Mengumpulkan log Forcepoint CASB

Didukung di:

Dokumen ini menjelaskan cara menyerap log Forcepoint CASB (Cloud Access Security Broker) ke Google Security Operations menggunakan Bindplane. Parser mengekstrak kolom dari pesan syslog Forcepoint CASB yang diformat dengan CEF. Proses ini menggunakan Grok untuk mengurai pesan, KV untuk memisahkan pasangan nilai kunci, dan logika bersyarat untuk memetakan kolom yang diekstrak ke Model Data Terpadu (UDM), menangani berbagai jenis peristiwa dan spesifikasi platform.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

  • Instance Google SecOps
  • Host Windows 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Jika dijalankan di belakang proxy, port firewall terbuka
  • Akses istimewa ke Forcepoint CASB

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan.

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

  1. Akses file konfigurasi:
    • Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
    • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

  2. Edit file config.yaml sebagai berikut:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'FORCEPOINT_CASB'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
    • Ganti <customer_id> dengan ID pelanggan yang sebenarnya.
    • Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

  1. Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart bindplane-agent

  2. Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

    net stop BindPlaneAgent && net start BindPlaneAgent

Download alat SIEM Forcepoint

  1. Login ke portal pengelolaan Forcepoint CASB.
  2. Buka Setelan > Alat dan Agen > Alat SIEM.
  3. Klik Download untuk mendownload file zip bernama SIEM-Tool-\[operating system\]-\[release date\].zip (misalnya, SIEM-Tool-Windows-2021-10-19.zip). File zip berisi salah satu file berikut, bergantung pada versi yang Anda download:
    • SIEMClient.bat (jika Anda mendownload alat Windows)
    • SIEMClient.sh (jika Anda mendownload alat Linux)

Instal alat SIEM

Untuk koneksi yang aman dari alat SIEM ke layanan Forcepoint CASB, alat tersebut memerlukan file trust store yang dapat didownload dari portal pengelolaan Forcepoint CASB. Ikuti langkah-langkah berikut:

  1. Login ke portal pengelolaan Forcepoint CASB.
  2. Buka Setelan > Alat dan Agen > Alat SIEM.
  3. Klik Download Trust Store.
  4. Simpan file trust store yang didownload di lokasi yang dapat diakses alat SIEM setelah diinstal.
  5. Ekstrak arsip alat SIEM di host yang telah menginstal Java v1.8 atau yang lebih baru dan dapat mengakses server pengelolaan Forcepoint CASB organisasi.
  6. Buka command prompt, buka lokasi file SIEMClient, lalu jalankan perintah berikut:
    • Windows: SIEMClient.bat --set.credentials –-username <user> --password <password> --credentials.file <file>
    • Linux: SIEMClient.sh --set.credentials –-username <user> --password <password> --credentials.file <file>
  7. Berikan parameter konfigurasi berikut:
    • <user> dan <password>: Kredensial administrator Forcepoint CASB. Atau, jika Anda menghilangkan argumen --username dan --password, Anda akan diminta untuk memasukkannya secara interaktif.
    • <file>: Jalur dan nama file untuk penyimpanan kredensial.
  8. Jalankan alat SIEM dari command prompt: <tool> --credentials.file <file> --host <host> --port <port#> --output.dir <dir> [ truststorePath=<trust> ] [ exportSyslog=true syslogHost=<bindplaneAgentIP> syslogFacility=<facility> ] [ cefVersion=<cef.version> ] [ cefCompliance=<cef.flag> ] [ --proxy.host <proxy.host> ] [ --proxy.port <proxy.port> ]
  9. Berikan parameter konfigurasi berikut:
    • <tool>: Di Windows: SIEMClient.bat, Di Linux: SIEMClient.sh.
    • <file>: Jalur dan nama file penyimpanan kredensial.
    • <host> dan <port#>: Detail koneksi ke server pengelolaan Forcepoint CASB. Port biasanya 443.
    • <dir>: Direktori tempat alat SIEM menyimpan file aktivitas yang dihasilkan. Wajib diisi meskipun mengirim ke syslog.
    • <trust>: Jalur dan nama file trust store yang didownload sebelumnya.
    • <bindplaneAgentIP>: Alamat IP agen Bindplane.
    • <facility>: Masukkan local1.
    • <cef.version>: Setel versi CEF ke 2.
      • Jika cefVersion=1, alat ini menggunakan format CEF lama.
      • Jika cefVersion=2, alat ini menggunakan format CEF yang sebenarnya.
      • Jika cefVersion=3, alat ini menggunakan versi CEF yang lebih baru yang mendukung kolom aktivitas baru (Target, Pesan, dan Properti).
      • Jika parameter cefVersion disertakan dalam perintah, alat akan mengabaikan parameter cefCompliance.
      • Jika parameter cefVersion tidak ada dalam perintah, alat akan menggunakan parameter Kepatuhan cef.
    • <cef.flag>: Aktifkan format CEF true.
      • Jika cefCompliance=true, alat ini menggunakan format CEF yang sebenarnya.
      • Jika cefCompliance=false, alat ini menggunakan format CEF lama.
      • Jika parameter tidak ada dalam perintah, nilai defaultnya adalah salah (false) dan alat menggunakan format CEF lama.
    • <proxy.host> dan <proxy.port>: Detail koneksi ke server proxy jika terhubung ke server pengelolaan Forcepoint CASB melalui server proxy.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
act security_result.action Jika act berisi "ALLOW" (tidak peka huruf besar/kecil), tetapkan ke "ALLOW". Jika tidak, setel ke "BLOCK".
agt principal.ip Dipetakan secara langsung.
ahost principal.hostname Dipetakan secara langsung.
aid principal.resource.id Dipetakan secara langsung.
amac principal.mac Dipetakan langsung setelah mengganti "-" dengan ":" dan mengonversi ke huruf kecil.
at principal.resource.name Dipetakan secara langsung.
atz principal.location.country_or_region Dipetakan secara langsung.
av principal.resource.attribute.labels.key, principal.resource.attribute.labels.value av dipetakan ke key dan nilai av dipetakan ke value.
cs1 principal.user.email_addresses Dipetakan secara langsung.
deviceProcessName target.resource.name Dipetakan secara langsung.
deviceZoneURI target.url Dipetakan secara langsung.
dvc target.ip Dipetakan secara langsung.
dvchost target.hostname Dipetakan secara langsung.
event_name metadata.product_event_type, metadata.event_type Digunakan bersama dengan event_type untuk mengisi metadata.product_event_type. Juga digunakan untuk menentukan metadata.event_type: "Login" -> USER_LOGIN, "Logout" -> USER_LOGOUT, "access event" -> USER_UNCATEGORIZED, jika tidak (jika agt ada) -> STATUS_UPDATE.
event_type metadata.product_event_type Digunakan bersama dengan event_name untuk mengisi metadata.product_event_type.
msg metadata.description, security_result.summary Dipetakan langsung ke kedua kolom.
product metadata.vendor_name Dipetakan secara langsung.
request extensions.auth.auth_details, extensions.auth.type Dipetakan langsung ke extensions.auth.auth_details. extensions.auth.type ditetapkan ke "SSO".
requestClientApplication network.http.user_agent Dipetakan secara langsung.
shost src.hostname Dipetakan secara langsung.
smb_host intermediary.hostname Dipetakan secara langsung.
smb_uid intermediary.user.userid Dipetakan secara langsung.
sourceServiceName principal.platform_version, principal.platform Dipetakan langsung ke principal.platform_version. principal.platform diturunkan berdasarkan nilai sourceServiceName: "Window" -> WINDOWS, "Linux" -> LINUX, "mac" atau "iPhone" -> MAC.
sourceZoneURI src.url Dipetakan secara langsung.
spriv src.user.department Dipetakan secara langsung.
sproc src.resource.attribute.labels.key, src.resource.attribute.labels.value sproc dipetakan ke key dan nilai sproc dipetakan ke value.
src src.ip Dipetakan secara langsung.
suid principal.user.userid Dipetakan secara langsung.
timestamp metadata.event_timestamp Dipetakan secara langsung.
ts_event metadata.collected_timestamp Dipetakan secara langsung setelah mengurai dan mengonversi ke stempel waktu.
value metadata.product_name Digabungkan dengan "Forcepoint " untuk membentuk metadata.product_name. Tetapkan ke "FORCEPOINT_CASB".

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.