איסוף יומנים של Trellix IPS

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני Trellix IPS ב-Google Security Operations באמצעות סוכן Bindplane.

‫Trellix IPS (לשעבר McAfee IPS/Network Security Platform) היא מערכת למניעת חדירות לרשת שמספקת זיהוי ומניעה בזמן אמת של איומים ברשת, כולל ניצול לרעה, תוכנות זדוניות ומתקפות מניעת שירות. הוא משתמש בניתוח התנהגותי ובניתוח שמבוסס על חתימות כדי לבדוק את תעבורת הרשת באופן מוטמע, וחוסם אוטומטית פעילות זדונית תוך שהוא מאפשר לתעבורה לגיטימית לעבור.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• מארח עם Windows 2016 ואילך או Linux עם systemd
• אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• גישת הרשאה למסוף Trellix IPS Manager (Network Security Manager)

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הגדרה של סוכן Bindplane להטמעה של Syslog ושליחה אל Google SecOps

1. גישה לקובץ ההגדרות:

   • מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /etc/bindplane-agent/ ב-Linux או בספריית ההתקנה ב-Windows.
   • פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או Notepad).

2. עורכים את הקובץ config.yaml באופן הבא:

   receivers:
     tcplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: YOUR_CUSTOMER_ID_HERE
       endpoint: malachiteingestion-pa.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'MCAFEE_IPS'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית.
   • מחליפים את YOUR_CUSTOMER_ID_HERE במזהה הלקוח בפועל.
   • מעדכנים את /path/to/ingestion-authentication-file.json לנתיב הקובץ שבו נשמר קובץ האימות בשלב 1.
   • מעדכנים את הערך של endpoint כך שיתאים לאזור של הדייר.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

1. כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. כדי להפעיל מחדש את סוכן Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

הגדרת העברת syslog ב-Trellix IPS

1. נכנסים למסוף של Trellix Network Security Manager (לשעבר McAfee Network Security Manager).
2. עוברים אל Manager > Setup > Notification > Syslog.
3. לוחצים על הפעלה כדי להפעיל את ההתראה של syslog.
4. לוחצים על הוספה כדי להוסיף שרת syslog חדש.
5. מספקים את פרטי ההגדרה הבאים:
   • כתובת ה-IP של שרת Syslog: מזינים את כתובת ה-IP של מארח סוכן Bindplane (לדוגמה, 192.168.1.100).
   • יציאה: מזינים 514 (או את היציאה שהוגדרה ב-Bindplane).
   • פרוטוקול: בוחרים באפשרות TCP.
   • מתקן: בוחרים באפשרות Local0 (או באפשרות אחרת שנדרשת בסביבה שלכם).
6. בקטע התראה, בוחרים את רמות החומרה של ההתראות שרוצים להעביר:
   • מידע
   • נמוכה
   • אמצעי הגעה לאתר
   • גבוהה
   • קריטי
7. בקטע Message Format, בוחרים את פורמט הודעת ה-syslog:
   • בהתאם לדרישות שלכם, בוחרים באפשרות Standard Syslog או CEF (Common Event Format).
8. לוחצים על שמירה כדי לשמור את ההגדרה של שרת syslog.
9. עוברים אל Manager > Setup > Notification > Forward Alerts (ניהול > הגדרה > התראות > העברת התראות).
10. מפעילים את העברת ההתראות ובוחרים את שרת ה-syslog שהוגדר בשלבים הקודמים.
11. בוחרים את סוגי ההתראות להעברה:
    • התראות IPS
    • התראות על תקלות
    • התראות על ביקורת

12. לוחצים על שמירה כדי להחיל את ההגדרה.

    הערה: מידע נוסף זמין במסמכי התיעוד של Trellix Network Security Manager.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
_intermediary	intermediary	ממוזג
_event_type	metadata.event_type	מיפוי ישיר
_network	network	שם שונה/מיפוי
_principal	principal	שם שונה/מיפוי
_security_result	security_result	ממוזג
_target	target	שם שונה/מיפוי
לא רלוונטי	intermediary	קבוע: _intermediary
לא רלוונטי	metadata.product_name	קבוע: MCafee IPS
לא רלוונטי	metadata.vendor_name	קבוע: MCafee
לא רלוונטי	security_result	קבוע: _security_result

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.