Symantec Event Export-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Symantec Event Export-Logs erfassen, indem Sie einen Google Security Operations-Feed einrichten.

Weitere Informationen finden Sie unter Datenaufnahme in Google Security Operations.

Ein Aufnahme-Label identifiziert den Parser, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument gelten für den Parser mit den folgenden Aufnahme-Labels: SYMANTEC_EVENT_EXPORT und SEP.

Symantec-Ereignisexport konfigurieren

  1. Melden Sie sich in der SEP 15/14.2-Konsole an.
  2. Wählen Sie Integration aus.
  3. Klicken Sie auf Clientanwendung und kopieren Sie die Kundennummer und die Domain-ID, die Sie beim Erstellen eines Google Security Operations-Feeds benötigen.
  4. Klicken Sie auf + Hinzufügen und geben Sie einen Anwendungsnamen ein.
  5. Klicken Sie auf Hinzufügen.
  6. Rufen Sie die Seite Details auf und führen Sie die folgenden Aktionen aus:
    • Wählen Sie im Bereich Gerätegruppenverwaltung die Option Anzeigen aus.
    • Wählen Sie im Bereich Regelverwaltung für Benachrichtigungen und Ereignisse die Option Ansehen aus.
    • Wählen Sie im Bereich Prüfungsvorfall die Option Ansehen aus.
  7. Klicken Sie auf Speichern.
  8. Klicken Sie auf das Menü (vertikale Auslassungspunkte) am Ende des Anwendungsnamens und dann auf Clientschlüssel.
  9. Kopieren Sie die Client-ID und den Clientschlüssel, die Sie zum Konfigurieren des Google Security Operations-Feeds benötigen.

Feeds einrichten

So konfigurieren Sie einen Feed:

  1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Symantec Event Export Logs.
  5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
  6. Wählen Sie Symantec Event export als Log Type aus.
  7. Klicken Sie auf Dienstkonto abrufen. Google Security Operations stellt ein eindeutiges Dienstkonto bereit, das von Google Security Operations zum Aufnehmen von Daten verwendet wird.
  8. Konfigurieren Sie den Zugriff für das Dienstkonto, um auf die Cloud Storage-Objekte zuzugreifen. Weitere Informationen finden Sie unter Zugriff auf das Google Security Operations-Dienstkonto gewähren.
  9. Klicken Sie auf Weiter.
  10. Konfigurieren Sie die folgenden obligatorischen Eingabeparameter:
    • Storage-Bucket-URI: Geben Sie den Storage-Bucket-URI an.
    • Option zum Löschen der Quelle: Geben Sie die Option zum Löschen der Quelle an.
    • Maximales Dateialter: Es werden Dateien berücksichtigt, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
  11. Klicken Sie auf Weiter und dann auf Senden.

Weitere Informationen zu Google Security Operations-Feeds finden Sie in der Dokumentation zu Google Security Operations-Feeds.

Informationen zu den Anforderungen für die einzelnen Feedtypen finden Sie unter Feedkonfiguration nach Typ.

Wenn beim Erstellen von Feeds Probleme auftreten, wenden Sie sich an den Google Security Operations-Support.

Referenz zur Feldzuordnung

Dieser Parser extrahiert Felder aus Symantec Event Export-Logs im JSON- oder SYSLOG-Format, normalisiert sie und ordnet sie dem UDM zu. Er verarbeitet verschiedene Logstrukturen, verwendet Grok-Muster für SYSLOG und JSON-Parsing für JSON-formatierte Logs und ordnet Felder UDM-Entitäten wie principal, target, network und security_result zu.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
actor.cmd_line principal.process.command_line Das actor.cmd_line des Rohlogs wird direkt dem UDM zugeordnet.
actor.file.full_path principal.process.file.full_path Der actor.file.path oder file.path des Rohlogs wird direkt dem UDM zugeordnet.
actor.file.md5 principal.process.file.md5 Der actor.file.md5 des Rohlogs wird in Kleinbuchstaben umgewandelt und direkt dem UDM zugeordnet.
actor.file.sha1 principal.process.file.sha1 Der actor.file.sha1 des Rohlogs wird in Kleinbuchstaben umgewandelt und direkt dem UDM zugeordnet.
actor.file.sha2 principal.process.file.sha256 Der actor.file.sha2 oder file.sha2 des Rohlogs wird in Kleinbuchstaben umgewandelt und direkt dem UDM zugeordnet.
actor.file.size principal.process.file.size Der actor.file.size des Rohlogs wird in einen String und dann in eine Ganzzahl ohne Vorzeichen konvertiert und direkt dem UDM zugeordnet.
actor.pid principal.process.pid Der actor.pid des Rohlogs wird in einen String konvertiert und direkt dem UDM zugeordnet.
actor.user.domain principal.administrative_domain Das actor.user.domain des Rohlogs wird direkt dem UDM zugeordnet. Wenn connection.direction_id = 1 ist, wird es target.administrative_domain zugeordnet.
actor.user.name principal.user.user_display_name Das actor.user.name des Rohlogs wird direkt dem UDM zugeordnet. Wenn user_name vorhanden ist, hat es Vorrang.
actor.user.sid principal.user.windows_sid Das actor.user.sid des Rohlogs wird direkt dem UDM zugeordnet.
connection.direction_id network.direction Wenn connection.direction_id = 1 und connection.dst_ip vorhanden ist, wird network.direction auf INBOUND gesetzt. Wenn connection.direction_id = 2 und connection.dst_ip vorhanden ist, wird network.direction auf OUTBOUND gesetzt.
connection.dst_ip target.ip Das connection.dst_ip des Rohlogs wird direkt dem UDM zugeordnet.
connection.dst_port target.port Der connection.dst_port-Wert des Rohlogs wird in eine Ganzzahl konvertiert und direkt dem UDM zugeordnet.
connection.src_ip principal.ip Das connection.src_ip des Rohlogs wird direkt dem UDM zugeordnet.
connection.src_port principal.port Der connection.src_port-Wert des Rohlogs wird in eine Ganzzahl konvertiert und direkt dem UDM zugeordnet. Verarbeitet Fälle, in denen connection.src_port ein Array ist.
device_domain principal.administrative_domain oder target.administrative_domain Der device_domain des Rohlogs wird principal.administrative_domain zugeordnet, wenn connection.direction_id nicht 1 ist. Wenn connection.direction_id = 1 ist, wird es target.administrative_domain zugeordnet.
device_group principal.group.group_display_name oder target.group.group_display_name Der device_group des Rohlogs wird principal.group.group_display_name zugeordnet, wenn connection.direction_id nicht 1 ist. Wenn connection.direction_id = 1 ist, wird es target.group.group_display_name zugeordnet.
device_ip src.ip Das device_ip des Rohlogs wird direkt dem UDM zugeordnet.
device_name principal.hostname oder target.hostname Der device_name des Rohlogs wird principal.hostname zugeordnet, wenn connection.direction_id nicht 1 ist. Wenn connection.direction_id = 1 ist, wird es target.hostname zugeordnet.
device_networks intermediary.ip, intermediary.mac Das device_networks-Array des Rohlogs wird verarbeitet. IPv4- und IPv6-Adressen werden in intermediary.ip zusammengeführt. MAC-Adressen werden in Kleinbuchstaben umgewandelt, Bindestriche werden durch Doppelpunkte ersetzt und dann in intermediary.mac zusammengeführt.
device_os_name principal.platform_version oder target.platform_version Der device_os_name des Rohlogs wird principal.platform_version zugeordnet, wenn connection.direction_id nicht 1 ist. Wenn connection.direction_id = 1 ist, wird es target.platform_version zugeordnet.
device_public_ip principal.ip Das device_public_ip des Rohlogs wird direkt dem UDM zugeordnet.
device_uid principal.resource.id oder target.resource.id Der device_uid des Rohlogs wird principal.resource.id zugeordnet, wenn connection.direction_id nicht 1 ist. Wenn connection.direction_id = 1 ist, wird es target.resource.id zugeordnet.
feature_name security_result.category_details Das feature_name des Rohlogs wird direkt dem UDM zugeordnet.
file.path principal.process.file.full_path Das file.path des Rohlogs wird direkt dem UDM zugeordnet. Wenn actor.file.path vorhanden ist, hat es Vorrang.
file.sha2 principal.process.file.sha256 Der file.sha2 des Rohlogs wird in Kleinbuchstaben umgewandelt und direkt dem UDM zugeordnet. Wenn actor.file.sha2 vorhanden ist, hat es Vorrang.
log_time metadata.event_timestamp Das log_time des Rohlogs wird mit verschiedenen Datumsformaten geparst und als Ereigniszeitstempel verwendet.
message security_result.summary oder network.ip_protocol oder metadata.description Das Feld message des Rohlogs wird verarbeitet. Wenn „UDP“ enthalten ist, wird network.ip_protocol auf „UDP“ gesetzt. Wenn „IP“ enthalten ist, wird network.ip_protocol auf „IP6IN4“ gesetzt. Wenn „ICMP“ enthalten ist, wird network.ip_protocol auf „ICMP“ gesetzt. Andernfalls wird es security_result.summary zugeordnet. Wenn das Feld description vorhanden ist, wird das Feld message auf metadata.description abgebildet.
parent.cmd_line principal.process.parent_process.command_line Das parent.cmd_line des Rohlogs wird direkt dem UDM zugeordnet.
parent.pid principal.process.parent_process.pid Der parent.pid des Rohlogs wird in einen String konvertiert und direkt dem UDM zugeordnet.
policy.name security_result.rule_name Das policy.name des Rohlogs wird direkt dem UDM zugeordnet.
policy.rule_name security_result.description Das policy.rule_name des Rohlogs wird direkt dem UDM zugeordnet.
policy.rule_uid security_result.rule_id Das policy.rule_uid des Rohlogs wird direkt dem UDM zugeordnet. Wenn policy.uid vorhanden ist, hat es Vorrang.
policy.uid security_result.rule_id Das policy.uid des Rohlogs wird direkt dem UDM zugeordnet.
product_name metadata.product_name Das product_name des Rohlogs wird direkt dem UDM zugeordnet.
product_uid metadata.product_log_id Das product_uid des Rohlogs wird direkt dem UDM zugeordnet.
product_ver metadata.product_version Das product_ver des Rohlogs wird direkt dem UDM zugeordnet.
severity_id security_result.severity Wenn severity_id = 1, 2 oder 3 ist, wird security_result.severity auf INFORMATIONAL gesetzt. Wenn es 4 ist, wird es auf ERROR gesetzt. Wenn es 5 ist, wird es auf CRITICAL gesetzt.
threat.id security_result.threat_id Der threat.id des Rohlogs wird in einen String konvertiert und direkt dem UDM zugeordnet.
threat.name security_result.threat_name Das threat.name des Rohlogs wird direkt dem UDM zugeordnet.
type_id metadata.event_type, metadata.product_event_type Wird in Verbindung mit anderen Feldern verwendet, um die entsprechenden metadata.event_type und metadata.product_event_type zu bestimmen.
user_email principal.user.email_addresses Der user_email des Rohlogs wird in das UDM zusammengeführt.
user_name principal.user.user_display_name Das user_name des Rohlogs wird direkt dem UDM zugeordnet.
uuid target.process.pid Das uuid des Rohlogs wird geparst, um die Prozess-ID zu extrahieren, die target.process.pid zugeordnet wird.
– metadata.vendor_name Legen Sie diesen Wert auf „SYMANTEC“ fest.
– metadata.log_type Legen Sie diesen Wert auf „SYMANTEC_EVENT_EXPORT“ fest.
– principal.resource.resource_type Legen Sie „DEVICE“ fest, wenn connection.direction_id nicht „1“ oder leer ist.
– target.resource.resource_type Legen Sie „DEVICE“ fest, wenn connection.direction_id = 1 ist.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten