General Dynamics Fidelis XPS-Logs erfassen

In diesem Dokument wird beschrieben, wie Sie die General Dynamics Fidelis XPS-Logs mit einem Google Security Operations-Forwarder erfassen können.

Weitere Informationen finden Sie unter Übersicht über die Datenaufnahme in Google Security Operations.

Ein Erfassungslabel identifiziert den Parser, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument beziehen sich auf den Parser mit dem Label FIDELIS_NETWORK.

General Dynamics Fidelis XPS konfigurieren

1. Melden Sie sich in CommandPost an, um Ihre Fidelis XPS-Appliance zu verwalten.
2. Wählen Sie System > Exportieren aus.
3. Klicken Sie auf den Tab Neu.
4. Wählen Sie in der Liste Exportmethode die Option ArcSight aus.
5. Geben Sie im Feld Ziel die IP-Adresse und Portnummer des Google Security Operations-Weiterleitungsservers ein, z. B. 514.
6. Wählen Sie im Bereich Benachrichtigungen exportieren das Kästchen Alle aus.
7. Wählen Sie im Bereich Exporthäufigkeit das Kästchen Jede Benachrichtigung aus.
8. Klicken Sie im Bereich Transport das Kästchen UDP oder TCP an.
9. Geben Sie im Feld Speichern unter einen Namen für die Exportkonfiguration ein.

10. Verschieben Sie im Feld Spaltenliste die Einträge in der Spaltenliste so, dass sie in der folgenden Reihenfolge angezeigt werden:

    • TIME

    • AKTION

    • ALERTUUID

    • APPLICATION_USER

    • KOMPONENTE

    • COMPR

    • DSTADDR

    • DSTPORT

    • FILENAME

    • FROM

    • GRUPPE

    • MALWARE NAME

    • MALWARE TYPE

    • MD5

    • RICHTLINIE

    • PROTO

    • REQUEST_METHOD

    • REQUEST_AGENT

    • REQUEST_URL

    • RULE

    • SENIP

    • SCHWERWIEGEND

    • SRCADDR

    • SRCPORT

    • SUMMARY

    • ZIEL

    • AN

    • VIOLATION_INFO

    • VLAN_ID

    In Fidelis XPS Version 8.1 werden zusätzliche Daten eingeführt, die Sie für den Export neuer Daten konfigurieren können. Die neuen Felder sind REQUEST_METHOD, REQUEST_AGENT, REQUEST_URL, VIOLATION_INFO und VLAN_ID.

    VIOLATION_INFO enthält alle Daten aus dem Bereich Informationen zu Verstößen auf der Seite Benachrichtigungsdetails. Diese Daten enthalten übereinstimmende Daten, die eine Benachrichtigung auslösen. Sie enthält auch alle zusätzlichen Informationen, die in Feeddaten enthalten sind, wenn diese Daten übereinstimmen. Die VIOLATION_INFO kann sehr groß sein. Sie müssen TCP aktivieren, wenn Sie diese Funktion in Syslog-Exporten verwenden.

11. Wählen Sie System > Malware > Malware-Erkennung aus.

12. Wählen Sie die Kästchen Malware-Erkennungsmodul und Automatische Malware-Richtlinie aus.

13. Klicken Sie auf Speichern.

Google Security Operations-Forwarder zum Erfassen von Fidelis Network-Logs konfigurieren

1. Wählen Sie SIEM Settings > Forwarders aus.
2. Klicken Sie auf Neuen Weiterleitungsdienst hinzufügen.
3. Geben Sie im Feld Name des Forwarders einen eindeutigen Namen ein.
4. Klicken Sie auf Senden und dann auf Bestätigen. Der Weiterleiter wird hinzugefügt und das Fenster Collector-Konfiguration hinzufügen wird angezeigt.
5. Geben Sie im Feld Name des Collectors einen eindeutigen Namen für den Collector ein.
6. Wählen Sie Fidelis Network als Logtyp aus.
7. Wählen Sie Syslog als Collector-Typ aus.
8. Konfigurieren Sie die folgenden Eingabeparameter:
   • Protokoll: Geben Sie das Verbindungsprotokoll an, das der Collector verwendet, um Syslog-Daten zu empfangen.
   • Adresse: Geben Sie die Ziel-IP-Adresse oder den Hostnamen an, unter dem sich der Collector befindet und auf Syslog-Daten wartet.
   • Port: Geben Sie den Zielport an, an dem sich der Collector befindet und an dem er auf Syslog-Daten wartet.
9. Klicken Sie auf Senden.

Weitere Informationen zu den Google Security Operations-Forwardern finden Sie unter Forwarder-Konfigurationen über die Google Security Operations-Benutzeroberfläche verwalten.

Wenn beim Erstellen von Weiterleitungen Probleme auftreten, wenden Sie sich an den Google Security Operations-Support.

Referenz zur Feldzuordnung

Dieser Parser verarbeitet Fidelis Network-Logs in den Formaten SYSLOG, Schlüssel/Wert-Paar und JSON und wandelt sie in UDM um. Es werden Felder extrahiert, verschiedene Logstrukturen verarbeitet und UDM-Feldern zugeordnet.

UDM-Zuordnungstabelle

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten