Recoger los registros de General Dynamics Fidelis XPS

En este documento se describe cómo puede recoger los registros de General Dynamics Fidelis XPS mediante un reenviador de Google Security Operations.

Para obtener más información, consulta el artículo Información general sobre la ingestión de datos en Google Security Operations.

Una etiqueta de ingestión identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de ingestión FIDELIS_NETWORK.

Configurar General Dynamics Fidelis XPS

1. Inicia sesión en CommandPost para gestionar tu dispositivo Fidelis XPS.
2. Selecciona Sistema > Exportar.
3. Haga clic en la pestaña Nuevo.
4. En la lista Método de exportación, selecciona ArcSight.
5. En el campo Destination (Destino), introduce la dirección IP del servidor de reenvío de Google Security Operations y el número de puerto, como 514.
6. En la sección Exportar alertas, marca la casilla Todas.
7. En la sección Frecuencia de exportación, marca la casilla Cada alerta.
8. En la sección Transporte, selecciona la casilla UDP o TCP.
9. En el campo Guardar como, introduce un nombre para la configuración de exportación.

10. En el cuadro Lista de columnas, mueva las entradas de la Lista de columnas para que aparezcan en el siguiente orden:

    • HORA

    • ACCIÓN

    • ALERTUUID

    • APPLICATION_USER

    • COMPONENT

    • COMPR

    • DSTADDR

    • DSTPORT

    • FILENAME

    • FROM

    • GROUP

    • NOMBRE DEL MALWARE

    • MALWARE TYPE

    • MD5

    • POLÍTICA

    • PROTO

    • REQUEST_METHOD

    • REQUEST_AGENT

    • REQUEST_URL

    • RULE

    • SENIP

    • GRAVEDAD

    • SRCADDR

    • SRCPORT

    • RESUMEN

    • TARGET

    • PARA

    • VIOLATION_INFO

    • VLAN_ID

    La versión 8.1 de Fidelis XPS introduce datos adicionales que puede configurar para exportar datos nuevos. Los nuevos campos son REQUEST_METHOD, REQUEST_AGENT, REQUEST_URL, VIOLATION_INFO y VLAN_ID.

    VIOLATION_INFO incluye todos los datos de la sección Información sobre la infracción de la página Detalles de la alerta. Estos datos incluyen datos coincidentes que generan alertas. También incluye cualquier información adicional que se incluya en los datos del feed cuando estos coincidan. El campo VIOLATION_INFO puede tener un tamaño grande. Debes habilitar TCP cuando utilices esta función en las exportaciones de syslog.

11. Selecciona Sistema > Malware > Detección de malware.

12. Seleccione las casillas Motor de detección de malware y Política de malware automática.

13. Haz clic en Guardar.

Configurar el reenviador de Google Security Operations para ingerir registros de Fidelis Network

1. Seleccione Configuración de SIEM > Reenviadores.
2. Haz clic en Añadir nuevo remitente.
3. Introduce un nombre único en el campo Nombre del reenviador.
4. Haz clic en Enviar y, a continuación, en Confirmar. Se añade el reenviador y se muestra la ventana Añadir configuración de recopilador.
5. En el campo Nombre del recolector, introduzca un nombre único para el recolector.
6. Seleccione Fidelis Network como Tipo de registro.
7. Seleccione Syslog como Tipo de recogida.
8. Configure los siguientes parámetros de entrada:
   • Protocol: especifica el protocolo de conexión que usa el recopilador para escuchar los datos de syslog.
   • Dirección: especifique la dirección IP o el nombre de host de destino en el que reside el recopilador y escucha los datos de syslog.
   • Puerto: especifique el puerto de destino en el que reside el recopilador y escucha los datos de syslog.
9. Haz clic en Enviar.

Para obtener más información sobre los reenviadores de Google Security Operations, consulta Gestionar configuraciones de reenviadores a través de la interfaz de usuario de Google Security Operations.

Si tienes problemas al crear reenviadores, ponte en contacto con el equipo de Asistencia de Google Security Operations.

Referencia de asignación de campos

Este analizador procesa los registros de Fidelis Network en los formatos SYSLOG, de pares clave-valor y JSON, y los transforma en UDM. Extrae campos, gestiona varias estructuras de registro y asigna campos a UDM.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.