Barracuda Email Security Gateway-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Barracuda Email Security Gateway-Logs mit Bindplane erfassen. Der Parser extrahiert Felder aus den Logs mithilfe von Grok-Mustern und JSON-Parsing. Anschließend werden die extrahierten Felder dem Schema für einheitliche Datenmodelle (Unified Data Model, UDM) zugeordnet, die E-Mail-Aktivität wird kategorisiert (z. B. als Spam oder Phishing) und die ergriffene Sicherheitsmaßnahme wird bestimmt (z. B. zulassen, blockieren oder unter Quarantäne stellen).

Hinweise

  • Prüfen Sie, ob Sie eine Google Security Operations-Instanz haben.
  • Achten Sie darauf, dass Sie Windows 2016 oder höher oder einen Linux-Host mit systemd verwenden.
  • Wenn Sie einen Proxy verwenden, müssen die Firewallports geöffnet sein.
  • Sie benötigen privilegierten Zugriff auf Symantec DLP.

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > „Profil“ auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Fenstereinbau

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

  1. Greifen Sie auf die Konfigurationsdatei zu:

    1. Suchen Sie die Datei config.yaml. Normalerweise befindet es sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
    2. Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:54525"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: SYSLOG
            namespace: barracuda_email
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.

  4. Ersetzen Sie <customer_id> durch die tatsächliche Kunden-ID.

  5. Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Google SecOps-Aufnahmeauthentifizierungsdatei abrufen gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart bindplane-agent

  • Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

    net stop BindPlaneAgent && net start BindPlaneAgent

Barracuda Email Security Gateway konfigurieren

  1. Melden Sie sich in der Barracuda ESG-Oberfläche an.
  2. Wählen Sie Erweitert > Erweiterte Netzwerkeinstellungen > Syslog-Konfiguration aus.
  3. Geben Sie die folgenden Informationen ein:
    • Aktivieren Sie die Syslog-Protokollierung, indem Sie das Kästchen Syslog aktivieren anklicken.
    • Syslog-Server: Geben Sie die Bindplane-IP-Adresse ein.
    • Port: Geben Sie den Syslog-Port an. Der Standardwert ist 514. Achten Sie jedoch darauf, dass er mit der Konfiguration in Google Security Operations übereinstimmt.
    • Wählen Sie für Syslog Facility die Option Local0 aus.
    • Schweregrad: Wählen Sie Fehler und Warnung für E-Mail-Sicherheitslogs mit höherer Priorität aus.
  4. Klicken Sie auf Änderungen speichern, um die Konfiguration zu übernehmen.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
Die Konto-ID von Tinfoil Security Nicht zugeordnet
Anhänge Nicht zugeordnet
dst_domain target.hostname Wert des Felds „dst_domain“
dst_domain target.asset.hostname Wert des Felds „dst_domain“
env_from Nicht zugeordnet
geoip target.location.country_or_region Wert des geoip-Felds
hdr_from network.email.from Wert des Felds „hdr_from“, wenn es sich um eine E-Mail-Adresse handelt
hdr_to network.email.to Wert des Felds „hdr_to“, wenn es sich um eine E-Mail-Adresse handelt. Andernfalls wird es aus dem JSON-Array im Feld „hdr_to“ geparst.
Host principal.hostname Wert des Hostfelds
Host principal.asset.hostname Wert des Hostfelds
message_id network.email.mail_id Wert des Felds „message_id“
product_log_id metadata.product_log_id Wert des Felds „product_log_id“
queue_id security_result.detection_fields.value Wert des Felds „queue_id“
recipient_email network.email.to Wert des Felds „recipient_email“, wenn es nicht leer ist, oder -
Empfänger Nicht zugeordnet
recipients.action security_result.action Wird ALLOW zugeordnet, wenn der Wert allowed ist, andernfalls BLOCK
recipients.action security_result.action_details Wert des Felds „recipients.action“
recipients.delivery_detail security_result.detection_fields.value Wert des Felds „recipients.delivery_detail“
recipients.delivered security_result.detection_fields.value Wert des Felds „recipients.delivered“
recipients.email network.email.to Wert des Felds „recipients.email“, wenn es sich um eine E-Mail-Adresse handelt
recipients.reason security_result.detection_fields.value Wert des Felds „recipients.reason“
recipients.reason_extra security_result.detection_fields.value Wert des Felds „recipients.reason_extra“
recipients.taxonomy security_result.detection_fields.value Wert des Felds „recipients.taxonomy“
Dienst security_result.summary Wert des Servicefelds
Größe network.received_bytes Wert des Größenfelds, der in eine vorzeichenlose Ganzzahl konvertiert wurde
src_ip principal.ip Wert des Felds „src_ip“, wenn es nicht leer oder 0.0.0.0 ist
src_ip principal.asset.ip Wert des Felds „src_ip“, wenn es nicht leer oder 0.0.0.0 ist
src_ip security_result.about.ip Wert des Felds „src_ip“, wenn es nicht leer oder 0.0.0.0 ist
subject network.email.subject Wert des Betrefffelds
target_ip target.ip Wert des Felds „target_ip“
target_ip target.asset.ip Wert des Felds „target_ip“
timestamp metadata.event_timestamp Geprüfter Zeitstempel aus dem Logeintrag
metadata.event_type Fest codiert auf EMAIL_TRANSACTION
metadata.log_type Fest codiert auf BARRACUDA_EMAIL
metadata.vendor_name Fest codiert auf Barracuda
network.application_protocol Wird auf SMTP gesetzt, wenn das Prozessfeld smtp enthält.
network.direction Wird auf INBOUND gesetzt, wenn das Prozessfeld inbound enthält, und auf OUTBOUND, wenn das Prozessfeld outbound enthält.
security_result.action Wird anhand einer Kombination aus den Feldern „action“, „action_code“, „service“ und „delivered“ festgelegt.
security_result.category Wird auf Grundlage einer Kombination aus Aktion, Grund und anderen Feldern festgelegt.
security_result.confidence Fest codiert auf UNKNOWN_CONFIDENCE
security_result.priority Fest codiert auf UNKNOWN_PRIORITY
security_result.severity Bei der Kategorie UNKNOWN_CATEGORY ist der Wert fest auf UNKNOWN_SEVERITY codiert.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten