‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של Trend Micro Email Security

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומנים של Trend Micro Email Security ב-Google Security Operations באמצעות Bindplane. ‫Trend Micro Email Security הוא שער אימייל מבוסס-ענן שמגן על ארגונים מפני ספאם, תוכנות זדוניות, פישינג, תוכנות כופר והתקפות ממוקדות מתקדמות לפני שהם מגיעים לתיבות הדואר של המשתמשים. הוא מספק סינון של כתובות URL, הרצה בארגז חול של קבצים מצורפים ומניעת אובדן נתונים לתנועת אימיילים נכנסת ויוצאת.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

מכונה של Google SecOps.
מארח Windows 2016 ואילך או Linux עם systemd.
אם מריצים את הסוכן מאחורי שרת proxy, צריך לוודא שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
גישה עם הרשאות למסוף הניהול של Trend Micro Email Security.

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

נכנסים אל Google Cloud המסוף ובוחרים את Google Cloud הפרויקט שמקושר למופע של Google SecOps.
נכנסים לדף IAM & Admin > Service Accounts.
לוחצים על Create service account.
מספקים את פרטי ההגדרה הבאים:
- שם חשבון השירות: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
- Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
לוחצים על Create and continue.
בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
לוחצים על המשך ואז על סיום.
לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
לוחצים על Add key > Create new key.
בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את כלי הייצוא.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

נכנסים למסוף Google SecOps.
עוברים אל הגדרות SIEM > סוכני איסוף.
מורידים את קובץ האימות להטמעת נתונים.
שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings (הגדרות SIEM) > Profile (פרופיל).
מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

ניגשים לקובץ התצורה:
- מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /opt/observiq-otel-collector/ ב-Linux או בספריית ההתקנה ב-Windows.
- פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או Notepad).

עורכים את הקובץ config.yaml באופן הבא:

receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'TRENDMICRO_EMAIL_SECURITY'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית שלכם.
מחליפים את <LOCATION> באזור של מכונת Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com.
מחליפים את <PROJECT_NUMBER> במספר הפרויקט מתוך IAM & Admin > Settings.
מחליפים את YOUR_CUSTOMER_ID במספר הלקוח בפועל.
מעדכנים את /path/to/ingestion-authentication-file.json לנתיב הקובץ שבו נשמר קובץ המפתח של חשבון השירות (אפשרות 1) בשלב 1.

כלי לייצוא נתונים מ-Legacy ingestion API

אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב לקובץ האימות של ההעברה, ואם המופע שלכם נמצא מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'TRENDMICRO_EMAIL_SECURITY'
    raw_log_field: body
    ingestion_labels:

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:
```
sudo systemctl restart observiq-otel-collector
```
כדי להפעיל מחדש את סוכן Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

הגדרת העברה של syslog ב-Trend Micro Email Security

כדי להגדיר את Trend Micro Email Security להעברת יומנים לסוכן Bindplane באמצעות syslog, בצעו את הפעולות הבאות:

נכנסים למסוף הניהול של Trend Micro Email Security.
עוברים אל ניהול > הגדרות Syslog.
כדי ליצור פרופיל חדש של שרת syslog, לוחצים על הוספה.
ממלאים את פרטי ההגדרה הבאים:
- כתובת השרת: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
- יציאה: מזינים 514 (או את היציאה שהוגדרה בסוכן Bindplane).
- Protocol: בוחרים באפשרות TCP.
- פורמט: בוחרים באפשרות CEF (פורמט אירועים נפוץ).
בקטע סוגי יומנים, בוחרים את קטגוריות היומנים להעברה:
- אירועים שקשורים למדיניות – פעולות שקשורות למדיניות סינון אימיילים.
- זיהוי ספאם – אירועים של ספאם ודואר אפור.
- זיהוי תוכנות זדוניות – אירועים של זיהוי וירוסים ותוכנות זדוניות.
- Ransomware Detection – אירועים של זיהוי תוכנות כופר.
- ניתוח כתובות URL – אירועים של קליקים על כתובות URL ושל הגנה על זמן הקליק.
- הגנה מתקדמת מפני איומים – אירועי ניתוח בארגז חול.
- מניעת אובדן נתונים – אירועים של הפרת מדיניות DLP.
- סינון תוכן – אירועים של כללי סינון תוכן.
לוחצים על Save.
לוחצים על Test Connection כדי לוודא שהיומנים נשלחים לסוכן Bindplane.
כדי לוודא שהיומנים מגיעים, בודקים את היומנים של סוכן Bindplane.

מידע נוסף זמין במאמרי העזרה של Trend Micro Email Security.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
`additional_cn1`	`additional.fields`	ממוזג
`additional_cs1`	`additional.fields`	ממוזג
`additional_cs2`	`additional.fields`	ממוזג
`additional_cs3`	`additional.fields`	ממוזג
`additional_cs4`	`additional.fields`	ממוזג
`additional_cs5`	`additional.fields`	ממוזג
`additional_cs6`	`additional.fields`	ממוזג
`message`	`extensions.auth.type`	מופה: `login` ← `AUTHTYPE_UNSPECIFIED`
`msg`	`metadata.description`	מיפוי ישיר
`rt`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `ISO8601`
`cs1`	`metadata.event_type`	מיפוי: `phishing` → `SCAN_UNCATEGORIZED`
`message`	`metadata.event_type`	מופו: `CEF:0` ← `GENERIC_EVENT`, `login` ← `USER_LOGIN`
`cs1`	`metadata.product_event_type`	מיפוי ישיר
`network_direction`	`network.direction`	מיפוי: `INCOMING` ← `INBOUND`, ‏ `OUTGOING` ← `OUTBOUND`
`cs2`	`principal.hostname`	מיפוי ישיר
`principal_ip`	`principal.hostname`	מיפוי ישיר
`principal_ip`	`principal.ip`	ממוזג
`message`	`principal.user.userid`	מופה: `login` ← `target.user.userid`
`suser`	`principal.user.userid`	מיפוי ישיר
`act`	`security_result.action`	מיפוי: `ALLOW` ← `act`, ‏ `DENY` ← `security_result_action`, ‏ `QUARANTINE` ← `act`
`security_result_action`	`security_result.action`	ממוזג
`act`	`security_result.action_details`	מיפוי ישיר
`cs5`	`security_result.rule_name`	מיפוי ישיר
`severity`	`security_result.severity`	מיפוי: `"0", "1", "2", "3", "LOW"` → `LOW`, ‏ `‎"4", "5", "6", "MEDIUM", "SUBSTANTIAL", "INFO"...‎
`cs6`	`target.url`	מיפוי ישיר
`duser`	`target.user.email_addresses`	מיפוי: `;` → `emailId`
`emailId`	`target.user.email_addresses`	ממוזג
`duser`	`target.user.userid`	מיפוי ישיר
`principal.user.userid`	`target.user.userid`	שינוי שם/מיפוי
לא רלוונטי	`extensions.auth.type`	קבוע: `AUTHTYPE_UNSPECIFIED`
לא רלוונטי	`metadata.event_type`	קבוע: `GENERIC_EVENT`
לא רלוונטי	`network.direction`	קבוע: `INBOUND`
לא רלוונטי	`principal.user.userid`	קבוע: `target.user.userid`
לא רלוונטי	`security_result.severity`	קבוע: `LOW`

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.