Trellix ePO-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Trellix (früher McAfee) ePolicy (ePO) Orchestrator-Logs mit Bindplane in Google Security Operations aufnehmen. Der Parser verwendet Grok-Muster und XML-Filterung, um Felder aus XML- und CSV-formatierten Logs zu extrahieren, normalisiert IP- und MAC-Adressen und ordnet die extrahierten Daten dem Unified Data Model (UDM) zu. Der Parser verarbeitet auch bestimmte Ereignistypen und Sicherheitsaktionen und legt basierend auf dem Protokollinhalt die entsprechenden UDM-Felder fest.

Hinweise

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Google SecOps-Instanz
  • Windows 2016 oder höher oder ein Linux-Host mit systemd
  • Wenn die Ausführung hinter einem Proxy erfolgt, sind die Firewallports geöffnet.
  • Privilegierter Zugriff auf McAfee EPO

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Fenstereinbau

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

  1. Rufen Sie die Konfigurationsdatei auf:
    • Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
    • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
    tcplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:6514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'MCAFEE_EPO'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - tcplog
            exporters:
                - chronicle/chronicle_w_labels
    • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
    • Ersetzen Sie <customer_id> durch die tatsächliche Kunden-ID.
    • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Google SecOps-Aufnahmeauthentifizierungsdatei abrufen gespeichert wurde.

BindPlane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart bindplane-agent

  • Um den Bindplane-Agent unter Windows neu zu starten, können Sie entweder die Konsole Services verwenden oder den folgenden Befehl eingeben:

    net stop BindPlaneAgent && net start BindPlaneAgent

(Trellix) McAfee ePO Syslog-Server konfigurieren

  1. Melden Sie sich in (Trellix) McAfee EPO an.
  2. Gehen Sie zu Menü > Konfiguration > Registrierte Server.
  3. Klicken Sie auf Neuer Server.
  4. Wählen Sie Syslog-Server aus, geben Sie einen eindeutigen Namen an und klicken Sie auf Weiter.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Servername: Geben Sie die IP-Adresse des Bindplane-Agents ein.
    • TCP-Portnummer: Geben Sie den TCP-Port des Bindplane-Agents ein (Standardwert ist 6514).
    • Event-Weiterleitung aktivieren: Wählen Sie diese Option aus, um die Event-Weiterleitung vom Agent-Handler an diesen Syslog-Server zu aktivieren.
    • Klicken Sie auf Verbindung testen, um die Verbindung zu BindPlane zu prüfen.
  6. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
AgentGUID principal.asset.id Die Agent-GUID wird direkt der Asset-ID im UDM zugeordnet.
Analyzer idm.read_only_udm.security_result.detection_fields.value Der Analyzer-Wert wird als Erkennungsfeld mit dem Schlüssel „DetectingProductID“ zugeordnet.
AnalyzerContentCreationDate idm.read_only_udm.additional.fields.value.string_value Das Erstellungsdatum von Analyzer-Inhalten wird zusätzlichen Feldern mit dem Schlüssel „Analyzer Content Creation Date“ zugeordnet.
AnalyzerContentVersion idm.read_only_udm.additional.fields.value.string_value Die Version des Analyzer-Inhalts wird zusätzlichen Feldern mit dem Schlüssel „Analyzer Content Version“ zugeordnet.
AnalyzerDATVersion idm.read_only_udm.security_result.detection_fields.value Die Analyzer-DAT-Version wird als Erkennungsfeld mit dem Schlüssel „datversion“ zugeordnet.
AnalyzerDetectionMethod idm.read_only_udm.security_result.detection_fields.value Die Methode zur Erkennung von Analysatoren wird als Erkennungsfeld mit dem Schlüssel „scantype“ zugeordnet.
AnalyzerEngineVersion idm.read_only_udm.security_result.detection_fields.value Die Version der Analysetool-Engine wird als Erkennungsfeld mit dem Schlüssel „DetectingAgentVersion“ zugeordnet.
AnalyzerHostName idm.read_only_udm.intermediary.hostname Der Analyzer-Hostname wird dem Zwischen-Hostname zugeordnet.
AnalyzerName idm.read_only_udm.security_result.detection_fields.value Der Name des Analysetools wird als Erkennungsfeld mit dem Schlüssel „productname“ zugeordnet.
AnalyzerRuleID idm.read_only_udm.additional.fields.value.string_value Die ID der Analyseregel wird zusätzlichen Feldern mit dem Schlüssel „Analyzer Rule Id“ zugeordnet.
AnalyzerRuleName idm.read_only_udm.security_result.rule_name Der Name der Analyzer-Regel wird direkt dem Namen der Sicherheitsergebnisregel zugeordnet.
AnalyzerVersion idm.read_only_udm.security_result.detection_fields.value Die Analyzer-Version wird als Erkennungsfeld mit dem Schlüssel „productversion“ zugeordnet.
BladeName idm.read_only_udm.additional.fields.value.string_value Der Klingenname wird zusätzlichen Feldern mit dem Schlüssel „BladeName“ zugeordnet.
DetectedUTC metadata.event_timestamp Die erkannte UTC-Zeit wird geparst und dem Ereigniszeitstempel in den Metadaten zugeordnet.
DurationBeforeDetection idm.read_only_udm.additional.fields.value.string_value Die Dauer vor der Erkennung wird zusätzlichen Feldern mit dem Schlüssel „DurationBeforeDetection“ zugeordnet.
EventID idm.read_only_udm.security_result.rule_id Die Ereignis-ID wird der Regel-ID des Sicherheitsergebnisses zugeordnet.
GMTTime metadata.event_timestamp Die GMT-Zeit wird geparst und dem Ereigniszeitstempel in den Metadaten zugeordnet.
IPAddress principal.ip Die IP-Adresse ist direkt der primären IP-Adresse zugeordnet.
MachineName principal.hostname Der Computername wird direkt dem Prinzipal-Hostname zugeordnet.
NaturalLangDescription idm.read_only_udm.additional.fields.value.string_value Die Beschreibung in natürlicher Sprache wird zusätzlichen Feldern mit dem Schlüssel „NaturalLangDescription“ zugeordnet.
OSName principal.platform Der Name des Betriebssystems wird normalisiert und der Hauptplattform (WINDOWS, MAC, LINUX oder UNKNOWN_PLATFORM) zugeordnet.
ProductName metadata.product_name Der Produktname wird direkt dem Produktnamen in den Metadaten zugeordnet.
ProductVersion metadata.product_version Die Produktversion wird direkt der Produktversion in den Metadaten zugeordnet.
RawMACAddress principal.mac Die Roh-MAC-Adresse wird geparst und der primären MAC-Adresse zugeordnet.
Severity idm.read_only_udm.security_result.severity Der Schweregrad wird dem Schweregrad des Sicherheitsergebnisses zugeordnet (HOCH, MITTEL oder NIEDRIG).
SourceIPV4 idm.read_only_udm.src.ip Die IPv4-Quelladresse wird der Quell-IP zugeordnet.
SourceProcessName principal.application Der Name des Quellprozesses wird direkt der Hauptanwendung zugeordnet.
SourceUserName principal.user.user_display_name Der Quellnutzername wird direkt dem Anzeigenamen des Hauptnutzers zugeordnet.
TargetFileName target.process.file.full_path Der Zieldateiname wird dem vollständigen Pfad der Zieldatei zugeordnet.
TargetHostName target.hostname Der Ziel-Hostname wird dem Ziel-Hostname zugeordnet.
TargetPort target.port Der Zielport wird dem Zielport zugeordnet.
TargetProtocol network.ip_protocol Das Zielprotokoll wird dem Netzwerk-IP-Protokoll zugeordnet.
TargetUserName target.user.user_display_name Der Nutzername des Empfängers wird dem Anzeigenamen des Empfängers zugeordnet.
ThreatActionTaken security_result.action_details Die ergriffene Bedrohungsmaßnahme wird den Details der Sicherheitsergebnisaktion zugeordnet.
ThreatCategory security_result.category_details Die Bedrohungskategorie wird den Details der Kategorie für Sicherheitsergebnisse zugeordnet.
ThreatEventID security_result.rule_id Die ID des Bedrohungsereignisses wird der ID der Sicherheitsergebnisregel zugeordnet.
ThreatHandled security_result.detection_fields.value Der Status „Bedrohung behoben“ wird als Erkennungsfeld mit dem Schlüssel „ThreatHandled“ zugeordnet.
ThreatName security_result.threat_name Der Bedrohungsname wird direkt dem Bedrohungsnamen des Sicherheitsergebnisses zugeordnet.
ThreatSeverity security_result.severity Der Schweregrad von Bedrohungen wird dem Schweregrad von Sicherheitsergebnissen zugeordnet (HOCH, MITTEL oder NIEDRIG).
ThreatType security_result.threat_id Der Bedrohungstyp wird der Bedrohungs-ID des Sicherheitsergebnisses zugeordnet.
UserName principal.user.user_display_name Der Nutzername wird dem Anzeigenamen des Hauptnutzers zugeordnet.
collection_time metadata.collected_timestamp Die Erfassungszeit wird dem Zeitstempel der Erfassung in den Metadaten zugeordnet.
log_type metadata.log_type Der Logtyp wird direkt dem Metadaten-Logtyp zugeordnet.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten