Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Symantec DLP-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Symantec DLP-Logs mit dem Bindplane-Agenten in Google Security Operations aufnehmen.

Symantec Data Loss Prevention (DLP) ist eine Datenschutzlösung, die Syslog-Nachrichten für Richtlinienverstöße, Vorfälle bei der Datenerkennung, Ereignisse beim Endpunkt-Monitoring und Benachrichtigungen beim Netzwerk-Monitoring generiert. Der Parser extrahiert Felder aus durch Pipe-Zeichen getrennten und im CEF-Format vorliegenden Syslog-Logs und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Windows Server 2016 oder höher oder Linux-Host mit systemd
Netzwerkverbindung zwischen dem Bindplane-Agent und dem Symantec DLP-Server
Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
Administratorzugriff auf die Symantec Server-Verwaltungskonsole

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
Rufen Sie IAM und Verwaltung > Dienstkonten auf.
Klicken Sie auf Dienstkonto erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
- Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
Klicken Sie auf Erstellen und fortfahren.
Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
Klicken Sie auf Weiter und dann auf Fertig.
Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.
Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Warten Sie, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sc query observiq-otel-collector
```
Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Warten Sie, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sudo systemctl status observiq-otel-collector
```
Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agenten so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/symantec_dlp:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: SYMANTEC_DLP
    raw_log_field: body

service:
  pipelines:
    logs/symantec_dlp_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/symantec_dlp

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

Empfängerkonfiguration:
- listen_address: IP-Adresse und Port, auf dem gelauscht werden soll:
  - 0.0.0.0, um auf allen Schnittstellen zu lauschen (empfohlen)
  - Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).
Exporter-Konfiguration:
- creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
  - Linux: /opt/observiq-otel-collector/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: Kundennummer, die aus der Google SecOps-Konsole kopiert wurde
- location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
- project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
- endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Legacy-Ingestion-API-Exporter

Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/symantec_dlp:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: SYMANTEC_DLP
    raw_log_field: body
```

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:
- Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
- Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:
```
sudo systemctl restart observiq-otel-collector
```
1. Prüfen Sie, ob der Dienst ausgeführt wird:
```
sudo systemctl status observiq-otel-collector
```
2. Prüfen Sie die Logs auf Fehler:
```
sudo journalctl -u observiq-otel-collector -f
```
Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:
- Eingabeaufforderung oder PowerShell als Administrator:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Dienstkonsole:
  1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
  2. Suchen Sie nach observIQ OpenTelemetry Collector.
  3. Rechtsklicken Sie und wählen Sie Neu starten aus.
  4. Prüfen Sie, ob der Dienst ausgeführt wird:
```
sc query observiq-otel-collector
```
  5. Prüfen Sie die Logs auf Fehler:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Symantec DLP konfigurieren

Melden Sie sich in der Symantec Server-Verwaltungskonsole an.
Wählen Sie Verwalten > Richtlinien > Antwortregeln aus.
Wählen Sie Antwortregel konfigurieren aus und geben Sie einen Regelnamen ein.
Geben Sie die folgenden Informationen ein:
- Aktionen: Wählen Sie In einem Syslog-Server protokollieren aus.
- Host: Geben Sie die Bindplane-IP-Adresse ein.
- Port: Geben Sie die Bindplane-Portnummer ein.
- Nachricht: Geben Sie die folgende Syslog-Nachrichtenvorlage ein:
```
|symcdlpsys|APPLICATION_NAME|$APPLICATION_NAME$|APPLICATION_USER|$APPLICATION_USER$|ATTACHMENT_FILENAME|$ATTACHMENT_FILENAME$|BLOCKED|$BLOCKED$|DATAOWNER_NAME|$DATAOWNER_NAME$|DATAOWNER_EMAIL|$DATAOWNER_EMAIL$|...
```
- Debugging: Wählen Sie Level 4 aus.
Klicken Sie auf Übernehmen.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
handeln	security_result.action	Wenn `act` den Wert `Passed` hat, legen Sie `ALLOW` fest. Wenn `act` den Wert `Modified` hat, legen Sie `ALLOW_WITH_MODIFICATION` fest. Wenn `act` den Wert `Blocked` hat, legen Sie `BLOCK` fest. Andernfalls legen Sie `UNKNOWN_ACTION` fest.
application_name	target.application	Direkt zugeordnet.
asset_ip	principal.ip, principal.asset.ip	Direkt zugeordnet.
asset_name	principal.hostname, principal.asset.hostname	Direkt zugeordnet.
attachment_name	security_result.about.file.full_path	Direkt zugeordnet.
blockiert	security_result.action_details	Direkt zugeordnet.
calling_station_id	principal.mac, principal.asset.mac	Wenn `calling_station_id` eine MAC-Adresse ist, ordnen Sie sie direkt zu, nachdem Sie `-` durch `:` ersetzt und in Kleinbuchstaben umgewandelt haben.
called_station_id	target.mac, target.asset.mac	Wenn `called_station_id` eine MAC-Adresse ist, extrahieren Sie den Teil der MAC-Adresse vor dem `:` und ordnen Sie ihn direkt zu, nachdem Sie `-` durch `:` ersetzt und in Kleinbuchstaben umgewandelt haben.
category1	security_result.detection_fields	Erstellen Sie ein Label mit dem Schlüssel `category1` und dem Wert aus `category1`.
category2	security_result.detection_fields	Erstellen Sie ein Label mit dem Schlüssel `category2` und dem Wert aus `category2`.
category3	security_result.detection_fields	Erstellen Sie ein Label mit dem Schlüssel `category3` und dem Wert aus `category3`.
client_friendly_name	target.user.userid	Direkt zugeordnet.
dataowner_mail	principal.user.email_addresses	Direkt zugeordnet, wenn es sich um eine gültige E-Mail-Adresse handelt.
Beschreibung	metadata.description	Direkt zugeordnet.
dest_location	target.location.country_or_region	Direkt zugeordnet, wenn nicht `RED`.
deviceId	target.asset_id	Zugeordnet als `ID:%{deviceId}`.
device_version	metadata.product_version	Direkt zugeordnet.
dhost	network.http.referral_url	Direkt zugeordnet.
dlp_type	security_result.detection_fields	Erstellen Sie ein Label mit dem Schlüssel `dlp_type` und dem Wert aus `dlp_type`.
DLP_EP_Incident_ID	security_result.threat_id, security_result.detection_fields	Direkt `threat_id` zugeordnet. Erstellen Sie außerdem ein Label mit dem Schlüssel `Incident ID` und dem Wert aus `DLP_EP_Incident_ID`.
Domain	principal.administrative_domain	Direkt zugeordnet.
dst	target.ip, target.asset.ip	Direkt zugeordnet, wenn es sich um eine gültige IP-Adresse handelt.
endpoint_machine	target.ip, target.asset.ip	Direkt zugeordnet, wenn es sich um eine gültige IP-Adresse handelt.
endpoint_user_department	target.user.department	Direkt zugeordnet.
endpoint_user_email	target.user.email_addresses	Direkt zugeordnet.
endpoint_user_manager	target.user.managers	Erstellen Sie ein Manager-Objekt mit `user_display_name` aus `endpoint_user_manager`.
endpoint_user_name	target.user.user_display_name	Direkt zugeordnet.
endpoint_user_title	target.user.title	Direkt zugeordnet.
event_description	metadata.description	Direkt zugeordnet.
event_id	metadata.product_log_id	Direkt zugeordnet.
event_source	target.application	Direkt zugeordnet.
event_timestamp	metadata.event_timestamp	Direkt zugeordnet.
file_name	security_result.about.file.full_path	Direkt zugeordnet.
filename	target.file.full_path, src.file.full_path	Direkt `target.file.full_path` zugeordnet. Wenn `has_principal` „true“ ist, ordnen Sie auch `src.file.full_path` zu und setzen Sie `event_type` auf `FILE_COPY`.
Host	src.hostname, principal.hostname, principal.asset.hostname	Wenn `cef_data` den Wert `CEF` enthält, ordnen Sie alle drei Felder zu. Andernfalls ordnen Sie sie `principal.hostname` und `principal.asset.hostname` zu.
incident_id	security_result.threat_id, security_result.detection_fields	Direkt `threat_id` zugeordnet. Erstellen Sie außerdem ein Label mit dem Schlüssel `Incident ID` und dem Wert aus `incident_id`.
Standort	principal.resource.attribute.labels	Erstellen Sie ein Label mit dem Schlüssel `Location` und dem Wert aus `location`.
match_count	security_result.detection_fields	Erstellen Sie ein Label mit dem Schlüssel `Match Count` und dem Wert aus `match_count`.
monitor_name	additional.fields	Erstellen Sie ein Label mit dem Schlüssel `Monitor Name` und dem Wert aus `monitor_name`.
nas_id	target.hostname, target.asset.hostname	Direkt zugeordnet.
occurred_on	principal.labels, additional.fields	Erstellen Sie ein Label mit dem Schlüssel `Occurred On` und dem Wert aus `occurred_on` für `principal.labels` und `additional.fields`.
policy_name	sec_result.detection_fields	Erstellen Sie ein Label mit dem Schlüssel `policy_name` und dem Wert aus `policy_name`.
policy_rule	security_result.rule_name	Direkt zugeordnet.
policy_severity	security_result.severity	Wird nach der Umwandlung in Großbuchstaben `severity` zugeordnet. Wenn `policy_severity` `INFO` ist, ordnen Sie es als `INFORMATIONAL` zu. Wenn `policy_severity` nicht `HIGH`, `MEDIUM`, `LOW` oder `INFORMATIONAL` ist, legen Sie `severity` auf `UNKNOWN_SEVERITY` fest.
policy_violated	security_result.summary	Direkt zugeordnet.
Protokoll	network.application_protocol, target.application, sec_result.description	Wenn `Protocol` nicht `FTP` oder `Endpoint` ist, ordnen Sie es `network.application_protocol` zu, nachdem Sie es mit der Datei `parse_app_protocol.include` geparst haben. Wenn `Protocol` den Wert `FTP` hat, ordnen Sie es `target.application` zu. Wenn `Protocol` `Endpoint` ist, setzen Sie `sec_result.description` auf `Protocol=%{Protocol}`.
Empfänger	target.user.email_addresses, about.user.email_addresses	Ordnen Sie jede E-Mail-Adresse in `recipient` sowohl `target.user.email_addresses` als auch `about.user.email_addresses` zu.
Empfänger	network.http.referral_url, target.resource.attribute.labels	Direkt `network.http.referral_url` zugeordnet. Erstellen Sie außerdem ein Label mit dem Schlüssel `recipients` und dem Wert aus `recipients`.
reported_on	additional.fields	Erstellen Sie ein Label mit dem Schlüssel `Reported On` und dem Wert aus `reported_on`.
Regeln	security_result.detection_fields	Erstellen Sie ein Label mit dem Schlüssel `Rules` und dem Wert aus `rules`.
sender	network.email.from, target.resource.attribute.labels	Wenn `sender` eine gültige E‑Mail-Adresse ist, ordnen Sie sie `network.email.from` zu. Erstellen Sie außerdem ein Label mit dem Schlüssel `sender` und dem Wert aus `sender`.
Server	target.application	Direkt zugeordnet.
Schweregrad	security_result.severity	Informationen zur Zuordnungslogik finden Sie unter `policy_severity`.
src	principal.ip, principal.asset.ip	Direkt zugeordnet, wenn es sich um eine gültige IP-Adresse handelt.
Status	principal.labels, additional.fields	Erstellen Sie ein Label mit dem Schlüssel `Status` und dem Wert aus `status` für `principal.labels` und `additional.fields`.
subject	target.resource.attribute.labels, network.email.subject	Erstellen Sie ein Label mit dem Schlüssel `subject` und dem Wert aus `subject`. Ordnen Sie außerdem `subject` zu `network.email.subject` zu.
target_type	target.resource.attribute.labels	Erstellen Sie ein Label mit dem Schlüssel `Target Type` und dem Wert aus `target_type`.
timestamp	metadata.event_timestamp	Wird direkt zugeordnet, nachdem es mit dem Filter `date` geparst wurde.
URL	target.url	Direkt zugeordnet.
Nutzer	target.user.userid	Direkt zugeordnet.
user_id	principal.user.userid	Direkt zugeordnet.
Nutzername	principal.user.userid	Direkt zugeordnet.
–	metadata.product_name	Legen Sie `SYMANTEC_DLP` fest.
–	metadata.vendor_name	Legen Sie `SYMANTEC` fest.
–	metadata.event_type	Wenn `event_type` nicht leer ist, ordnen Sie es direkt zu. Andernfalls, wenn `host` nicht leer ist und `has_principal` „true“ ist, wird der Wert auf `SCAN_NETWORK` gesetzt. Andernfalls legen Sie `GENERIC_EVENT` fest.
–	metadata.product_event_type	Wenn `policy_violated` `-NM-` oder `data` `DLP NM` enthält, wird der Wert auf `Network Monitor` gesetzt. Wenn `policy_violated` `-EP-` oder `data` `DLP EP` enthält, auf `Endpoint` festlegen.
–	metadata.log_type	Legen Sie `SYMANTEC_DLP` fest.
`subject`	`event.idm.read_only_udm.network.email.subject`	Aus Änderungsprotokoll zugeordnet
`end`	`event.idm.read_only_udm.metadata.event_timestamp`	Aus Änderungsprotokoll zugeordnet
`cnt`	`event.idm.read_only_udm.network.session_duration.seconds`	Aus Änderungsprotokoll zugeordnet
`resolution`	`event.idm.read_only_udm.security_result.detection_fields`	Aus Änderungsprotokoll zugeordnet
`dhost`	`event.idm.read_only_udm.target.user.email_addresses`	Aus Änderungsprotokoll zugeordnet
`ATTACHMENT_FILENAME`	`principal.file.full_path`	Aus Änderungsprotokoll zugeordnet
`DATAOWNER_NAME`	`principal.user.userid`	Aus Änderungsprotokoll zugeordnet
`ENDPOINT_USERNAME`	`principal.user.userid`	Aus Änderungsprotokoll zugeordnet
`reported_on" and "monitor_name`	`additional.fields`	Aus Änderungsprotokoll zugeordnet
`incident_id" and "DLP_EP_Incident_ID`	`security_result.detection_fields`	Aus Änderungsprotokoll zugeordnet
`application`	`principal.application`	Aus Änderungsprotokoll zugeordnet
`Occurred on`	`principal.labels`	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten