Mengumpulkan log Trellix IPS

Didukung di:

Dokumen ini menjelaskan cara menyerap log Trellix IPS ke Google Security Operations menggunakan agen Bindplane.

Trellix IPS (sebelumnya McAfee IPS/Network Security Platform) adalah sistem pencegahan penyusupan jaringan yang menyediakan deteksi dan pencegahan ancaman berbasis jaringan secara real-time, termasuk eksploitasi, malware, dan serangan denial-of-service. Alat ini menggunakan analisis berbasis pola dan perilaku untuk memeriksa traffic jaringan secara inline, memblokir aktivitas berbahaya secara otomatis sekaligus memungkinkan traffic yang sah untuk lewat.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Host Windows 2016 atau yang lebih baru atau Linux dengan systemd
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
  • Akses istimewa ke konsol Trellix IPS Manager (Network Security Manager)

Mendapatkan File Autentikasi Penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan.
  4. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi Penginstalan Tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan ini.

Mengonfigurasi agen Bindplane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

  1. Mengakses File Konfigurasi:

    • Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
    • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

  2. Edit file config.yaml sebagai berikut:

    receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID_HERE
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'MCAFEE_IPS'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels
    • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
    • Ganti YOUR_CUSTOMER_ID_HERE dengan ID Pelanggan yang sebenarnya.
    • Perbarui /path/to/ingestion-authentication-file.json ke jalur file tempat file autentikasi disimpan di Langkah 1.
    • Perbarui nilai endpoint agar sesuai dengan wilayah tenant Anda.

Mulai ulang agen Bindplane untuk menerapkan perubahan

  1. Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart observiq-otel-collector

  2. Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

    net stop observiq-otel-collector && net start observiq-otel-collector

Mengonfigurasi penerusan syslog Trellix IPS

  1. Login ke konsol Trellix Network Security Manager (sebelumnya McAfee Network Security Manager).
  2. Buka Pengelola > Penyiapan > Notifikasi > Syslog.
  3. Klik Aktifkan untuk mengaktifkan notifikasi syslog.
  4. Klik Tambahkan untuk menambahkan server syslog baru.
  5. Berikan detail konfigurasi berikut:
    • Alamat IP Server Syslog: Masukkan alamat IP host agen Bindplane (misalnya, 192.168.1.100).
    • Port: Masukkan 514 (atau port yang dikonfigurasi di Bindplane).
    • Protocol: Pilih TCP.
    • Fasilitas: Pilih Local0 (atau sesuai kebutuhan lingkungan Anda).
  6. Di bagian Notification, pilih tingkat keseriusan pemberitahuan yang akan diteruskan:
    • Informasional
    • Rendah
    • Sedang
    • Tinggi
    • Kritis
  7. Di bagian Message Format, pilih format pesan syslog:
    • Pilih Syslog Standar atau CEF (Common Event Format) berdasarkan persyaratan Anda.
  8. Klik Simpan untuk menyimpan konfigurasi server syslog.
  9. Buka Pengelola > Penyiapan > Notifikasi > Teruskan Pemberitahuan.
  10. Aktifkan penerusan pemberitahuan dan pilih server syslog yang dikonfigurasi pada langkah sebelumnya.
  11. Pilih jenis pemberitahuan yang akan diteruskan:
    • Peringatan IPS
    • Pemberitahuan Kesalahan
    • Pemberitahuan Audit

  12. Klik Simpan untuk menerapkan konfigurasi.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
_intermediary intermediary Digabung
_event_type metadata.event_type Dipetakan secara langsung
_network network Diganti nama/dipetakan
_principal principal Diganti nama/dipetakan
_security_result security_result Digabung
_target target Diganti nama/dipetakan
T/A intermediary Konstanta: _intermediary
T/A metadata.product_name Konstanta: MCafee IPS
T/A metadata.vendor_name Konstanta: MCafee
T/A security_result Konstanta: _security_result

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.