Recoger registros de Trellix IPS

Disponible en:

En este documento se explica cómo ingerir registros de Trellix (antes McAfee) IPS (Intrusion Prevention System) Network Security Manager en Google Security Operations mediante Bindplane. El analizador extrae datos de eventos de seguridad de los mensajes syslog de McAfee IPS. Usa una serie de patrones grok para identificar y asignar campos como la IP de origen y destino, el puerto, el protocolo, los detalles del ataque y la gravedad, y estructura la información en el modelo de datos unificado (UDM) de Google SecOps.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host Linux con systemd
  • Si se ejecuta a través de un proxy, los puertos del cortafuegos están abiertos
  • Acceso privilegiado a McAfee Network Security Platform Manager

Obtener el archivo de autenticación de ingestión de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recogida.
  3. Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux siguiendo las instrucciones que se indican a continuación.

Instalación de ventanas

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación de Linux

  1. Abre un terminal con privilegios de superusuario o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para ver más opciones de instalación, consulta la guía de instalación.

Configurar el agente de BindPlane para ingerir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Busca el archivo config.yaml. Normalmente, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'MCAFEE_IPS'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurar Syslog de McAfee Network Security Platform Manager

  1. Inicia sesión en la interfaz de McAfee Network Security Platform Manager.
  2. Haz clic en Configurar > Árbol de recursos > Configuración de IPS.
  3. Haz clic en la pestaña Notificación de alerta > Syslog.
  4. Proporcione los siguientes detalles de configuración:
    • Selecciona Sí para habilitar las notificaciones de syslog en McAfee Network Security Platform.
    • Dominio de administrador: marca la casilla Actual para enviar notificaciones de syslog de las alertas del dominio actual.
    • Nombre de servidor o dirección IP: introduce la dirección IP del agente de Bindplane.
    • Puerto UDP: introduce el puerto 514.
    • Instalación: selecciona el valor de instalación de syslog local0.
    • Gravedad: selecciona Informativa.
    • Enviar notificación si: selecciona todas las opciones para recibir siempre syslog.
    • Notificación de alerta de cuarentena de IPS: selecciona No.
  5. Haz clic en Guardar.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
flecha Este campo se usa en el analizador, pero no se asigna al UDM final.
datos Este campo se usa en el analizador, pero no se asigna al UDM final.
centro Este campo se usa en el analizador, pero no se asigna al UDM final.
forwarderName Este campo se usa en el analizador, pero no se asigna al UDM final.
mensaje Este campo se usa en el analizador, pero no se asigna al UDM final.
principal_ip read_only_udm.principal.ip Se extrae del campo message mediante un patrón grok.
principal_port read_only_udm.principal.port Se extrae del campo message mediante un patrón grok.
protocolo Este campo se usa en el analizador, pero no se asigna al UDM final.
result Este campo se usa en el analizador, pero no se asigna al UDM final.
scanHost read_only_udm.intermediary.hostname Se extrae del campo message mediante un patrón grok.
gravedad Este campo se usa en el analizador, pero no se asigna al UDM final.
sysdate Este campo se usa en el analizador, pero no se asigna al UDM final.
target_ip read_only_udm.target.ip Se extrae del campo message mediante un patrón grok.
target_port read_only_udm.target.port Se extrae del campo message mediante un patrón grok.
is_alert Se asigna el valor true si el campo forwarderName contiene la palabra Alert.
is_significant Asigna el valor true si el campo severity es Medium o High.
read_only_udm.metadata.event_timestamp Copiado del campo collection_time.
read_only_udm.metadata.event_type El valor predeterminado es NETWORK_CONNECTION. Se cambia a GENERIC_EVENT si no se encuentran direcciones IP para la entidad principal y el objetivo.
read_only_udm.metadata.log_type Su valor debe ser MCAFEE_IPS.
read_only_udm.metadata.product_name Su valor debe ser MCafee IPS.
read_only_udm.metadata.vendor_name Su valor debe ser MCafee.
read_only_udm.network.application_protocol Se asigna el valor HTTP si el campo protocol es HTTP. Se asigna el valor HTTPS si el campo protocol es SSL.
read_only_udm.network.direction Se asigna el valor INBOUND si el campo conn_direction extraído es Inbound. Se asigna el valor OUTBOUND si el campo conn_direction extraído es Outbound.
read_only_udm.network.ip_protocol Asigna el valor TCP si el campo protocol es HTTP, SSL o TCP. Se asigna el valor ICMP si el campo protocol es ICMP. Se establece en UDP si el campo protocol es SNMP y el campo alert_message contiene Empty UDP Attack DoS.
read_only_udm.security_result.action Asigna el valor BLOCK si el campo result es Attack Blocked, Attack Failed o Attack SmartBlocked. Se asigna el valor ALLOW si el campo result es Attack Successful. Se asigna el valor UNKNOWN_ACTION si el campo result es Inconclusive. Se define como QUARANTINE si el campo alert_message coincide con la expresión regular File Submitted .*? for Analysis.
read_only_udm.security_result.category Categorizado en función del campo alert_message. Si el campo result es n/a, se le asigna el valor NETWORK_SUSPICIOUS.
read_only_udm.security_result.description El campo alert_message concatenado con el valor de la variable _result, que se define como (result) si el campo result no es n/a.
read_only_udm.security_result.severity Asignado desde el campo severity: Informational a INFORMATIONAL, Low a LOW, Medium a MEDIUM y High a HIGH.
read_only_udm.security_result.summary El valor de la variable event_description, que se define como Detected {attack type} en función del campo message.
timestamp Copiado del campo collection_time.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.