Symantec DLP のログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して Symantec DLP ログを Google Security Operations に取り込む方法について説明します。

Symantec Data Loss Prevention（DLP）は、ポリシー違反、データ検出インシデント、エンドポイント モニタリング イベント、ネットワーク モニタリング アラートの syslog メッセージを生成するデータ保護ソリューションです。パーサーは、パイプ区切り形式と CEF 形式の Syslog ログからフィールドを抽出し、Unified Data Model（UDM）にマッピングします。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • Bindplane エージェントと Symantec DLP サーバー間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します
  • Symantec Server 管理コンソールへの管理者アクセス権

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイル をダウンロードします。

  4. Bindplane をインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

  1. 管理者としてコマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

    サービスは RUNNING と表示されます。

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

    サービスが [アクティブ（実行中）] と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/symantec_dlp:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: SYMANTEC_DLP
        raw_log_field: body

service:
    pipelines:
        logs/symantec_dlp_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/symantec_dlp

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • listen_address: リッスンする IP アドレスとポート:
      • すべてのインターフェースでリッスンする 0.0.0.0（推奨）
      • ポート 514 は標準の syslog ポートです（Linux で root が必要です。root 以外のユーザーは 1514 を使用します）。

  • エクスポータの構成:

    • creds_file_path: 取り込み認証ファイルのフルパス:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Google SecOps コンソールからコピーしたお客様 ID
    • endpoint: リージョナル エンドポイント URL:
      • 米国: malachiteingestion-pa.googleapis.com
      • ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
      • アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
      • 完全なリストについては、リージョン エンドポイントをご覧ください。

構成ファイルを保存する

  • 編集後、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
    • Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

    1. サービスが実行されていることを確認します。

      sudo systemctl status observiq-otel-collector

    2. ログでエラーを確認します。

      sudo journalctl -u observiq-otel-collector -f

  • Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。

      net stop observiq-otel-collector && net start observiq-otel-collector

    • サービス コンソール:

      1. Win+R キーを押して「services.msc」と入力し、Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

      4. サービスが実行されていることを確認します。

        sc query observiq-otel-collector

      5. ログでエラーを確認します。

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Symantec DLP を構成する

  1. Symantec Server administration コンソールにログインします。
  2. [管理> ポリシー> レスポンス ルール] を選択します。
  3. [Configure response rule] を選択し、ルール名を入力します。

  4. 以下の詳細を入力します。

    • アクション: [syslog サーバーにログを記録する] を選択します。
    • ホスト: Bindplane の IP アドレスを入力します。
    • ポート: Bindplane ポート番号を入力します。
    • メッセージ: 次の syslog メッセージ テンプレートを入力します。
    |symcdlpsys|APPLICATION_NAME|$APPLICATION_NAME$|APPLICATION_USER|$APPLICATION_USER$|ATTACHMENT_FILENAME|$ATTACHMENT_FILENAME$|BLOCKED|$BLOCKED$|DATAOWNER_NAME|$DATAOWNER_NAME$|DATAOWNER_EMAIL|$DATAOWNER_EMAIL$|...
    • デバッグ: [レベル 4] を選択します。

  5. [適用] をクリックします。

UDM マッピング テーブル

ログフィールド UDM マッピング 論理
act security_result.action act が Passed の場合は、ALLOW に設定します。act が Modified の場合は、ALLOW_WITH_MODIFICATION に設定します。act が Blocked の場合は、BLOCK に設定します。それ以外の場合は UNKNOWN_ACTION に設定します。
application_name target.application 直接マッピングされます。
asset_ip principal.ip、principal.asset.ip 直接マッピングされます。
asset_name principal.hostname、principal.asset.hostname 直接マッピングされます。
attachment_name security_result.about.file.full_path 直接マッピングされます。
blocked security_result.action_details 直接マッピングされます。
calling_station_id principal.mac、principal.asset.mac calling_station_id が MAC アドレスの場合は、- を : に置き換えて小文字に変換した後、直接マッピングします。
called_station_id target.mac、target.asset.mac called_station_id が MAC アドレスの場合、: の前の MAC アドレス部分を抽出し、- を : に置き換えて小文字に変換した後、直接マッピングします。
category1 security_result.detection_fields キー category1 と category1 の値を使用してラベルを作成します。
category2 security_result.detection_fields キー category2 と category2 の値を使用してラベルを作成します。
category3 security_result.detection_fields キー category3 と category3 の値を使用してラベルを作成します。
client_friendly_name target.user.userid 直接マッピングされます。
dataowner_mail principal.user.email_addresses 有効なメールアドレスの場合、直接マッピングされます。
説明 metadata.description 直接マッピングされます。
dest_location target.location.country_or_region RED でない場合、直接マッピングされます。
deviceId target.asset_id ID:%{deviceId} としてマッピングされます。
device_version metadata.product_version 直接マッピングされます。
dhost network.http.referral_url 直接マッピングされます。
dlp_type security_result.detection_fields キー dlp_type と dlp_type の値を使用してラベルを作成します。
DLP_EP_Incident_ID security_result.threat_id、security_result.detection_fields threat_id に直接マッピングされます。また、キー Incident ID と DLP_EP_Incident_ID の値を使用してラベルを作成します。
ドメイン principal.administrative_domain 直接マッピングされます。
dst target.ip、target.asset.ip 有効な IP アドレスの場合、直接マッピングされます。
endpoint_machine target.ip、target.asset.ip 有効な IP アドレスの場合、直接マッピングされます。
endpoint_user_department target.user.department 直接マッピングされます。
endpoint_user_email target.user.email_addresses 直接マッピングされます。
endpoint_user_manager target.user.managers endpoint_user_manager から user_display_name を使用してマネージャー オブジェクトを作成します。
endpoint_user_name target.user.user_display_name 直接マッピングされます。
endpoint_user_title target.user.title 直接マッピングされます。
event_description metadata.description 直接マッピングされます。
event_id metadata.product_log_id 直接マッピングされます。
event_source target.application 直接マッピングされます。
event_timestamp metadata.event_timestamp 直接マッピングされます。
file_name security_result.about.file.full_path 直接マッピングされます。
filename target.file.full_path、src.file.full_path target.file.full_path に直接マッピングされます。has_principal が true の場合は、src.file.full_path にもマッピングし、event_type を FILE_COPY に設定します。
ホスト src.hostname、principal.hostname、principal.asset.hostname cef_data に CEF が含まれている場合は、3 つのフィールドすべてにマッピングします。それ以外の場合は、principal.hostname と principal.asset.hostname にマッピングします。
incident_id security_result.threat_id、security_result.detection_fields threat_id に直接マッピングされます。また、キー Incident ID と incident_id の値を使用してラベルを作成します。
ロケーション principal.resource.attribute.labels キー Location と location の値を使用してラベルを作成します。
match_count security_result.detection_fields キー Match Count と match_count の値を使用してラベルを作成します。
monitor_name additional.fields キー Monitor Name と monitor_name の値を使用してラベルを作成します。
nas_id target.hostname、target.asset.hostname 直接マッピングされます。
occurred_on principal.labels、additional.fields principal.labels と additional.fields の両方に対して、キー Occurred On と occurred_on の値を使用してラベルを作成します。
policy_name sec_result.detection_fields キー policy_name と policy_name の値を使用してラベルを作成します。
policy_rule security_result.rule_name 直接マッピングされます。
policy_severity security_result.severity 大文字に変換された後、severity にマッピングされます。policy_severity が INFO の場合、INFORMATIONAL としてマッピングします。policy_severity が HIGH、MEDIUM、LOW、INFORMATIONAL のいずれでもない場合は、severity を UNKNOWN_SEVERITY に設定します。
policy_violated security_result.summary 直接マッピングされます。
プロトコル network.application_protocol、target.application、sec_result.description Protocol が FTP または Endpoint でない場合は、parse_app_protocol.include ファイルを使用して解析した後、network.application_protocol にマッピングします。Protocol が FTP の場合、target.application にマッピングします。Protocol が Endpoint の場合、sec_result.description を Protocol=%{Protocol} に設定します。
受信者 target.user.email_addresses、about.user.email_addresses recipient の各メールアドレスを target.user.email_addresses と about.user.email_addresses の両方にマッピングします。
受信者 network.http.referral_url、target.resource.attribute.labels network.http.referral_url に直接マッピングされます。また、キー recipients と recipients の値を使用してラベルを作成します。
reported_on additional.fields キー Reported On と reported_on の値を使用してラベルを作成します。
ルール security_result.detection_fields キー Rules と rules の値を使用してラベルを作成します。
送信者 network.email.from、target.resource.attribute.labels sender が有効なメールアドレスの場合は、network.email.from にマッピングします。また、キー sender と sender の値を使用してラベルを作成します。
サーバー target.application 直接マッピングされます。
重大度 security_result.severity マッピング ロジックについては、policy_severity をご覧ください。
src principal.ip、principal.asset.ip 有効な IP アドレスの場合、直接マッピングされます。
ステータス principal.labels、additional.fields principal.labels と additional.fields の両方に対して、キー Status と status の値を使用してラベルを作成します。
件名 target.resource.attribute.labels, network.email.subject キー subject と subject の値を使用してラベルを作成します。また、subject を network.email.subject にマッピングします。
target_type target.resource.attribute.labels キー Target Type と target_type の値を使用してラベルを作成します。
timestamp metadata.event_timestamp date フィルタを使用して解析した後、直接マッピングされます。
URL target.url 直接マッピングされます。
ユーザー target.user.userid 直接マッピングされます。
user_id principal.user.userid 直接マッピングされます。
ユーザー名 principal.user.userid 直接マッピングされます。
なし metadata.product_name SYMANTEC_DLP に設定します。
なし metadata.vendor_name SYMANTEC に設定します。
なし metadata.event_type event_type が空でない場合は、直接マッピングします。それ以外の場合、host が空ではなく、has_principal が true の場合は、SCAN_NETWORK に設定します。それ以外の場合は GENERIC_EVENT に設定します。
なし metadata.product_event_type policy_violated に -NM- が含まれている場合、または data に DLP NM が含まれている場合は、Network Monitor に設定します。policy_violated に -EP- が含まれている場合、または data に DLP EP が含まれている場合は、Endpoint に設定します。
なし metadata.log_type SYMANTEC_DLP に設定します。
subject event.idm.read_only_udm.network.email.subject 変更履歴からマッピング
end event.idm.read_only_udm.metadata.event_timestamp 変更履歴からマッピング
cnt event.idm.read_only_udm.network.session_duration.seconds 変更履歴からマッピング
resolution event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
dhost event.idm.read_only_udm.target.user.email_addresses 変更履歴からマッピング
ATTACHMENT_FILENAME principal.file.full_path 変更履歴からマッピング
DATAOWNER_NAME principal.user.userid 変更履歴からマッピング
ENDPOINT_USERNAME principal.user.userid 変更履歴からマッピング
reported_on" and "monitor_name additional.fields 変更履歴からマッピング
incident_id" and "DLP_EP_Incident_ID security_result.detection_fields 変更履歴からマッピング
application principal.application 変更履歴からマッピング
Occurred on principal.labels 変更履歴からマッピング

変更履歴

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。