udplog: recebe syslog por UDP. Use tcplog se você tiver configurado o transporte TCP na configuração do syslog.
    • 0.0.0.0:514: detecta todas as interfaces na porta 514. Mude a porta se necessário (por exemplo, 1514 para Linux não root).

  • Configuração do exportador:

    • <CREDS_FILE_PATH>: caminho completo para o arquivo de autenticação de ingestão:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <CUSTOMER_ID>: ID do cliente da etapa Receber ID do cliente do Google SecOps.
    • <REGION_ENDPOINT>: URL do endpoint regional:
      • EUA: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Ásia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Consulte a lista completa em Endpoints regionais.

Salvar o arquivo de configuração

  • Depois de editar, salve o arquivo:
    • Linux: pressione Ctrl+O, Enter e Ctrl+X.
    • Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças.

  • Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifique se o serviço está em execução:

      sudo systemctl status observiq-otel-collector

    2. Verifique se há erros nos registros:

      sudo journalctl -u observiq-otel-collector -f

  • Para reiniciar o agente do Bindplane em Windows, escolha uma das seguintes opções:

    • Prompt de comando ou PowerShell como administrador:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console de serviços:

      1. Pressione Win+R, digite services.msc e pressione Enter.
      2. Localize o Coletor do OpenTelemetry da observIQ.
      3. Clique com o botão direito do mouse e selecione Reiniciar.

      4. Verifique se o serviço está em execução:

        sc query observiq-otel-collector

      5. Verifique se há erros nos registros:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurar o encaminhamento de syslog do Proofpoint Sendmail Sentrion

O Sendmail Sentrion usa o recurso padrão syslog mail para gravar registros de transações de e-mail. Os locais padrão dos registros dependem do sistema operacional:

SO Caminho de registro padrão
RHEL / CentOS /var/log/maillog
Debian / Ubuntu /var/log/mail.log
Solaris /var/log/syslog (filtrado por mail.*)

Opção 1: configurar o encaminhamento do syslog usando o rsyslog

  1. Edite o arquivo de configuração do syslog no servidor MTA do Sentrion:

    sudo nano /etc/rsyslog.d/sentrion.conf

  2. Adicione a seguinte regra para encaminhar registros de facilidade de e-mail ao agente do Bindplane:

    mail.*    @BINDPLANE_AGENT_IP:514

  3. Salve o arquivo e reinicie o serviço rsyslog:

    sudo systemctl restart rsyslog

  4. Verifique se os registros estão sendo encaminhados conferindo os registros do agente do Bindplane.

Opção 2: configurar o encaminhamento de syslog pelo console de gerenciamento do Sentrion

  1. Faça login no console de gerenciamento do Sentrion.
  2. Acesse Configuração > Registro ou Sistema > Configurações de registro.
  3. Configure as configurações remotas do syslog:
    • Servidor Syslog: insira o endereço IP do host do agente Bindplane (por exemplo, 192.168.1.100).
    • Porta: insira 514 (precisa corresponder à porta do receptor do agente do Bindplane).
    • Protocolo: selecione UDP (precisa corresponder à configuração do receptor do agente do Bindplane).
    • Nível de registro: defina para capturar todos os eventos de transação de e-mail.
  4. Clique em Aplicar ou Salvar.
  5. Verifique se os registros estão sendo encaminhados conferindo os registros do agente do Bindplane.

Tabela de mapeamento de UDM

Campo de registro Mapeamento do UDM Lógica
additional.fields Mesclado de tty_label e pwd_label.
ação security_result.action_details Valor copiado diretamente
action_result security_result.summary Valor copiado diretamente, se presente
app principal.application Valor copiado diretamente
app_proto network.application_protocol Valor copiado diretamente
auth security_result.detection_fields Mesclado como auth_label (chave: auth, valor: auth)
bits security_result.detection_fields Unido como bits_label (chave: bits, valor: bits)
categorização security_result.category_details Valor copiado diretamente
cifra network.tls.cipher Valor copiado diretamente
classe security_result.detection_fields Mesclado como class_label (chave: class, valor: class)
cluster principal.resource.attribute.labels Unido como cluster_label (chave: cluster, valor: cluster)
COMMAND principal.process.command_line Valor copiado diretamente
daemon security_result.detection_fields Mesclado como daemon_label (chave: daemon, valor: daemon)
delay security_result.detection_fields Unido como delay_label (chave: delay, valor: delay)
descrição security_result.description Valor copiado diretamente
detalhes metadata.description Valor copiado diretamente
disposition security_result.detection_fields Unidas como "disposition_label" (chave: "disposition", valor: "disposition")
dsn security_result.detection_fields Unidos como dsn_label (chave: dsn, valor: dsn)
event_type metadata.event_type Valor copiado diretamente
de network.email.from Extraído como valid_from usando o padrão grok se o e-mail for válido
host principal.asset.hostname, principal.hostname Valor copiado diretamente
ip principal.asset.ip, principal.ip Valor copiado diretamente
job_name principal.resource.attribute.labels Mesclado como job_name_label (chave: job_name, valor: job_name)
mailer security_result.detection_fields Unidos como mailer_label (chave: mailer, valor: mailer)
msgid network.email.mail_id Valor copiado diretamente após a remoção de < e >
mtaqid principal.resource.product_object_id Valor copiado diretamente
nw_direction network.direction Defina como OUTBOUND se corresponder a (?i)Outbound
nrcpts security_result.detection_fields Unido como nrcpts_label (chave: nrcpts, valor: nrcpts)
pid principal.process.pid Valor copiado diretamente
porta principal.port Valor copiado diretamente e convertido em número inteiro
pri security_result.detection_fields Unidas como pri_label (chave: priority, valor: pri)
processador principal.resource.attribute.labels Unidas como "processor_label" (chave: "processor", valor: "processor")
product_event_type metadata.product_event_type Valor copiado diretamente
reject_msg security_result.summary Valor copiado diretamente se action_result, stat e status estiverem vazios
relay_domain intermediary.hostname Valor copiado diretamente
relay_ip intermediary.ip Valor copiado diretamente
conjunto de regras security_result.rule_name Valor copiado diretamente
gravidade, security_result.severity Definido como "INFORMATIVO" se corresponder a (?i)info
tamanho network.sent_bytes Valor copiado diretamente e convertido em uinteger
STARTTLS security_result.detection_fields Mesclado como starttls_label (chave: STARTTLS, valor: STARTTLS)
stat security_result.summary Valor copiado diretamente se action_result estiver vazio
status security_result.summary O valor é copiado diretamente se action_result, stat e reject_msg estiverem vazios.
subject network.email.subject, security_result.detection_fields Valor copiado diretamente e mesclado como "subject_label" (chave: subject, valor: subject)
tls_verify, verify security_result.action, security_result.description Definido como ALLOW se corresponder a (?i)OK, BLOCK se corresponder a (?i)FAIL; descrição definida como tls_verify - tls_verify; tls_verify de verify se tls_verify estiver vazio
para network.email.to Extraído como valid_to da matriz usando o padrão grok para cada e-mail
USER, user principal.user.userid Valor de USER se não estiver vazio, caso contrário, do usuário
versão network.tls.version Valor copiado diretamente
xdelay security_result.detection_fields Mesclado como xdelay_label (chave: xdelay, valor: xdelay)
metadata.product_name Definido como "Proofpoint Sendmail Sentrion"
metadata.vendor_name Defina como "PROOFPOINT_SENDMAIL_SENTRION"

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.