收集 Blue Coat ProxySG 記錄

本文說明如何使用 Bindplane，將 Blue Coat ProxySG 記錄擷取至 Google Security Operations。剖析器會處理 Blue Coat 網頁 Proxy 記錄，支援 SYSLOG+JSON 和 SYSLOG+KV 格式。這項功能會使用一系列條件檢查和 grok 模式來識別記錄格式、擷取相關欄位，並將這些欄位對應至整合式資料模型 (UDM)，處理各種記錄結構和極端情況。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• Windows 2016 以上版本，或搭載 systemd 的 Linux 主機
• 如果透過 Proxy 執行，防火牆通訊埠已開啟
• Blue Coat ProxySG 的特殊存取權

取得 Google SecOps 擷取驗證檔案

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「設定檔」。
3. 複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

Windows 安裝

1. 以系統管理員身分開啟「命令提示字元」或「PowerShell」。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安裝

1. 開啟具有根層級或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安裝資源

如需其他安裝選項，請參閱安裝指南。

設定 Bindlane 代理程式，擷取 Syslog 並傳送至 Google SecOps

1. 存取設定檔：
   • 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄，或 Windows 的安裝目錄。
   • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

2. 按照下列方式編輯 config.yaml 檔案：

   receivers:
       tcplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:5145"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: 'BLUECOAT_WEBPROXY'
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 視基礎架構需求，替換通訊埠和 IP 位址。

4. 將 <customer_id> 替換為實際的客戶 ID。

5. 將 /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」一節中驗證檔案的儲存路徑。

重新啟動 Bindplane 代理程式，以套用變更

• 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

  sudo systemctl restart bindplane-agent
  

• 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，或輸入下列指令：

  net stop BindPlaneAgent && net start BindPlaneAgent
  

在 Blue Coat ProxySG 中設定 Syslog

1. 登入 Blue Coat ProxySG 管理控制台。
2. 依序前往「維護」>「事件記錄」>「系統記錄」。
3. 按一下 [New]。
4. 提供下列設定詳細資料：
   • Loghost：輸入 Bindplane 代理程式 IP 位址。
   • 按一下 [確定]。
5. 勾選「Enable Syslog」(啟用 Syslog) 核取方塊。
6. 選取「等級」。
7. 勾選「詳細」核取方塊。
8. 按一下 [套用]。

在 Blue Coat ProxySG 中設定自訂用戶端

1. 依序前往「Configuration」>「Access Logging」>「Logs」>「Upload Client」。
2. 在「記錄」清單中選取「串流」。
3. 從「用戶端類型」清單中選取「自訂用戶端」。
4. 按一下「設定」。
5. 從「設定」清單中選取要設定的主要或備用自訂伺服器。
6. 提供下列設定詳細資料：
   • 主機：輸入上傳目的地的名稱或 IP 位址。
   • 通訊埠：設為 514。
   • 使用安全連線 (SSL)：設為「關閉」。
   • 按一下 [確定]。
   • 按一下「套用」，返回「上傳用戶端」分頁。
7. 如要使用主要、即時訊息和串流記錄格式，請完成下列步驟：
   • 選取「記錄」。
   • 將「上傳用戶端」指派為「自訂」用戶端。
   • 選取 <No Encryption> 和 <No Signing>。
   • 將記錄檔儲存為文字檔。
   • 依序點選「上傳時間表」>「上傳類型」。
   • 選取「持續」，即可串流上傳存取記錄。
   • 按一下 [確定]。
8. 按一下 [套用]。

UDM 對應表

衍生欄位 (來自剖析器邏輯)：

• metadata.event_type：根據複雜的條件組合判斷，包括 network.application_protocol、network.http.method、principal.*、target.* 和 dst_user 等欄位。
• metadata.vendor_name：靜態值：Blue Coat Systems。
• metadata.product_name：靜態值：ProxySG。
• metadata.log_type：靜態值：BLUECOAT_WEBPROXY。
• principal.asset.platform_software.platform：如果 x-client-os 包含 Windows，請設為 WINDOWS。
• network.application_protocol：根據 _uri_scheme 或 target.port，使用對照表判斷。預設值為 UNKNOWN_APPLICATION_PROTOCOL。
• network.ip_protocol：根據 _uri_scheme 透過對照表判斷。預設值為 UNKNOWN_IP_PROTOCOL。
• security_result.action：根據 _policy_action 判斷 (OBSERVED -> ALLOW、DENIED -> BLOCK)。
• security_result.about.labels：包含從各種欄位 (例如 rs_server、communication_type 和 SSL 記錄格式的狀態) 衍生而來的標籤。
• security_result.detection_fields：包含從 x_virus_id、x_rs_certificate_observed_errors、x_rs_connection_negotiated_cipher_strength 等欄位衍生的各種鍵值組。
• vulns.vulnerabilities：如果存在，則從 proxy_reverse_info 欄位填入，包含 cve_id 和 about.labels 等安全漏洞資訊。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。