Raccogliere i log di General Dynamics Fidelis XPS

Questo documento descrive come raccogliere i log di General Dynamics Fidelis XPS utilizzando un forwarder Google Security Operations.

Per saperne di più, consulta la Panoramica sull'importazione dei dati in Google Security Operations.

Un'etichetta di importazione identifica il parser che normalizza i dati dei log non elaborati in formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione FIDELIS_NETWORK.

Configurare General Dynamics Fidelis XPS

1. Accedi a CommandPost per gestire l'appliance Fidelis XPS.
2. Seleziona Sistema > Esporta.
3. Fai clic sulla scheda Nuovo.
4. Nell'elenco Metodo di esportazione, seleziona ArcSight.
5. Nel campo Destinazione, inserisci l'indirizzo IP e il numero di porta del server di inoltro di Google Security Operations, ad esempio 514.
6. Nella sezione Esporta avvisi, seleziona la casella di controllo Tutti.
7. Nella sezione Frequenza di esportazione, seleziona la casella di controllo Ogni avviso.
8. Nella sezione Trasporto, seleziona la casella di controllo UDP o TCP.
9. Nel campo Salva come, inserisci un nome per la configurazione di esportazione.

10. Nella casella Elenco colonne, sposta le voci in modo che vengano visualizzate nel seguente ordine:

    • ORARIO

    • ACTION

    • ALERTUUID

    • APPLICATION_USER

    • COMPONENT

    • COMPR

    • DSTADDR

    • DSTPORT

    • FILENAME

    • FROM

    • GROUP

    • NOME DEL MALWARE

    • MALWARE TYPE

    • MD5

    • NORME

    • PROTO

    • REQUEST_METHOD

    • REQUEST_AGENT

    • REQUEST_URL

    • RULE

    • SENIP

    • GRAVITÀ

    • SRCADDR

    • SRCPORT

    • RIEPILOGO

    • TARGET

    • A

    • VIOLATION_INFO

    • VLAN_ID

    Fidelis XPS versione 8.1 introduce dati aggiuntivi che puoi configurare per esportare nuovi dati. I nuovi campi includono REQUEST_METHOD, REQUEST_AGENT, REQUEST_URL, VIOLATION_INFO e VLAN_ID.

    VIOLATION_INFO include tutti i dati della sezione Informazioni sulla violazione della pagina Dettagli avviso. Questi dati includono i dati corrispondenti che generano l'avviso. Include anche eventuali informazioni aggiuntive incluse nei dati del feed quando questi dati corrispondono. VIOLATION_INFO può avere dimensioni elevate. Quando utilizzi questa funzionalità nelle esportazioni syslog, devi abilitare TCP.

11. Seleziona Sistema > Malware > Rilevamento malware.

12. Seleziona le caselle di controllo Motore di rilevamento del malware e Norme automatiche relative al malware.

13. Fai clic su Salva.

Configura il forwarder Google Security Operations per l'importazione dei log di Fidelis Network

1. Seleziona Impostazioni SIEM > Forwarder.
2. Fai clic su Aggiungi nuovo inoltro.
3. Inserisci un nome univoco nel campo Nome inoltro.
4. Fai clic su Invia e poi su Conferma. Il forwarder viene aggiunto e viene visualizzata la finestra Aggiungi configurazione del raccoglitore.
5. Nel campo Nome del raccoglitore, inserisci un nome univoco per il raccoglitore.
6. Seleziona Fidelis Network come Tipo di log.
7. Seleziona Syslog come Tipo di raccoglitore.
8. Configura i seguenti parametri di input:
   • Protocollo: specifica il protocollo di connessione utilizzato dal raccoglitore per ascoltare i dati syslog.
   • Indirizzo: specifica l'indirizzo IP o il nome host di destinazione in cui si trova il raccoglitore e ascolta i dati syslog.
   • Porta: specifica la porta di destinazione in cui si trova il raccoglitore e ascolta i dati syslog.
9. Fai clic su Invia.

Per ulteriori informazioni sui forwarder di Google Security Operations, consulta Gestire le configurazioni dei forwarder tramite la UI di Google Security Operations.

Se riscontri problemi durante la creazione degli inoltri, contatta l'assistenza Google Security Operations.

Riferimento alla mappatura dei campi

Questo parser elabora i log di Fidelis Network nei formati SYSLOG, coppia chiave-valore e JSON, trasformandoli in UDM. Estrae i campi, gestisce varie strutture di log e li mappa ai campi UDM.

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.