Recolha os registos do General Dynamics Fidelis XPS

Este documento descreve como pode recolher os registos do General Dynamics Fidelis XPS através de um encaminhador do Google Security Operations.

Para mais informações, consulte o artigo Vista geral da ingestão de dados no Google Security Operations.

Uma etiqueta de carregamento identifica o analisador que normaliza os dados de registo não processados para o formato UDM estruturado. As informações neste documento aplicam-se ao analisador com a etiqueta de carregamento FIDELIS_NETWORK.

Configure o General Dynamics Fidelis XPS

1. Inicie sessão no CommandPost para gerir o seu dispositivo Fidelis XPS.
2. Selecione Sistema > Exportar.
3. Clique no separador Novo.
4. Na lista Método de exportação, selecione ArcSight.
5. No campo Destino, introduza o endereço IP do servidor encaminhador do Google Security Operations e o número da porta, como 514.
6. Na secção Exportar alertas, selecione a caixa de verificação Todos.
7. Na secção Frequência de exportação, selecione a caixa de verificação Todos os alertas.
8. Na secção Transporte, selecione a caixa de verificação UDP ou TCP.
9. No campo Guardar como, introduza um nome para a configuração de exportação.

10. Na caixa Lista de colunas, mova as entradas na Lista de colunas para que apareçam pela seguinte ordem:

    • HORA

    • ACTION

    • ALERTUUID

    • APPLICATION_USER

    • COMPONENTE

    • COMPR

    • DSTADDR

    • DSTPORT

    • FILENAME

    • DE

    • GROUP

    • MALWARE NAME

    • MALWARE TYPE

    • MD5

    • POLÍTICA

    • PROTO

    • REQUEST_METHOD

    • REQUEST_AGENT

    • REQUEST_URL

    • REGRA

    • SENIP

    • SEVERITY

    • SRCADDR

    • SRCPORT

    • RESUMO

    • TARGET

    • PARA

    • VIOLATION_INFO

    • VLAN_ID

    A versão 8.1 do Fidelis XPS introduz dados adicionais que pode configurar para exportar novos dados. Os novos campos incluem REQUEST_METHOD, REQUEST_AGENT, REQUEST_URL, VIOLATION_INFO e VLAN_ID.

    VIOLATION_INFO inclui todos os dados da secção Informações sobre a violação da página Detalhes do alerta. Estes dados incluem dados correspondentes que geram um alerta. Também inclui quaisquer informações adicionais incluídas nos dados do feed quando esses dados correspondem. O VIOLATION_INFO pode ter um tamanho grande. Tem de ativar o TCP quando usar esta funcionalidade em exportações de syslog.

11. Selecione Sistema > Software malicioso > Deteção de software malicioso.

12. Selecione as caixas de verificação Motor de deteção de software malicioso e Política de software malicioso automática.

13. Clique em Guardar.

Configure o encaminhador do Google Security Operations para carregar registos da rede Fidelis

1. Selecione Definições do SIEM > Encaminhadores.
2. Clique em Adicionar novo encaminhador.
3. Introduza um nome exclusivo no campo Nome do encaminhador.
4. Clique em Enviar e, de seguida, em Confirmar. O encaminhador é adicionado e é apresentada a janela Adicionar configuração do coletor.
5. No campo Nome do coletor, introduza um nome exclusivo para o coletor.
6. Selecione Fidelis Network como o Tipo de registo.
7. Selecione Syslog como o tipo de coletor.
8. Configure os seguintes parâmetros de entrada:
   • Protocolo: especifique o protocolo de ligação que o coletor usa para ouvir os dados do syslog.
   • Endereço: especifique o endereço IP ou o nome de anfitrião de destino onde o coletor reside e escuta os dados syslog.
   • Porta: especifique a porta de destino onde o coletor reside e ouve os dados do syslog.
9. Clique em Enviar.

Para mais informações acerca dos encaminhadores do Google Security Operations, consulte o artigo Faça a gestão das configurações de encaminhadores através da IU do Google Security Operations.

Se tiver problemas ao criar encaminhadores, contacte o apoio técnico das Operações de segurança da Google.

Referência de mapeamento de campos

Este analisador processa registos da rede Fidelis nos formatos SYSLOG, par de chave-valor e JSON, transformando-os em UDM. Extrai campos, processa várias estruturas de registos e mapeia para campos UDM.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.