Symantec DLP-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Symantec DLP-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Symantec Data Loss Prevention (DLP) ist eine Datenschutzlösung, die Syslog-Meldungen für Richtlinienverstöße, Vorfälle bei der Datenermittlung, Ereignisse zur Endpunktüberwachung und Warnungen zur Netzwerküberwachung generiert. Der Parser extrahiert Felder aus durch Pipe-Zeichen getrennten und CEF-formatierten Syslog-Logs und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem Bindplane-Agent und dem Symantec DLP-Server
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Administratorzugriff auf die Symantec Server-Administratorkonsole

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.

  4. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.

  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

    Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

    Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agent.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/symantec_dlp:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: SYMANTEC_DLP
        raw_log_field: body

service:
    pipelines:
        logs/symantec_dlp_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/symantec_dlp

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • listen_address: IP-Adresse und Port, auf die gewartet werden soll:
      • 0.0.0.0, um auf allen Schnittstellen zuzuhören (empfohlen)
      • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

  • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Die Kundennummer, die aus der Google SecOps Console kopiert wurde
    • endpoint: Regionale Endpunkt-URL:
      • USA: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Eine vollständige Liste finden Sie unter Regionale Endpunkte.

Konfigurationsdatei speichern

  • Speichern Sie die Datei nach der Bearbeitung:
    • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
    • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

    1. Prüfen Sie, ob der Dienst ausgeführt wird:

      sudo systemctl status observiq-otel-collector

    2. Logs auf Fehler prüfen:

      sudo journalctl -u observiq-otel-collector -f

  • Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

    • Eingabeaufforderung oder PowerShell als Administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Dienstkonsole:

      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

      4. Prüfen Sie, ob der Dienst ausgeführt wird:

        sc query observiq-otel-collector

      5. Logs auf Fehler prüfen:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Symantec DLP konfigurieren

  1. Melden Sie sich in der Symantec Server Administration-Konsole an.
  2. Wählen Sie Verwalten > Richtlinien > Antwortregeln aus.
  3. Wählen Sie Antwortregel konfigurieren aus und geben Sie einen Namen für die Regel ein.

  4. Geben Sie die folgenden Informationen ein:

    • Aktionen: Wählen Sie Auf einem Syslog-Server protokollieren aus.
    • Host: Geben Sie die Bindplane-IP-Adresse ein.
    • Port: Geben Sie die Bindplane-Portnummer ein.
    • Nachricht: Geben Sie die folgende Syslog-Nachrichtenvorlage ein:
    |symcdlpsys|APPLICATION_NAME|$APPLICATION_NAME$|APPLICATION_USER|$APPLICATION_USER$|ATTACHMENT_FILENAME|$ATTACHMENT_FILENAME$|BLOCKED|$BLOCKED$|DATAOWNER_NAME|$DATAOWNER_NAME$|DATAOWNER_EMAIL|$DATAOWNER_EMAIL$|...
    • Fehlerbehebung: Wählen Sie Stufe 4 aus.

  5. Klicken Sie auf Übernehmen.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
handeln security_result.action Wenn act den Wert Passed hat, legen Sie ALLOW fest. Wenn act den Wert Modified hat, legen Sie ALLOW_WITH_MODIFICATION fest. Wenn act den Wert Blocked hat, legen Sie BLOCK fest. Andernfalls legen Sie UNKNOWN_ACTION fest.
application_name target.application Direkt zugeordnet.
asset_ip principal.ip, principal.asset.ip Direkt zugeordnet.
asset_name hauptkonto.hostname, hauptkonto.asset.hostname Direkt zugeordnet.
attachment_name security_result.about.file.full_path Direkt zugeordnet.
blockiert security_result.action_details Direkt zugeordnet.
calling_station_id principal.mac, principal.asset.mac Wenn calling_station_id eine MAC-Adresse ist, ordnen Sie sie direkt zu, nachdem Sie - durch : ersetzt und in Kleinbuchstaben konvertiert haben.
called_station_id target.mac, target.asset.mac Wenn called_station_id eine MAC-Adresse ist, extrahiere den Teil der MAC-Adresse vor dem : und ordne ihn direkt zu, nachdem du - durch : ersetzt und in Kleinbuchstaben konvertiert hast.
category1 security_result.detection_fields Erstellen Sie ein Label mit dem Schlüssel category1 und dem Wert aus category1.
category2 security_result.detection_fields Erstellen Sie ein Label mit dem Schlüssel category2 und dem Wert aus category2.
category3 security_result.detection_fields Erstellen Sie ein Label mit dem Schlüssel category3 und dem Wert aus category3.
client_friendly_name target.user.userid Direkt zugeordnet.
dataowner_mail principal.user.email_addresses Direkt zugeordnet, wenn es sich um eine gültige E-Mail-Adresse handelt.
Beschreibung metadata.description Direkt zugeordnet.
dest_location target.location.country_or_region Direkt zugeordnet, wenn es nicht RED ist.
deviceId target.asset_id Zugeordnet als ID:%{deviceId}.
device_version metadata.product_version Direkt zugeordnet.
dhost network.http.referral_url Direkt zugeordnet.
dlp_type security_result.detection_fields Erstellen Sie ein Label mit dem Schlüssel dlp_type und dem Wert aus dlp_type.
DLP_EP_Incident_ID security_result.threat_id, security_result.detection_fields Direkt threat_id zugeordnet. Erstellen Sie außerdem ein Label mit dem Schlüssel Incident ID und dem Wert aus DLP_EP_Incident_ID.
Domain principal.administrative_domain Direkt zugeordnet.
dst target.ip, target.asset.ip Direkt zugeordnet, wenn es sich um eine gültige IP-Adresse handelt.
endpoint_machine target.ip, target.asset.ip Direkt zugeordnet, wenn es sich um eine gültige IP-Adresse handelt.
endpoint_user_department target.user.department Direkt zugeordnet.
endpoint_user_email target.user.email_addresses Direkt zugeordnet.
endpoint_user_manager target.user.managers Erstellen Sie ein Manager-Objekt mit user_display_name aus endpoint_user_manager.
endpoint_user_name target.user.user_display_name Direkt zugeordnet.
endpoint_user_title target.user.title Direkt zugeordnet.
event_description metadata.description Direkt zugeordnet.
event_id metadata.product_log_id Direkt zugeordnet.
event_source target.application Direkt zugeordnet.
event_timestamp metadata.event_timestamp Direkt zugeordnet.
file_name security_result.about.file.full_path Direkt zugeordnet.
filename target.file.full_path, src.file.full_path Direkt target.file.full_path zugeordnet. Wenn has_principal „true“ ist, ordnen Sie auch src.file.full_path zu und setzen Sie event_type auf FILE_COPY.
Host src.hostname, principal.hostname, principal.asset.hostname Wenn cef_data CEF enthält, ordnen Sie alle drei Felder zu. Andernfalls ordnen Sie principal.hostname und principal.asset.hostname zu.
incident_id security_result.threat_id, security_result.detection_fields Direkt threat_id zugeordnet. Erstellen Sie außerdem ein Label mit dem Schlüssel Incident ID und dem Wert aus incident_id.
Standort principal.resource.attribute.labels Erstellen Sie ein Label mit dem Schlüssel Location und dem Wert aus location.
match_count security_result.detection_fields Erstellen Sie ein Label mit dem Schlüssel Match Count und dem Wert aus match_count.
monitor_name additional.fields Erstellen Sie ein Label mit dem Schlüssel Monitor Name und dem Wert aus monitor_name.
nas_id target.hostname, target.asset.hostname Direkt zugeordnet.
occurred_on principal.labels, additional.fields Erstellen Sie für principal.labels und additional.fields ein Label mit dem Schlüssel Occurred On und dem Wert aus occurred_on.
policy_name sec_result.detection_fields Erstellen Sie ein Label mit dem Schlüssel policy_name und dem Wert aus policy_name.
policy_rule security_result.rule_name Direkt zugeordnet.
policy_severity security_result.severity Wird nach der Umwandlung in Großbuchstaben severity zugeordnet. Wenn policy_severity INFO ist, ordnen Sie es als INFORMATIONAL zu. Wenn policy_severity nicht HIGH, MEDIUM, LOW oder INFORMATIONAL ist, wird severity auf UNKNOWN_SEVERITY festgelegt.
policy_violated security_result.summary Direkt zugeordnet.
Protokoll network.application_protocol, target.application, sec_result.description Wenn Protocol nicht FTP oder Endpoint ist, ordnen Sie es nach dem Parsen mit der Datei parse_app_protocol.include network.application_protocol zu. Wenn Protocol FTP ist, ordnen Sie es target.application zu. Wenn Protocol Endpoint ist, setzen Sie sec_result.description auf Protocol=%{Protocol}.
Empfänger target.user.email_addresses, about.user.email_addresses Ordnen Sie jede E‑Mail-Adresse in recipient sowohl target.user.email_addresses als auch about.user.email_addresses zu.
Empfänger network.http.referral_url, target.resource.attribute.labels Direkt network.http.referral_url zugeordnet. Erstellen Sie außerdem ein Label mit dem Schlüssel recipients und dem Wert aus recipients.
reported_on additional.fields Erstellen Sie ein Label mit dem Schlüssel Reported On und dem Wert aus reported_on.
Regeln security_result.detection_fields Erstellen Sie ein Label mit dem Schlüssel Rules und dem Wert aus rules.
sender network.email.from, target.resource.attribute.labels Wenn sender eine gültige E-Mail-Adresse ist, ordnen Sie sie network.email.from zu. Erstellen Sie außerdem ein Label mit dem Schlüssel sender und dem Wert aus sender.
Server target.application Direkt zugeordnet.
Schweregrad security_result.severity Informationen zur Zuordnungslogik finden Sie unter policy_severity.
src principal.ip, principal.asset.ip Direkt zugeordnet, wenn es sich um eine gültige IP-Adresse handelt.
Status principal.labels, additional.fields Erstellen Sie für principal.labels und additional.fields ein Label mit dem Schlüssel Status und dem Wert aus status.
subject target.resource.attribute.labels, network.email.subject Erstellen Sie ein Label mit dem Schlüssel subject und dem Wert aus subject. Ordne außerdem subject network.email.subject zu.
target_type target.resource.attribute.labels Erstellen Sie ein Label mit dem Schlüssel Target Type und dem Wert aus target_type.
timestamp metadata.event_timestamp Direkt zugeordnet, nachdem sie mit dem Filter date geparst wurde.
URL target.url Direkt zugeordnet.
Nutzer target.user.userid Direkt zugeordnet.
user_id principal.user.userid Direkt zugeordnet.
Nutzername principal.user.userid Direkt zugeordnet.
– metadata.product_name Legen Sie SYMANTEC_DLP fest.
– metadata.vendor_name Legen Sie SYMANTEC fest.
– metadata.event_type Wenn event_type nicht leer ist, ordnen Sie es direkt zu. Andernfalls, wenn host nicht leer und has_principal „true“ ist, wird der Wert auf SCAN_NETWORK gesetzt. Andernfalls legen Sie GENERIC_EVENT fest.
– metadata.product_event_type Wenn policy_violated -NM- enthält oder data DLP NM enthält, wird Network Monitor festgelegt. Wenn policy_violated -EP- enthält oder data DLP EP enthält, wird Endpoint festgelegt.
– metadata.log_type Legen Sie SYMANTEC_DLP fest.
subject event.idm.read_only_udm.network.email.subject Aus dem Änderungsprotokoll zugeordnet
end event.idm.read_only_udm.metadata.event_timestamp Aus dem Änderungsprotokoll zugeordnet
cnt event.idm.read_only_udm.network.session_duration.seconds Aus dem Änderungsprotokoll zugeordnet
resolution event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
dhost event.idm.read_only_udm.target.user.email_addresses Aus dem Änderungsprotokoll zugeordnet
ATTACHMENT_FILENAME principal.file.full_path Aus dem Änderungsprotokoll zugeordnet
DATAOWNER_NAME principal.user.userid Aus dem Änderungsprotokoll zugeordnet
ENDPOINT_USERNAME principal.user.userid Aus dem Änderungsprotokoll zugeordnet
reported_on" and "monitor_name additional.fields Aus dem Änderungsprotokoll zugeordnet
incident_id" and "DLP_EP_Incident_ID security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
application principal.application Aus dem Änderungsprotokoll zugeordnet
Occurred on principal.labels Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten