איסוף יומנים של Symantec Event Export

נתמך ב:

במסמך הזה מוסבר איך לאסוף יומנים של Symantec Event Export על ידי הגדרת פיד של Google Security Operations.

מידע נוסף זמין במאמר בנושא העברת נתונים אל Google Security Operations.

תווית הטמעה מזהה את מנתח הנתונים שמנרמל נתוני יומן גולמיים לפורמט UDM מובנה. המידע במסמך הזה רלוונטי למנתח התוכן עם תוויות ההטמעה הבאות: SYMANTEC_EVENT_EXPORT ו-SEP.

הגדרת ייצוא אירועים של Symantec

  1. נכנסים למסוף SEP 15/14.2.
  2. לוחצים על Integration (שילוב).
  3. לוחצים על Client Application (אפליקציית לקוח) ומעתיקים את Customer ID (מספר לקוח) ואת Domain ID (מזהה דומיין), שמשמשים כשיוצרים פיד של Google Security Operations.
  4. לוחצים על + הוספה ומזינים שם לאפליקציה.
  5. לוחצים על הוספה.
  6. עוברים לדף פרטים ומבצעים את הפעולות הבאות:
    • בקטע Devices Group Management (ניהול קבוצות מכשירים), לוחצים על View (הצגה).
    • בקטע Alerts & Events Rule Management (ניהול כללים של התראות ואירועים), לוחצים על View (הצגה).
    • בקטע Investigation Incident (אירוע חקירה), לוחצים על View (הצגה).
  7. לוחצים על Save.
  8. לוחצים על סמל התפריט (שלוש נקודות אנכיות) שנמצא בסוף שם האפליקציה ולוחצים על Client Secret (סוד הלקוח).
  9. מעתיקים את מזהה הלקוח ואת הסוד של הלקוח, שנדרשים כשמגדירים את הפיד של Google Security Operations.

הגדרת פידים

כדי להגדיר פיד:

  1. עוברים אל SIEM Settings (הגדרות SIEM) > Feeds (פידים).
  2. לוחצים על הוספת פיד חדש.
  3. בדף הבא, לוחצים על הגדרת פיד יחיד.
  4. בשדה שם הפיד, מזינים שם לפיד, לדוגמה Symantec Event Export Logs.
  5. בוחרים באפשרות Google Cloud Storage V2 בתור סוג המקור.
  6. בוחרים באפשרות Symantec Event export (ייצוא אירועים של Symantec) בתור סוג היומן.
  7. לוחצים על קבלת חשבון שירות. ‫Google Security Operations מספק חשבון שירות ייחודי שמשמש את Google Security Operations להטמעת נתונים.
  8. מגדירים את הגישה של חשבון השירות לאובייקטים ב-Cloud Storage. מידע נוסף מופיע במאמר בנושא הענקת גישה לחשבון השירות של Google Security Operations.
  9. לוחצים על הבא.
  10. מגדירים את פרמטרי הקלט הבאים שהם חובה:
    • ‫URI של קטגוריית אחסון: מציינים את ה-URI של קטגוריית האחסון.
    • אפשרות מחיקת המקור: מציינים את אפשרות מחיקת המקור.
    • הגיל המקסימלי של הקובץ: כולל קבצים שעברו שינוי במספר הימים האחרון. ברירת המחדל היא 180 ימים.
  11. לוחצים על הבא ואז על שליחה.

מידע נוסף על פידים של Google Security Operations זמין במסמכי התיעוד של פידים של Google Security Operations.

מידע על הדרישות לכל סוג פיד זמין במאמר הגדרת פיד לפי סוג.

אם נתקלתם בבעיות כשאתם יוצרים פידים, אתם יכולים לפנות לתמיכה של Google Security Operations.

הפניה למיפוי שדות

הכלי הזה מנתח יומנים של ייצוא אירועים מ-Symantec בפורמט JSON או SYSLOG, מבצע נורמליזציה שלהם וממפה אותם ל-UDM. הוא מטפל במבני יומנים שונים, באמצעות דפוסי grok ל-SYSLOG וניתוח JSON ליומנים בפורמט JSON, וממפה שדות לישויות UDM כמו principal,‏ target,‏ network ו-security_result.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
actor.cmd_line principal.process.command_line השדה actor.cmd_line ביומן הגולמי ממופה ישירות ל-UDM.
actor.file.full_path principal.process.file.full_path השדה actor.file.path או file.path ביומן הגולמי ממופה ישירות ל-UDM.
actor.file.md5 principal.process.file.md5 הערך actor.file.md5 ביומן הגולמי מומר לאותיות קטנות וממופה ישירות ל-UDM.
actor.file.sha1 principal.process.file.sha1 הערך actor.file.sha1 ביומן הגולמי מומר לאותיות קטנות וממופה ישירות ל-UDM.
actor.file.sha2 principal.process.file.sha256 הערך actor.file.sha2 או file.sha2 ביומן הגולמי מומר לאותיות קטנות וממופה ישירות ל-UDM.
actor.file.size principal.process.file.size הערך actor.file.size ביומן הגולמי מומר למחרוזת ואז למספר שלם לא חתום, וממופה ישירות ל-UDM.
actor.pid principal.process.pid הערך actor.pid ביומן הגולמי מומר למחרוזת וממופה ישירות ל-UDM.
actor.user.domain principal.administrative_domain השדה actor.user.domain ביומן הגולמי ממופה ישירות ל-UDM. אם הערך של connection.direction_id הוא 1, הוא ממופה ל-target.administrative_domain.
actor.user.name principal.user.user_display_name השדה actor.user.name ביומן הגולמי ממופה ישירות ל-UDM. אם user_name קיים, הוא מקבל עדיפות.
actor.user.sid principal.user.windows_sid השדה actor.user.sid ביומן הגולמי ממופה ישירות ל-UDM.
connection.direction_id network.direction אם הערך של connection.direction_id הוא 1 והמאפיין connection.dst_ip קיים, הערך של network.direction מוגדר ל-INBOUND. אם הערך של connection.direction_id הוא 2 ו-connection.dst_ip קיים, הערך של network.direction הוא OUTBOUND.
connection.dst_ip target.ip השדה connection.dst_ip ביומן הגולמי ממופה ישירות ל-UDM.
connection.dst_port target.port הערך connection.dst_port ביומן הגולמי מומר למספר שלם וממופה ישירות ל-UDM.
connection.src_ip principal.ip השדה connection.src_ip ביומן הגולמי ממופה ישירות ל-UDM.
connection.src_port principal.port הערך connection.src_port ביומן הגולמי מומר למספר שלם וממופה ישירות ל-UDM. מטפל במקרים שבהם connection.src_port הוא מערך.
device_domain principal.administrative_domain או target.administrative_domain הערך device_domain ביומן הגולמי ממופה ל-principal.administrative_domain אם הערך של connection.direction_id הוא לא 1. אם הערך של connection.direction_id הוא 1, הוא ממופה ל-target.administrative_domain.
device_group principal.group.group_display_name או target.group.group_display_name הערך device_group ביומן הגולמי ממופה ל-principal.group.group_display_name אם הערך של connection.direction_id הוא לא 1. אם הערך של connection.direction_id הוא 1, הוא ממופה ל-target.group.group_display_name.
device_ip src.ip השדה device_ip ביומן הגולמי ממופה ישירות ל-UDM.
device_name principal.hostname או target.hostname הערך device_name ביומן הגולמי ממופה ל-principal.hostname אם הערך של connection.direction_id הוא לא 1. אם הערך של connection.direction_id הוא 1, הוא ממופה ל-target.hostname.
device_networks intermediary.ip, intermediary.mac מערך device_networks של היומן הגולמי עובר עיבוד. כתובות IPv4 ו-IPv6 מוזגו לתוך intermediary.ip. כתובות MAC מומרות לאותיות קטנות, מקפים מוחלפים בנקודתיים, ואז מתבצע מיזוג ל-intermediary.mac.
device_os_name principal.platform_version או target.platform_version הערך device_os_name ביומן הגולמי ממופה ל-principal.platform_version אם הערך של connection.direction_id הוא לא 1. אם הערך של connection.direction_id הוא 1, הוא ממופה ל-target.platform_version.
device_public_ip principal.ip השדה device_public_ip ביומן הגולמי ממופה ישירות ל-UDM.
device_uid principal.resource.id או target.resource.id הערך device_uid ביומן הגולמי ממופה ל-principal.resource.id אם הערך של connection.direction_id הוא לא 1. אם הערך של connection.direction_id הוא 1, הוא ממופה ל-target.resource.id.
feature_name security_result.category_details השדה feature_name ביומן הגולמי ממופה ישירות ל-UDM.
file.path principal.process.file.full_path השדה file.path ביומן הגולמי ממופה ישירות ל-UDM. אם actor.file.path קיים, הוא מקבל עדיפות.
file.sha2 principal.process.file.sha256 הערך file.sha2 ביומן הגולמי מומר לאותיות קטנות וממופה ישירות ל-UDM. אם actor.file.sha2 קיים, הוא מקבל עדיפות.
log_time metadata.event_timestamp הערך log_time ביומן הגולמי מנותח באמצעות פורמטים שונים של תאריכים ומשמש כחותמת הזמן של האירוע.
message ‫security_result.summary או network.ip_protocol או metadata.description השדה message ביומן הגולמי עובר עיבוד. אם הוא מכיל את המחרוזת 'UDP', הערך של network.ip_protocol הוא 'UDP'. אם הוא מכיל את המחרוזת 'IP', הערך של network.ip_protocol הוא 'IP6IN4'. אם הוא מכיל את המחרוזת 'ICMP', הערך של network.ip_protocol הוא 'ICMP'. אחרת, הוא ממופה ל-security_result.summary. אם השדה description קיים, השדה message ממופה ל-metadata.description.
parent.cmd_line principal.process.parent_process.command_line השדה parent.cmd_line ביומן הגולמי ממופה ישירות ל-UDM.
parent.pid principal.process.parent_process.pid הערך parent.pid ביומן הגולמי מומר למחרוזת וממופה ישירות ל-UDM.
policy.name security_result.rule_name השדה policy.name ביומן הגולמי ממופה ישירות ל-UDM.
policy.rule_name security_result.description השדה policy.rule_name ביומן הגולמי ממופה ישירות ל-UDM.
policy.rule_uid security_result.rule_id השדה policy.rule_uid ביומן הגולמי ממופה ישירות ל-UDM. אם policy.uid קיים, הוא מקבל עדיפות.
policy.uid security_result.rule_id השדה policy.uid ביומן הגולמי ממופה ישירות ל-UDM.
product_name metadata.product_name השדה product_name ביומן הגולמי ממופה ישירות ל-UDM.
product_uid metadata.product_log_id השדה product_uid ביומן הגולמי ממופה ישירות ל-UDM.
product_ver metadata.product_version השדה product_ver ביומן הגולמי ממופה ישירות ל-UDM.
severity_id security_result.severity אם severity_id הוא 1, 2 או 3, הערך של security_result.severity מוגדר ל-INFORMATIONAL. אם הערך הוא 4, הוא מוגדר ל-ERROR. אם הערך הוא 5, הוא מוגדר ל-CRITICAL.
threat.id security_result.threat_id הערך threat.id ביומן הגולמי מומר למחרוזת וממופה ישירות ל-UDM.
threat.name security_result.threat_name השדה threat.name ביומן הגולמי ממופה ישירות ל-UDM.
type_id metadata.event_type, metadata.product_event_type השדה הזה משמש בשילוב עם שדות אחרים כדי לקבוע את הערכים המתאימים של metadata.event_type ו-metadata.product_event_type.
user_email principal.user.email_addresses השדה user_email מיומן הגולמי משולב ב-UDM.
user_name principal.user.user_display_name השדה user_name ביומן הגולמי ממופה ישירות ל-UDM.
uuid target.process.pid הערך uuid ביומן הגולמי מנותח כדי לחלץ את מזהה התהליך, שממופה ל-target.process.pid.
לא רלוונטי metadata.vendor_name מגדירים את הערך כ-SYMANTEC.
לא רלוונטי metadata.log_type מגדירים את הערך ל-SYMANTEC_EVENT_EXPORT.
לא רלוונטי principal.resource.resource_type הערך צריך להיות DEVICE אם connection.direction_id לא שווה ל-1 או אם הוא ריק.
לא רלוונטי target.resource.resource_type הערך צריך להיות DEVICE אם connection.direction_id הוא 1.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.