Trellix IPS-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Trellix (früher McAfee) IPS-Logs (Intrusion Prevention System) des Network Security Manager mit Bindplane in Google Security Operations aufnehmen. Der Parser extrahiert Sicherheitsereignisdaten aus McAfee IPS-Syslog-Nachrichten. Dabei werden eine Reihe von Grok-Mustern verwendet, um Felder wie Quell- und Ziel-IP, Port, Protokoll, Angriffsdetails und Schweregrad zu identifizieren und zuzuordnen. Die Informationen werden im Unified Data Model (UDM) von Google SecOps strukturiert.

Hinweise

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Google SecOps-Instanz
  • Windows 2016 oder höher oder ein Linux-Host mit systemd
  • Wenn die Ausführung hinter einem Proxy erfolgt, sind die Firewallports geöffnet.
  • Privilegierter Zugriff auf McAfee Network Security Platform Manager

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > „Profil“ auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Fenstereinbau

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

  1. Rufen Sie die Konfigurationsdatei auf:
    • Suchen Sie die Datei config.yaml. Normalerweise befindet es sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
    • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'MCAFEE_IPS'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
    • Ersetzen Sie <customer_id> durch die tatsächliche Kunden-ID.
    • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Google SecOps-Aufnahmeauthentifizierungsdatei abrufen gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart bindplane-agent

  • Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Services verwenden oder den folgenden Befehl eingeben:

    net stop BindPlaneAgent && net start BindPlaneAgent

Syslog für McAfee Network Security Platform Manager konfigurieren

  1. Melden Sie sich in der McAfee Network Security Platform Manager-Oberfläche an.
  2. Klicken Sie auf Konfigurieren > Ressourcenbaum > IPS-Einstellungen.
  3. Klicken Sie auf den Tab Benachrichtigungen> Syslog.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Wählen Sie Ja aus, um Syslog-Benachrichtigungen für die McAfee Network Security Platform zu aktivieren.
    • Administrator-Domain: Wählen Sie das Kästchen Aktuell aus, um Syslog-Benachrichtigungen für Warnungen in der aktuellen Domain zu senden.
    • Servername oder IP-Adresse: Geben Sie die IP-Adresse des Bindplane-Agents ein.
    • UDP-Port: Geben Sie den Port 514 ein.
    • Einrichtung: Wählen Sie den Syslog-Einrichtungswert local0 aus.
    • Schweregrad: Wählen Sie informational aus.
    • Benachrichtigung senden, wenn: Wählen Sie Alle Optionen aus, um immer Syslog-Daten zu erhalten.
    • IPS Quarantine Alert Notification (Benachrichtigung bei Quarantäne durch IPS): Wählen Sie No (Nein) aus.
  5. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
Pfeil Dieses Feld wird im Parser verwendet, aber nicht der endgültigen UDM zugeordnet.
Daten Dieses Feld wird im Parser verwendet, aber nicht der endgültigen UDM zugeordnet.
Einrichtung Dieses Feld wird im Parser verwendet, aber nicht der endgültigen UDM zugeordnet.
forwarderName Dieses Feld wird im Parser verwendet, aber nicht der endgültigen UDM zugeordnet.
Nachricht Dieses Feld wird im Parser verwendet, aber nicht der endgültigen UDM zugeordnet.
principal_ip read_only_udm.principal.ip Wird aus dem Feld message mit einem Grok-Muster extrahiert.
principal_port read_only_udm.principal.port Wird aus dem Feld message mit einem Grok-Muster extrahiert.
Protokoll Dieses Feld wird im Parser verwendet, aber nicht der endgültigen UDM zugeordnet.
Ergebnis Dieses Feld wird im Parser verwendet, aber nicht der endgültigen UDM zugeordnet.
scanHost read_only_udm.intermediary.hostname Wird aus dem Feld message mit einem Grok-Muster extrahiert.
die Ausprägung Dieses Feld wird im Parser verwendet, aber nicht der endgültigen UDM zugeordnet.
sysdate Dieses Feld wird im Parser verwendet, aber nicht der endgültigen UDM zugeordnet.
target_ip read_only_udm.target.ip Wird aus dem Feld message mit einem Grok-Muster extrahiert.
target_port read_only_udm.target.port Wird aus dem Feld message mit einem Grok-Muster extrahiert.
is_alert Wird auf true gesetzt, wenn das Feld forwarderName das Wort Alert enthält.
is_significant Wird auf true gesetzt, wenn das Feld severity Medium oder High ist.
read_only_udm.metadata.event_timestamp Aus dem Feld collection_time kopiert.
read_only_udm.metadata.event_type Standardmäßig auf NETWORK_CONNECTION festgelegt. Geändert in GENERIC_EVENT, wenn keine IP-Adressen für das Hauptkonto und das Ziel gefunden werden.
read_only_udm.metadata.log_type Legen Sie MCAFEE_IPS fest.
read_only_udm.metadata.product_name Legen Sie MCafee IPS fest.
read_only_udm.metadata.vendor_name Legen Sie MCafee fest.
read_only_udm.network.application_protocol Wird auf HTTP gesetzt, wenn das Feld protocol gleich HTTP ist. Wird auf HTTPS gesetzt, wenn das Feld protocol gleich SSL ist.
read_only_udm.network.direction Wird auf INBOUND gesetzt, wenn das extrahierte Feld conn_direction gleich Inbound ist. Wird auf OUTBOUND gesetzt, wenn das extrahierte Feld conn_direction gleich Outbound ist.
read_only_udm.network.ip_protocol Wird auf TCP gesetzt, wenn das Feld protocol gleich HTTP, SSL oder TCP ist. Wird auf ICMP gesetzt, wenn das Feld protocol gleich ICMP ist. Auf UDP setzen, wenn das Feld protocol SNMP ist und das Feld alert_message Empty UDP Attack DoS enthält.
read_only_udm.security_result.action Wird auf BLOCK gesetzt, wenn das Feld result gleich Attack Blocked, Attack Failed oder Attack SmartBlocked ist. Wird auf ALLOW gesetzt, wenn das Feld result gleich Attack Successful ist. Wird auf UNKNOWN_ACTION gesetzt, wenn das Feld result gleich Inconclusive ist. Wird auf QUARANTINE gesetzt, wenn das Feld alert_message mit dem regulären Ausdruck File Submitted .*? for Analysis übereinstimmt.
read_only_udm.security_result.category Kategorisiert basierend auf dem Feld alert_message. Wenn das Feld result n/a ist, wird es auf NETWORK_SUSPICIOUS gesetzt.
read_only_udm.security_result.description Das Feld alert_message, verkettet mit dem Wert der Variablen _result, die auf (result) festgelegt ist, wenn das Feld result nicht n/a ist.
read_only_udm.security_result.severity Zugeordnet aus dem Feld severity: Informational bis INFORMATIONAL, Low bis LOW, Medium bis MEDIUM, High bis HIGH.
read_only_udm.security_result.summary Der Wert der Variablen event_description, die basierend auf dem Feld message auf Detected {attack type} festgelegt wird.
timestamp Aus dem Feld collection_time kopiert.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten