Recopila registros de Forcepoint CASB

En este documento, se explica cómo transferir registros de Forcepoint CASB (Cloud Access Security Broker) a Google Security Operations con Bindplane. El analizador extrae campos de los mensajes syslog de Forcepoint CASB con formato CEF. Utiliza Grok para analizar el mensaje, KV para separar los pares clave-valor y la lógica condicional para asignar los campos extraídos al Modelo de datos unificado (UDM), y controla varios tipos de eventos y detalles específicos de la plataforma.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Instancia de Google SecOps
• Un host de Windows 2016 o posterior, o un host de Linux con systemd
• Si se ejecuta detrás de un proxy, los puertos de firewall están abiertos.
• Acceso con privilegios a Forcepoint CASB

Obtén el archivo de autenticación de transferencia de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a SIEM Settings > Collection Agents.
3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a SIEM Settings > Profile.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el siguiente comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalación en Linux

1. Abre una terminal con privilegios de raíz o sudo.

2. Ejecuta el siguiente comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta la guía de instalación.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración:
   • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
   • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'FORCEPOINT_CASB'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.
   • Reemplaza <customer_id> por el ID de cliente real.
   • Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso en la que se guardó el archivo de autenticación en la sección Obtén el archivo de autenticación de la transferencia de Google SecOps.

Reinicia el agente de Bindplane para aplicar los cambios

1. Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

   sudo systemctl restart bindplane-agent
   

2. Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

   net stop BindPlaneAgent && net start BindPlaneAgent
   

Descarga la herramienta de SIEM de Forcepoint

1. Accede al portal de administración de Forcepoint CASB.
2. Ve a Configuración > Herramientas y agentes > Herramienta de SIEM.
3. Haz clic en Descargar para descargar un archivo ZIP llamado SIEM-Tool-\[operating system\]-\[release date\].zip (por ejemplo, SIEM-Tool-Windows-2021-10-19.zip). El archivo ZIP contiene uno de los siguientes archivos, según la versión que descargues:
   • SIEMClient.bat (si descargaste la herramienta de Windows)
   • SIEMClient.sh (si descargaste la herramienta de Linux)

Instala la herramienta de SIEM

Para la conexión segura de la herramienta SIEM al servicio de CASB de Forcepoint, la herramienta requiere el archivo de almacén de confianza que se puede descargar desde el portal de administración de CASB de Forcepoint. Lleva a cabo los pasos siguientes:

1. Accede al portal de administración de Forcepoint CASB.
2. Ve a Configuración > Herramientas y agentes > Herramienta de SIEM.
3. Haz clic en Descargar Trust Store.
4. Guarda el archivo del almacén de confianza descargado en una ubicación a la que la herramienta SIEM pueda acceder después de instalarse.
5. Extrae el archivo de la herramienta SIEM en un host que tenga instalado Java v1.8 o una versión posterior y que pueda acceder al servidor de administración de Forcepoint CASB de la organización.
6. Abre un símbolo del sistema, ve a la ubicación de los archivos SIEMClient y ejecuta el siguiente comando:
   • Windows: SIEMClient.bat --set.credentials –-username <user> --password <password> --credentials.file <file>
   • Linux: SIEMClient.sh --set.credentials –-username <user> --password <password> --credentials.file <file>
7. Proporciona los siguientes parámetros de configuración:
   • <user> y <password>: Credenciales de administrador de CASB de Forcepoint. De manera opcional, si omites los argumentos --username y --password, se te pedirá que los proporciones de forma interactiva.
   • <file>: Ruta de acceso y nombre de archivo del almacén de credenciales.
8. Ejecuta la herramienta de SIEM desde el símbolo del sistema: <tool> --credentials.file <file> --host <host> --port <port#> --output.dir <dir> [ truststorePath=<trust> ] [ exportSyslog=true syslogHost=<bindplaneAgentIP> syslogFacility=<facility> ] [ cefVersion=<cef.version> ] [ cefCompliance=<cef.flag> ] [ --proxy.host <proxy.host> ] [ --proxy.port <proxy.port> ]
9. Proporciona los siguientes parámetros de configuración:
   • <tool>: En Windows: SIEMClient.bat, en Linux: SIEMClient.sh.
   • <file>: Ruta de acceso y nombre de archivo del almacén de credenciales.
   • <host> y <port#>: Detalles de conexión al servidor de administración de Forcepoint CASB. Por lo general, el puerto es 443.
   • <dir>: Es el directorio en el que la herramienta de SIEM guarda los archivos de actividad generados. Se requiere incluso si se envía a syslog.
   • <trust>: Ruta de acceso y nombre de archivo del archivo de almacenamiento de confianza descargado anteriormente.
   • <bindplaneAgentIP>: Es la dirección IP del agente de Bindplane.
   • <facility>: Ingresa local1.
   • <cef.version>: Establece la versión de CEF en 2.
     • Si cefVersion=1, la herramienta usa el formato CEF heredado.
     • Si cefVersion=2, la herramienta usa el formato CEF verdadero.
     • Si cefVersion=3, la herramienta usa una versión más reciente de CEF que admite las nuevas columnas de actividades (Objetivo, Mensaje y Propiedades).
     • Si el parámetro cefVersion se incluye en el comando, la herramienta ignora el parámetro cefCompliance.
     • Si se omite el parámetro cefVersion en el comando, la herramienta usa el parámetro cefCompliance.
   • <cef.flag>: Habilita el formato CEF verdadero.
     • Si cefCompliance=true, la herramienta usa el formato CEF verdadero.
     • Si cefCompliance=false, la herramienta usa el formato CEF heredado.
     • Si se omite el parámetro en el comando, el valor predeterminado es falso y la herramienta usa el formato CEF heredado.
   • <proxy.host> y <proxy.port>: Detalles de conexión al servidor proxy si te conectas al servidor de administración de Forcepoint CASB a través de un servidor proxy.

Tabla de asignación de UDM

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.