Recopila los registros de General Dynamics Fidelis XPS

En este documento, se describe cómo puedes recopilar los registros de General Dynamics Fidelis XPS con un reenvíador de Google Security Operations.

Para obtener más información, consulta la descripción general de la transferencia de datos a Google Security Operations.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia FIDELIS_NETWORK.

Configura General Dynamics Fidelis XPS

1. Accede a CommandPost para administrar tu dispositivo Fidelis XPS.
2. Selecciona Sistema > Exportar.
3. Haz clic en la pestaña Nuevo.
4. En la lista Método de exportación, selecciona ArcSight.
5. En el campo Destino, ingresa la dirección IP y el número de puerto del servidor de reenvío de Google Security Operations, como 514.
6. En la sección Export alerts, selecciona la casilla de verificación All.
7. En la sección Frecuencia de exportación, selecciona la casilla de verificación Cada alerta.
8. En la sección Transporte, selecciona la casilla de verificación UDP o TCP.
9. En el campo Guardar como, ingresa un nombre para la configuración de exportación.

10. En el cuadro Lista de columnas, mueve las entradas de la Lista de columnas para que aparezcan en el siguiente orden:

    • TIME

    • ACTION

    • ALERTUUID

    • APPLICATION_USER

    • COMPONENTE

    • COMPR

    • DSTADDR

    • DSTPORT

    • FILENAME

    • FROM

    • GROUP

    • NOMBRE DEL SOFTWARE MALICIOSO

    • TIPO DE SOFTWARE MALICIOSO

    • MD5

    • POLÍTICA

    • PROTO

    • REQUEST_METHOD

    • REQUEST_AGENT

    • REQUEST_URL

    • RULE

    • SENIP

    • GRAVEDAD

    • SRCADDR

    • SRCPORT

    • RESUMEN

    • TARGET

    • PARA

    • VIOLATION_INFO

    • VLAN_ID

    La versión 8.1 de Fidelis XPS presenta datos adicionales que puedes configurar para exportar datos nuevos. Los nuevos campos incluyen REQUEST_METHOD, REQUEST_AGENT, REQUEST_URL, VIOLATION_INFO y VLAN_ID.

    VIOLATION_INFO incluye todos los datos de la sección Violation information de la página Alert detail. Estos datos incluyen los datos de coincidencia que generan la alerta. También incluye cualquier información adicional que se incluya en los datos del feed cuando coinciden esos datos. El objeto VIOLATION_INFO puede ser grande. Debes habilitar TCP cuando uses esta función en las exportaciones de syslog.

11. Selecciona Sistema > Software malicioso > Detección de software malicioso.

12. Selecciona las casillas de verificación Motor de detección de software malicioso y Política automática sobre software malicioso.

13. Haz clic en Guardar.

Configura el reenvío de Google Security Operations para transferir los registros de Fidelis Network

1. Selecciona SIEM Settings > Forwarders.
2. Haz clic en Agregar un nuevo reenvío.
3. Ingresa un nombre único en el campo Nombre del reenvío.
4. Haz clic en Enviar y, luego, en Confirmar. Se agregará el reenvío y aparecerá la ventana Add collector configuration.
5. En el campo Nombre del recopilador, ingresa un nombre único para el recopilador.
6. Selecciona Fidelis Network como el Tipo de registro.
7. Selecciona Syslog como el Tipo de recopilador.
8. Configura los siguientes parámetros de entrada:
   • Protocolo: Especifica el protocolo de conexión que usa el recopilador para escuchar los datos de syslog.
   • Dirección: Especifica la dirección IP o el nombre de host de destino en el que reside el recopilador y escucha los datos de syslog.
   • Puerto: Especifica el puerto de destino en el que reside el recopilador y escucha los datos de syslog.
9. Haz clic en Enviar.

Para obtener más información sobre los reenvíadores de Google Security Operations, consulta Administra la configuración de los reenvíadores a través de la IU de Google Security Operations.

Si tienes problemas para crear reenvíos, comunícate con el equipo de asistencia de Operaciones de seguridad de Google.

Referencia de la asignación de campos

Este analizador procesa los registros de Fidelis Network en formatos SYSLOG, par clave-valor y JSON, y los transforma en UDM. Extrae campos, controla varias estructuras de registros y asigna campos al UDM.

Tabla de asignación de UDM

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.