Recolha registos do McAfee Web Gateway

Compatível com:

Google secops SIEM

Nota: esta funcionalidade está abrangida pelos Termos das Ofertas de Pré-DG dos Termos Específicos do serviço Google Security Operations. As funcionalidades de pré-DG podem ter suporte limitado e as alterações às funcionalidades de pré-DG podem não ser compatíveis com outras versões de pré-DG. Para mais informações, consulte as diretrizes do serviço de apoio técnico do Google SecOps e os Termos Específicos do Serviço Google SecOps.

Este documento explica como carregar os registos do McAfee Web Gateway para o Google Security Operations através de um agente do Bindplane. O analisador extrai campos dos registos nos formatos SYSLOG + KV (CEF), JSON e não processados. Usa filtros grok e CSV para analisar diferentes estruturas de registos e normaliza os nomes dos campos. Em seguida, mapeia os campos extraídos para o esquema do modelo de dados unificado (UDM), processando vários casos extremos e inconsistências de dados para criar um resultado unificado.

Antes de começar

Certifique-se de que tem os seguintes pré-requisitos:

• Instância do Google SecOps
• Windows 2016 ou posterior, ou anfitrião Linux com systemd
• Se estiver a ser executado através de um proxy, as portas da firewall estão abertas
• Acesso privilegiado ao McAfee Web Gateway

Obtenha o ficheiro de autenticação de carregamento do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Agentes de recolha.
3. Transfira o ficheiro de autenticação de carregamento. Guarde o ficheiro de forma segura no sistema onde o Bindplane vai ser instalado.

Obtenha o ID de cliente do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Perfil.
3. Copie e guarde o ID do cliente da secção Detalhes da organização.

Instale o agente do Bindplane

Instalação do Windows

1. Abra a Linha de comandos ou o PowerShell como administrador.

2. Execute o seguinte comando:

   msiexec /i `https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi` /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute o seguinte comando:

   sudo sh -c `$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)` install_unix.sh
   

Recursos de instalação adicionais

Para ver opções de instalação adicionais, consulte o guia de instalação.

Configure o agente Bindplane para carregar o Syslog e enviá-lo para o Google SecOps

1. Aceda ao ficheiro de configuração:
   • Localize o ficheiro config.yaml. Normalmente, encontra-se no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   • Abra o ficheiro com um editor de texto (por exemplo, nano, vi ou Bloco de notas).

2. Edite o ficheiro config.yaml da seguinte forma:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: `0.0.0.0:514`
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: MCAFEE_WEBPROXY
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.

4. Substitua <customer_id> pelo ID de cliente real.

5. Atualize /path/to/ingestion-authentication-file.json para o caminho onde o ficheiro de autenticação foi guardado na secção Obtenha o ficheiro de autenticação de carregamento do Google SecOps.

Reinicie o agente do Bindplane para aplicar as alterações

• Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar o agente do Bindplane no Windows, pode usar a consola Services ou introduzir o seguinte comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configure o Syslog no McAfee Web Gateway

1. Inicie sessão na IU Web do McAfee Web Gateway.
2. Aceda a Política > Conjuntos de regras.
3. Clique em Log Handler, expanda o conjunto de regras Default e selecione o conjunto de regras aninhado CEF Syslog.
4. Ative a regra Enviar para Syslog.
5. Clique em Guardar alterações.
6. Aceda a Configuração > Eletrodomésticos > Gestor de ficheiros de registo > Definições.
7. Selecione Escrever registo de auditoria no syslog.
8. Aceda a Configuração > Editor de ficheiros.
9. Selecione rsyslog.conf na árvore de ficheiros.
10. Edite o ficheiro da seguinte forma:
    • Localize a linha (ou semelhante): *.info;mail.none;authpriv.none;cron.none /var/log/messages.
    • Adicione um daemon nesta linha e insira um - (travessão) antes das informações do caminho: *.info;daemon.!=info;mail.none;authpriv.none;cron.none -/var/log/messages

11. Adicione uma nova linha na parte inferior do ficheiro para enviar as mensagens de informações para o endereço IP do agente do Bindplane.

    • Para o syslog através de UDP:

      daemon.info;auth.=info @<bindplane-server-ip>:<bindplane-port>
      

    • Para o syslog através de TCP:

      daemon.info;auth.=info @@<bindplane-server-ip>:<bindplane-port>
      

Tabela de mapeamento do UDM

Campo de registo	Mapeamento de UDM	Lógica
application_name	principal.application	Mapeado diretamente a partir do campo application_name no formato KV ou user_agent_product no formato JSON.
auth_user	principal.user.userid	Mapeado diretamente a partir do campo auth_user no formato KV.
block_reason	security_result.summary	Mapeado diretamente a partir do campo block_reason nos formatos JSON e CSV JSON, ou _block_reason no formato não processado, ou block_reason no formato KV.
block_res	security_result.action	Mapeado do campo block_res no formato KV. Se block_res for DENIED ou contiver Block, a ação é BLOCK. Se block_res for 0 ou contiver Allow, a ação é ALLOW. Os valores especiais, como 50, 51, 52, 53, 58, 59, 81, 80, 82, 83, 84, 110 e 111, são usados para determinar security_result.category.
bytes_from_client	network.sent_bytes	Mapeado diretamente a partir do campo bytes_from_client no formato KV, ou sr_bytes no formato não processado, ou client_to_server_bytes nos formatos JSON e CSV JSON.
bytes_to_client	network.received_bytes	Mapeado diretamente a partir do campo bytes_to_client no formato KV, ou rs_bytes no formato não processado, ou server_to_client_bytes nos formatos JSON e CSV JSON.
categories	security_result.category_details	Mapeado diretamente a partir do campo categories no formato KV, ou _category no formato não processado, ou category nos formatos JSON e CSV JSON.
client_ip	principal.ip, intermediary.ip	Mapeado diretamente a partir do campo client_ip no formato JSON.
clientIP	principal.ip	Mapeado diretamente a partir do campo clientIP no formato CEF.
csmethod	network.http.method	Mapeado diretamente a partir do campo csmethod no formato não processado.
day	metadata.event_timestamp	Parte da data/hora, extraída do campo time_stamp no formato KV.
destination_ip	target.ip	Mapeado diretamente a partir do campo destination_ip no formato JSON.
destination_port	target.port	Mapeado diretamente a partir do campo destination_port no formato JSON.
domain	target.hostname, target.url	Mapeado diretamente a partir do campo domain no formato não processado. Usado para construir o target.url se uri estiver presente.
header	intermediary.hostname	Extraído do início da mensagem de registo. Usado para extrair intermediary.hostname.
host	target.hostname	Mapeado diretamente a partir do campo host no formato KV.
hostname	principal.hostname	Mapeado diretamente a partir do campo hostname no formato JSON.
hour	metadata.event_timestamp	Parte da data/hora, extraída do campo time_stamp no formato KV.
http_action	network.http.method	Mapeado diretamente a partir do campo http_action no formato JSON.
http_status_code	network.http.response_code	Mapeado diretamente a partir do campo http_status_code nos formatos JSON e CSV JSON ou status_code nos formatos KV e não processados.
kv_entry.application_name	principal.application	Mapeado diretamente a partir do campo application_name na entrada KV.
kv_entry.auth_user	principal.user.userid	Mapeado diretamente a partir do campo auth_user na entrada KV.
kv_entry.block_reason	security_result.summary	Mapeado diretamente a partir do campo block_reason na entrada KV.
kv_entry.block_res	security_result.action, security_result.category	Mapeado do campo block_res na entrada de KV. A lógica para determinar a ação e a categoria é a mesma que para o campo block_res de nível superior.
kv_entry.bytes_from_client	network.sent_bytes	Mapeado diretamente a partir do campo bytes_from_client na entrada KV.
kv_entry.bytes_to_client	network.received_bytes	Mapeado diretamente a partir do campo bytes_to_client na entrada KV.
kv_entry.categories	security_result.category_details	Mapeado diretamente a partir do campo categories na entrada KV.
kv_entry.host	target.hostname	Mapeado diretamente a partir do campo host na entrada KV.
kv_entry.method	network.http.method	Mapeado diretamente a partir do campo method na entrada KV.
kv_entry.rep_level	security_result.severity_details	Mapeado diretamente a partir do campo rep_level na entrada KV.
kv_entry.server_ip	target.ip	Mapeado diretamente a partir do campo server_ip na entrada KV.
kv_entry.status_code	network.http.response_code	Mapeado diretamente a partir do campo status_code na entrada KV.
kv_entry.time_stamp	metadata.event_timestamp	Mapeado diretamente a partir do campo time_stamp na entrada KV.
kv_entry.url	target.url	Mapeado diretamente a partir do campo url na entrada KV.
kv_entry.url_port	target.port	Mapeado diretamente a partir do campo url_port na entrada KV.
kv_entry.user_agent	network.http.parsed_user_agent	Mapeado diretamente a partir do campo user_agent na entrada de KV e, em seguida, analisado num objeto estruturado.
last_rule	security_result.rule_name	Mapeado diretamente a partir do campo last_rule no formato JSON.
loc	principal.location.country_or_region	Mapeado diretamente a partir do campo loc extraído de tgt_ip_or_location.
location	principal.location.country_or_region	Mapeado diretamente a partir do campo location no formato JSON.
log.file.path	principal.process.file.full_path	Mapeado diretamente a partir do campo log.file.path no formato JSON.
message	Vários	A mensagem de registo não processada. Analisado de forma diferente consoante o respetivo formato (raw, JSON, KV, CEF).
method	network.http.method	Mapeado diretamente a partir do campo method nos formatos KV e não processados, ou http_action no formato JSON, ou derivado de dados CEF. Se o valor for um dos seguintes: GET, POST, HEAD, OPTIONS, PUT ou CONNECT, o valor de metadata.event_type é definido como NETWORK_HTTP. Se o valor for - ou CERTVERIFY, o metadata.event_type é definido como NETWORK_CONNECTION.
mins	metadata.event_timestamp	Parte da data/hora, extraída do campo time_stamp no formato KV.
month	metadata.event_timestamp	Parte da data/hora, extraída do campo time_stamp no formato KV ou do campo rt no formato CEF.
monthday	metadata.event_timestamp	Parte da data/hora, extraída do início da mensagem de registo.
protocol	network.application_protocol	Mapeado diretamente a partir do campo protocol no formato não processado ou uri_scheme no formato JSON, ou derivado do campo url no formato KV.
query	target.url	Mapeado diretamente a partir do campo query no formato não processado. Anexado ao campo url.
rep_level	security_result.severity_details	Mapeado diretamente a partir do campo rep_level no formato KV, ou reputation no formato JSON, ou _risk no formato não processado. Usado para determinar security_result.severity.
request	target.url	Mapeado diretamente a partir do campo request no formato CEF.
requestClientApplication	network.http.user_agent	Mapeado diretamente a partir do campo requestClientApplication no formato CEF.
requestContext	network.http.referral_url	Mapeado diretamente a partir do campo requestContext no formato CEF.
requestMethod	network.http.method	Mapeado diretamente a partir do campo requestMethod no formato CEF.
requested_host	target.url	Mapeado diretamente a partir do campo requested_host no formato JSON. Usado para construir o target.url se requested_path também estiver presente.
requested_path	target.url	Mapeado diretamente a partir do campo requested_path no formato JSON. Anexado a requested_host para formar o target.url.
request_timestamp	metadata.event_timestamp	Mapeado diretamente a partir do campo request_timestamp no formato JSON.
result	security_result.action, security_result.category	Mapeado diretamente a partir do campo result nos formatos JSON e CSV JSON ou block_res no formato KV. Usado para determinar security_result.action e security_result.category.
rt	metadata.event_timestamp	Mapeado diretamente a partir do campo rt no formato CEF.
secs	metadata.event_timestamp	Parte da data/hora, extraída do campo time_stamp no formato KV.
server_ip	target.ip	Mapeado diretamente a partir do campo server_ip no formato KV.
source_ip	principal.ip	Mapeado diretamente a partir do campo source_ip nos formatos JSON, JSON CSV, raw e KV, ou src no formato CEF, ou src_ip no formato raw.
src	principal.ip	Mapeado diretamente a partir do campo src no formato CEF.
status_code	network.http.response_code	Mapeado diretamente a partir do campo status_code no formato não processado.
summary	security_result.summary	Mapeado diretamente a partir do campo summary no formato CSV ou block_reason no formato JSON.
system	principal.platform	Mapeado diretamente a partir do campo system no formato JSON. Convertido em maiúsculas.
target_ip	target.ip	Mapeado diretamente a partir do campo target_ip no formato não processado ou dst no formato CEF.
tgtport	target.port	Mapeado diretamente a partir do campo tgtport no formato não processado.
time	metadata.event_timestamp	Parte da data/hora, extraída do início da mensagem de registo, do campo rt no formato CEF ou do campo time_stamp no formato KV.
timestamp	metadata.event_timestamp	Mapeado diretamente a partir do campo @timestamp no formato JSON.
timezone	metadata.event_timestamp	Parte da data/hora, extraída do campo time_stamp no formato KV.
uri	target.url	Mapeado diretamente a partir do campo uri no formato não processado. Usado para construir o target.url.
uri_scheme	network.application_protocol	Mapeado diretamente a partir do campo uri_scheme no formato JSON. Convertido em maiúsculas.
url	target.url	Mapeado diretamente a partir do campo url nos formatos não processado, KV e JSON, ou construído a partir de domain, uri e query no formato não processado, ou requested_host e requested_path no formato JSON, ou request no formato CEF.
url_port	target.port	Mapeado diretamente a partir do campo url_port no formato KV.
user	principal.user.userid	Mapeado diretamente a partir do campo user no formato JSON, ou username no formato JSON, ou auth_user no formato KV, ou suser no formato não processado.
user_agent	network.http.parsed_user_agent	Mapeado diretamente a partir do campo user_agent nos formatos raw e KV, ou user_agent_comment no formato JSON, ou requestClientApplication no formato CEF, ou construído a partir de agent.type e agent.version no formato JSON. Analisado num objeto estruturado.
user_agent_comment	network.http.parsed_user_agent	Mapeado diretamente a partir do campo user_agent_comment no formato JSON.
user_agent_product	principal.application	Mapeado diretamente a partir do campo user_agent_product no formato JSON.
username	principal.user.userid	Mapeado diretamente a partir do campo username no formato JSON.
year	metadata.event_timestamp	Parte da data/hora, extraída do campo time_stamp no formato KV ou do campo rt no formato CEF.
N/A	metadata.event_type	Determinado pelo analisador com base no campo method. Pode ser NETWORK_HTTP, NETWORK_CONNECTION, GENERIC_EVENT ou STATUS_UPDATE.
N/A	metadata.log_type	Codificado para MCAFEE_WEBPROXY.
N/A	metadata.product_name	Codificado para MCAFEE_WEBPROXY.
N/A	metadata.vendor_name	Codificado para MCAFEE.
N/A	network.direction	Codificado para OUTBOUND.
N/A	security_result.action	Determinado pelo analisador com base nos campos block_reason ou result. Pode ser ALLOW ou BLOCK.
N/A	security_result.category	Determinado pelo analisador com base no campo result. Pode ser NETWORK_CATEGORIZED_CONTENT, NETWORK_DENIAL_OF_SERVICE, MAIL_SPAM, AUTH_VIOLATION, SOFTWARE_MALICIOUS, NETWORK_SUSPICIOUS ou NETWORK_MALICIOUS.
N/A	security_result.severity	Determinado pelo analisador com base no campo risk. Pode ser LOW, MEDIUM ou HIGH.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.