Recopilar registros de Trellix ePO

Disponible en:

SecOps de Google SIEM

Nota: Esta función está cubierta por los Términos de las Ofertas Previas a la Disponibilidad General de los Términos Específicos del Servicio de Google Security Operations. Las funciones previas a la disponibilidad general pueden tener una asistencia limitada y los cambios que se produzcan en ellas podrían no ser compatibles con otras versiones previas a la disponibilidad general. Para obtener más información, consulta las directrices del servicio de asistencia técnica de Google SecOps y los Términos Específicos del Servicio de Google SecOps.

En este documento se explica cómo ingerir registros de Trellix (antes McAfee) ePolicy (ePO) Orchestrator en Google Security Operations mediante Bindplane. El analizador usa patrones grok y filtros XML para extraer campos de registros con formato XML y CSV, normaliza las direcciones IP y MAC, y asigna los datos extraídos al modelo de datos unificado (UDM). El analizador también gestiona tipos de eventos y acciones de seguridad específicos, y define los campos de UDM adecuados en función del contenido del registro.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Instancia de Google SecOps
• Windows 2016 o versiones posteriores, o un host Linux con systemd
• Si se ejecuta a través de un proxy, los puertos del cortafuegos están abiertos
• Acceso privilegiado a McAfee ePO

Obtener el archivo de autenticación de ingestión de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recogida.
3. Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux siguiendo las instrucciones que se indican a continuación.

Instalación de ventanas

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el siguiente comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalación de Linux

1. Abre un terminal con privilegios de superusuario o sudo.

2. Ejecuta el siguiente comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalación adicionales

Para ver más opciones de instalación, consulta la guía de instalación.

Configurar el agente de BindPlane para ingerir Syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración:
   • Busca el archivo config.yaml. Normalmente, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
   • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
       tcplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:6514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: 'MCAFEE_EPO'
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • Sustituye el puerto y la dirección IP según sea necesario en tu infraestructura.
   • Sustituye <customer_id> por el ID de cliente real.
   • Actualiza /path/to/ingestion-authentication-file.json a la ruta en la que se guardó el archivo de autenticación en la sección Obtener el archivo de autenticación de ingestión de Google SecOps.

Reinicia el agente de BindPlane para aplicar los cambios

• Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurar el servidor Syslog de McAfee ePO (Trellix)

1. Inicia sesión en (Trellix) McAfee EPO.
2. Ve a Menú > Configuración > Servidores registrados.
3. Haz clic en Nuevo servidor.
4. Selecciona Servidor Syslog, especifica un nombre único y haz clic en Siguiente.
5. Proporcione los siguientes detalles de configuración:
   • Nombre del servidor: introduce la dirección IP del agente de Bindplane.
   • Número de puerto TCP: introduce el puerto TCP del agente de Bindplane (el valor predeterminado es 6514).
   • Habilitar reenvío de eventos: selecciona esta opción para habilitar el reenvío de eventos desde Gestor de agentes a este servidor syslog.
   • Haz clic en Probar conexión para verificar la conexión con Bindplane.
6. Haz clic en Guardar.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
AgentGUID	principal.asset.id	El GUID del agente se asigna directamente al ID de recurso en el UDM.
Analyzer	idm.read_only_udm.security_result.detection_fields.value	El valor del analizador se asigna como un campo de detección con la clave "DetectingProductID".
AnalyzerContentCreationDate	idm.read_only_udm.additional.fields.value.string_value	La fecha de creación del contenido del analizador se asigna a campos adicionales con la clave "Analyzer Content Creation Date".
AnalyzerContentVersion	idm.read_only_udm.additional.fields.value.string_value	La versión del contenido del analizador se asigna a campos adicionales con la clave "Analyzer Content Version".
AnalyzerDATVersion	idm.read_only_udm.security_result.detection_fields.value	La versión de Analyzer DAT se asigna como un campo de detección con la clave "datversion".
AnalyzerDetectionMethod	idm.read_only_udm.security_result.detection_fields.value	El método de detección del analizador se asigna como un campo de detección con la clave "scantype".
AnalyzerEngineVersion	idm.read_only_udm.security_result.detection_fields.value	La versión del motor del analizador se asigna como un campo de detección con la clave "DetectingAgentVersion".
AnalyzerHostName	idm.read_only_udm.intermediary.hostname	El nombre de host del analizador se asigna al nombre de host intermediario.
AnalyzerName	idm.read_only_udm.security_result.detection_fields.value	El nombre del analizador se asigna como un campo de detección con la clave "productname".
AnalyzerRuleID	idm.read_only_udm.additional.fields.value.string_value	El ID de la regla del analizador se asigna a campos adicionales con la clave "Analyzer Rule Id".
AnalyzerRuleName	idm.read_only_udm.security_result.rule_name	El nombre de la regla del analizador se asigna directamente al nombre de la regla del resultado de seguridad.
AnalyzerVersion	idm.read_only_udm.security_result.detection_fields.value	La versión del analizador se asigna como un campo de detección con la clave "productversion".
BladeName	idm.read_only_udm.additional.fields.value.string_value	El nombre del blade se asigna a campos adicionales con la clave "BladeName".
DetectedUTC	metadata.event_timestamp	La hora UTC detectada se analiza y se asigna a la marca de tiempo del evento en los metadatos.
DurationBeforeDetection	idm.read_only_udm.additional.fields.value.string_value	La duración anterior a la detección se asigna a campos adicionales con la clave "DurationBeforeDetection".
EventID	idm.read_only_udm.security_result.rule_id	El ID de evento se asigna al ID de regla del resultado de seguridad.
GMTTime	metadata.event_timestamp	La hora GMT se analiza y se asigna a la marca de tiempo del evento en los metadatos.
IPAddress	principal.ip	La dirección IP se asigna directamente a la IP principal.
MachineName	principal.hostname	El nombre del equipo se asigna directamente al nombre de host principal.
NaturalLangDescription	idm.read_only_udm.additional.fields.value.string_value	La descripción en lenguaje natural se asigna a campos adicionales con la clave "NaturalLangDescription".
OSName	principal.platform	El nombre del SO se normaliza y se asigna a la plataforma principal (WINDOWS, MAC, LINUX o UNKNOWN_PLATFORM).
ProductName	metadata.product_name	El nombre del producto se asigna directamente al nombre del producto en los metadatos.
ProductVersion	metadata.product_version	La versión del producto se asigna directamente a la versión del producto en los metadatos.
RawMACAddress	principal.mac	La dirección MAC sin formato se analiza y se asigna a la dirección MAC principal.
Severity	idm.read_only_udm.security_result.severity	La gravedad se asigna a la gravedad del resultado de seguridad (ALTA, MEDIA o BAJA).
SourceIPV4	idm.read_only_udm.src.ip	La dirección IPv4 de origen se asigna a la IP de origen.
SourceProcessName	principal.application	El nombre del proceso de origen se asigna directamente a la aplicación principal.
SourceUserName	principal.user.user_display_name	El nombre de usuario de origen se asigna directamente al nombre visible del usuario principal.
TargetFileName	target.process.file.full_path	El nombre del archivo de destino se asigna a la ruta completa del archivo de destino.
TargetHostName	target.hostname	El nombre de host de destino se asigna al nombre de host de destino.
TargetPort	target.port	El puerto de destino se asigna al puerto de destino.
TargetProtocol	network.ip_protocol	El protocolo de destino se asigna al protocolo IP de red.
TargetUserName	target.user.user_display_name	El nombre de usuario de destino se asigna al nombre visible del usuario de destino.
ThreatActionTaken	security_result.action_details	La acción de amenaza tomada se asigna a los detalles de la acción del resultado de seguridad.
ThreatCategory	security_result.category_details	La categoría de amenaza se asigna a los detalles de la categoría de resultados de seguridad.
ThreatEventID	security_result.rule_id	El ID de evento de amenaza se asigna al ID de regla de resultado de seguridad.
ThreatHandled	security_result.detection_fields.value	El estado de la amenaza gestionada se asigna como un campo de detección con la clave "ThreatHandled".
ThreatName	security_result.threat_name	El nombre de la amenaza se asigna directamente al nombre de la amenaza del resultado de seguridad.
ThreatSeverity	security_result.severity	La gravedad de la amenaza se asigna a la gravedad del resultado de seguridad (ALTA, MEDIA o BAJA).
ThreatType	security_result.threat_id	El tipo de amenaza se asigna al ID de amenaza del resultado de seguridad.
UserName	principal.user.user_display_name	El nombre de usuario se asigna al nombre visible del usuario principal.
collection_time	metadata.collected_timestamp	La hora de recogida se asigna a la marca de tiempo de recogida en los metadatos.
log_type	metadata.log_type	El tipo de registro se asigna directamente al tipo de registro de metadatos.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.