Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Trellix IPS-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Trellix IPS-Logs mit dem Bindplane-Agenten in Google Security Operations aufnehmen.

Trellix IPS (früher McAfee IPS/Network Security Platform) ist ein Intrusion Prevention System, das die Erkennung und Prävention von netzwerkbasierten Bedrohungen wie Exploits, Malware und Denial-of-Service-Angriffen in Echtzeit ermöglicht. Dabei werden signatur- und verhaltensbasierte Analysen verwendet, um den Netzwerkverkehr inline zu prüfen und schädliche Aktivitäten automatisch zu blockieren, während legitimer Traffic durchgelassen wird.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Ein Windows 2016- oder höher- oder Linux-Host mit systemd
Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
Privilegierter Zugriff auf die Trellix IPS Manager-Konsole (Network Security Manager)

Authentifizierungsdatei für die Google SecOps-Datenaufnahme abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Profile auf.
Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie in diesem Installationsleitfaden.

Bindplane-Agenten für die Aufnahme von Syslog-Daten und das Senden an Google SecOps konfigurieren

Konfigurationsdatei aufrufen:
- Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
- Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

Bearbeiten Sie die Datei config.yamlso:

receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID_HERE
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'MCAFEE_IPS'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
Ersetzen Sie YOUR_CUSTOMER_ID_HERE durch die tatsächliche Kundennummer.
Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Dateipfad, in dem die Authentifizierungsdatei in Schritt 1 gespeichert wurde.
Aktualisieren Sie den Wert endpoint, damit er der Region Ihres Mandanten entspricht.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:
```
sudo systemctl restart observiq-otel-collector
```
Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

Syslog-Weiterleitung für Trellix IPS konfigurieren

Melden Sie sich in der Konsole von Trellix Network Security Manager (früher McAfee Network Security Manager) an.
Rufen Sie Manager> Einrichtung > Benachrichtigung > Syslog auf.
Klicken Sie auf Aktivieren, um Syslog-Benachrichtigungen zu aktivieren.
Klicken Sie auf Hinzufügen, um einen neuen Syslog-Server hinzuzufügen.
Geben Sie die folgenden Konfigurationsdetails an:
- Syslog Server IP Address (IP-Adresse des Syslog-Servers): Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein (z. B. 192.168.1.100).
- Port: Geben Sie 514 (oder den in Bindplane konfigurierten Port) ein.
- Protokoll: Wählen Sie TCP aus.
- Einrichtung: Wählen Sie Local0 aus (oder je nach Umgebung).
Wählen Sie im Bereich Benachrichtigung die Schweregrade der Benachrichtigungen aus, die weitergeleitet werden sollen:
- Informationsbezogen
- Niedrig
- Mittel
- Hoch
- Kritisch
Wählen Sie im Bereich Nachrichtenformat das Syslog-Nachrichtenformat aus:
- Wählen Sie je nach Bedarf Standard-Syslog oder CEF (Common Event Format) aus.
Klicken Sie auf Save (Speichern), um die Syslog-Serverkonfiguration zu speichern.
Gehen Sie zu Manager> Einrichtung> Benachrichtigung> Warnungen weiterleiten.
Aktivieren Sie die Weiterleitung von Benachrichtigungen und wählen Sie den in den vorherigen Schritten konfigurierten Syslog-Server aus.
Wählen Sie die weiterzuleitenden Benachrichtigungstypen aus:
- IPS-Benachrichtigungen
- Fehlerbenachrichtigungen
- Audit-Benachrichtigungen
Klicken Sie auf Speichern, um die Konfiguration anzuwenden.

Hinweis :Weitere Informationen finden Sie in der Dokumentation zu Trellix Network Security Manager.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
`_intermediary`	`intermediary`	Zusammengeführt
`_event_type`	`metadata.event_type`	Direkt zugeordnet
`_network`	`network`	Umbenannt/zugeordnet
`_principal`	`principal`	Umbenannt/zugeordnet
`_security_result`	`security_result`	Zusammengeführt
`_target`	`target`	Umbenannt/zugeordnet
–	`intermediary`	Konstante: `_intermediary`
–	`metadata.product_name`	Konstante: `MCafee IPS`
–	`metadata.vendor_name`	Konstante: `MCafee`
–	`security_result`	Konstante: `_security_result`

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten