Raccogliere i log di Fortra Digital Guardian DLP

Supportato in:

Questo documento spiega come raccogliere i log DLP di Fortra Digital Guardian in Google Security Operations utilizzando un agente Bindplane. Il codice del parser trasforma i log non elaborati in formato JSON in un modello unificato dei dati (UDM). Innanzitutto, estrae i campi dal JSON non elaborato, esegue la pulizia e la normalizzazione dei dati, quindi mappa i campi estratti ai relativi attributi UDM, arricchendo i dati con tipi di eventi specifici in base all'attività identificata.

Prima di iniziare

  • Assicurati di avere un'istanza Google Security Operations.
  • Assicurati di utilizzare Windows 2016 o versioni successive oppure un host Linux con systemd.
  • Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte.
  • Assicurati di avere accesso con privilegi a Fortra Digital Guardian DLP.

Recuperare il file di autenticazione importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi di root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

  1. Accedi al file di configurazione:

    1. Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
    2. Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: DIGITALGUARDIAN_DLP
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.

  4. Sostituisci <customer_id> con l'ID cliente effettivo.

  5. Aggiorna /path/to/ingestion-authentication-file.json al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart bindplane-agent

  • Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurare l'esportazione Syslog di Fortra Digital Guardian

  1. Accedi alla console di gestione di Digital Guardian.
  2. Vai a Workspace > Esportazione dei dati > Crea esportazione.
  3. Seleziona Avvisi o Eventi come origine dati dall'elenco Origini dati.
  4. Seleziona Syslog come tipo di esportazione.

  5. Nell'elenco Tipo, seleziona UDP (puoi anche selezionare TCP come protocollo di trasporto, a seconda della configurazione di Bindplane).

  6. Nel campo Server, inserisci l'indirizzo IP dell'agente Bindplane.

  7. Nel campo Porta, inserisci 514 (puoi fornire un'altra porta, a seconda della configurazione dell'agente Bindplane).

  8. Seleziona un livello di gravità dall'elenco Livello di gravità.

  9. Seleziona la casella di controllo È attivo.

  10. Fai clic su Avanti.

  11. Dall'elenco dei campi disponibili, aggiungi tutti i campi Avviso ed Evento per l'esportazione dei dati.

  12. Seleziona Criteri per i campi nell'esportazione dei dati.

  13. Fai clic su Avanti.

  14. Seleziona un gruppo per i criteri.

  15. Fai clic su Avanti.

  16. Fai clic su Testa query.

  17. Fai clic su Avanti.

  18. Fai clic su Salva.

Tabella di mappatura UDM

Campo log Mappatura UDM Logic
Versione agente observer.platform_version Mappato direttamente dal campo del log non elaborato Agent Version.
Applicazione principal.process.command_line Mappato direttamente dal campo del log non elaborato Application se non è vuoto.
Riga di comando target.process.command_line Mappato direttamente dal campo del log non elaborato Command Line.
Nome azienda principal.user.company_name Mappato direttamente dal campo del log non elaborato Company Name.
Nome computer principal.hostname Mappato direttamente dal campo del log non elaborato Computer Name.
Nome host DNS target.asset.hostname Mappato direttamente dal campo del log non elaborato DNS Hostname.
Tipo di unità di destinazione about.labels.value Mappato direttamente dal campo del log non elaborato Destination Drive Type. Il tasto corrispondente è impostato su Destination Drive Type.
Estensione file di destinazione target.file.mime_type Mappato direttamente dal campo log non elaborato Destination File Extension se non è no extension o [no extension].
Percorso file di destinazione target.file.full_path Mappato direttamente dal campo del log non elaborato Destination File Path.
GUID dispositivo src.resource.id Mappato dal campo log non elaborato Device GUID con il prefisso GUID:.
Mittente email network.email.from Mappato direttamente dal campo del log non elaborato Email Sender se non è vuoto.
Oggetto email network.email.subject Mappato direttamente dal campo log non elaborato Email Subject se Email Sender non è vuoto.
Nome visualizzato dell'evento target.resource.type Mappato direttamente dal campo del log non elaborato Event Display Name.
Data/ora evento metadata.event_timestamp.seconds Convertito in timestamp dal campo log grezzo Event Time utilizzando i formati yyyy-MM-dd HH:mm:ss A e TIMESTAMP_ISO8601.
Descrizione file metadata.description Mappato direttamente dal campo del log non elaborato File Description.
Dimensioni file about.labels.value Mappato direttamente dal campo del log non elaborato File Size. Il tasto corrispondente è impostato su File Size.
Versione file about.labels.value Mappato direttamente dal campo del log non elaborato File Version. Il tasto corrispondente è impostato su File Version.
Indirizzo IP principal.ip Mappato direttamente dal campo log non elaborato IP Address se Source IP Address è vuoto.
Porta locale principal.port Mappato direttamente dal campo log non elaborato Local Port se non è vuoto e convertito in numero intero.
Indirizzo MAC target.mac Mappato direttamente dal campo del log non elaborato MAC Address se non è vuoto.
ID macchina principal.asset.asset_id Mappato dal campo log non elaborato Machine ID con il prefisso MachineId:.
Tipo di macchina principal.asset.category Mappato direttamente dal campo del log non elaborato Machine Type.
Hash MD5 target.process.file.md5 Mappato direttamente dal campo del log non elaborato MD5 Hash dopo la conversione in minuscolo.
Direzione della rete network.direction Mappato dal campo di log non elaborato Network Direction. Se Inbound, imposta su INBOUND. Se Outbound, imposta su OUTBOUND.
Tipo di operazione security_result.action_details Mappato direttamente dal campo del log non elaborato Operation Type.
Applicazione per i genitori principal.process.parent_process.command_line Mappato direttamente dal campo del log non elaborato Parent Application se non è vuoto.
Hash MD5 principale target.process.parent_process.file.md5 Mappato direttamente dal campo del log non elaborato Parent MD5 Hash dopo la conversione in minuscolo se corrisponde a un pattern di stringa esadecimale.
Process Domain target.administrative_domain Mappato direttamente dal campo del log non elaborato Process Domain.
Estensione file di processo target.process.file.mime_type Mappato direttamente dal campo log non elaborato Process File Extension se non è no extension o [no extension].
Percorso del processo target.process.file.full_path Mappato direttamente dal campo del log non elaborato Process Path.
PID processo principal.process.pid Mappato direttamente dal campo del log non elaborato Process PID dopo la conversione in stringa.
Nome prodotto metadata.product_name Mappato direttamente dal campo del log non elaborato Product Name.
Versione del prodotto metadata.product_version Mappato direttamente dal campo del log non elaborato Product Version.
Protocollo network.application_protocol Se HTTP o HTTPS, imposta su HTTPS.
Nome stampante src.resource.name Mappato direttamente dal campo del log non elaborato Printer Name.
Porta remota target.port Mappato direttamente dal campo log non elaborato Remote Port se non è vuoto e convertito in numero intero.
Hash SHA1 target.process.file.sha1 Mappato direttamente dal campo del log non elaborato SHA1 Hash dopo la conversione in minuscolo.
Hash SHA256 target.process.file.sha256 Mappato direttamente dal campo del log non elaborato SHA256 Hash dopo la conversione in minuscolo.
Emittente della firma network.tls.server.certificate.issuer Mappato direttamente dal campo del log non elaborato Signature Issuer.
Oggetto della firma network.tls.server.certificate.subject Mappato direttamente dal campo del log non elaborato Signature Subject.
Estensione del file di origine src.file.mime_type Mappato direttamente dal campo log non elaborato Source File Extension se non è no extension o [no extension].
Percorso file di origine src.file.full_path Mappato direttamente dal campo del log non elaborato Source File Path.
Indirizzo IP di origine principal.ip Mappato direttamente dal campo del log non elaborato Source IP Address se non è vuoto.
Dimensione totale about.labels.value Mappato direttamente dal campo del log non elaborato Total Size. Il tasto corrispondente è impostato su Total Size.
Percorso URL target.url Mappato direttamente dal campo del log non elaborato URL Path.
ID univoco metadata.product_log_id Mappato direttamente dal campo del log non elaborato Unique ID.
Utente principal.user.userid Mappato direttamente dal campo del log non elaborato User.
Was Detail Blocked security_result.action Se Yes, imposta su BLOCK. Se No, imposta su ALLOW.
dg_dst_dev.dev_prdname target.asset.hardware.model Mappato direttamente dal campo del log non elaborato dg_dst_dev.dev_prdname.
dg_dst_dev.dev_sernum target.asset.hardware.serial_number Mappato direttamente dal campo del log non elaborato dg_dst_dev.dev_sernum.
dg_recipients.uad_mr network.email.to Mappato direttamente dal campo del log non elaborato dg_recipients.uad_mr se corrisponde a un pattern di indirizzo email.
dg_src_dev.dev_prdname principal.asset.hardware.model Mappato direttamente dal campo del log non elaborato dg_src_dev.dev_prdname.
dg_src_dev.dev_sernum principal.asset.hardware.serial_number Mappato direttamente dal campo del log non elaborato dg_src_dev.dev_sernum.
metadata.event_type metadata.event_type Inizialmente impostato su GENERIC_EVENT. Modificato in base a condizioni specifiche:
- NETWORK_HTTP: se sono presenti nome host, protocollo HTTP/HTTPS e indirizzo MAC.
- FILE_COPY: se esistono i percorsi dei file di origine e di destinazione e Operation Type è File Copy.
- FILE_MOVE: se esistono i percorsi dei file di origine e di destinazione e Operation Type è File Move.
- FILE_UNCATEGORIZED: se esistono il percorso del file di destinazione e il percorso/la riga di comando del processo e Operation Type contiene File.
- USER_LOGOUT: se l'ID utente esiste e Operation Type contiene Logoff.
- USER_LOGIN: se l'ID utente esiste e Operation Type contiene Logon.
- NETWORK_UNCATEGORIZED: se sono presenti percorso/riga di comando del processo, ID processo, direzione di rete in uscita e indirizzo MAC.
- SCAN_PROCESS: se sono presenti il percorso del processo/la riga di comando e l'ID processo.
- PROCESS_UNCATEGORIZED: se esiste il percorso del processo/la riga di comando.
metadata.log_type metadata.log_type Imposta su DIGITALGUARDIAN_DLP.
metadata.product_log_id metadata.product_log_id Mappato direttamente dal campo del log non elaborato Unique ID.
metadata.product_name metadata.product_name Mappato direttamente dal campo del log non elaborato Product Name.
metadata.product_version metadata.product_version Mappato direttamente dal campo del log non elaborato Product Version.
metadata.vendor_name metadata.vendor_name Imposta su DigitalGuardian.
network.application_protocol network.application_protocol Imposta su HTTPS se Protocol è HTTP o HTTPS.
network.direction network.direction Mappato dal campo di log non elaborato Network Direction. Se Inbound, imposta su INBOUND. Se Outbound, imposta su OUTBOUND.
network.email.from network.email.from Mappato direttamente dal campo del log non elaborato Email Sender se non è vuoto.
network.email.subject network.email.subject Mappato direttamente dal campo log non elaborato Email Subject se Email Sender non è vuoto.
network.email.to network.email.to Mappato direttamente dal campo del log non elaborato dg_recipients.uad_mr se corrisponde a un pattern di indirizzo email.
network.tls.server.certificate.issuer network.tls.server.certificate.issuer Mappato direttamente dal campo del log non elaborato Signature Issuer.
network.tls.server.certificate.subject network.tls.server.certificate.subject Mappato direttamente dal campo del log non elaborato Signature Subject.
observer.platform_version observer.platform_version Mappato direttamente dal campo del log non elaborato Agent Version.
principal.asset.asset_id principal.asset.asset_id Mappato dal campo log non elaborato Machine ID con il prefisso MachineId:.
principal.asset.category principal.asset.category Mappato direttamente dal campo del log non elaborato Machine Type.
principal.asset.hardware.model principal.asset.hardware.model Mappato direttamente dal campo del log non elaborato dg_src_dev.dev_prdname.
principal.asset.hardware.serial_number principal.asset.hardware.serial_number Mappato direttamente dal campo del log non elaborato dg_src_dev.dev_sernum.
principal.hostname principal.hostname Mappato direttamente dal campo del log non elaborato Computer Name.
principal.ip principal.ip Mappato direttamente dal campo del log non elaborato Source IP Address se non è vuoto. In caso contrario, viene mappato da IP Address se non è vuoto.
principal.port principal.port Mappato direttamente dal campo log non elaborato Local Port se non è vuoto e convertito in numero intero.
principal.process.command_line principal.process.command_line Mappato direttamente dal campo del log non elaborato Application se non è vuoto.
principal.process.parent_process.command_line principal.process.parent_process.command_line Mappato direttamente dal campo del log non elaborato Parent Application se non è vuoto.
principal.process.parent_process.file.md5 principal.process.parent_process.file.md5 Mappato direttamente dal campo del log non elaborato Parent MD5 Hash dopo la conversione in minuscolo se corrisponde a un pattern di stringa esadecimale.
principal.process.pid principal.process.pid Mappato direttamente dal campo del log non elaborato Process PID dopo la conversione in stringa.
principal.user.company_name principal.user.company_name Mappato direttamente dal campo del log non elaborato Company Name.
principal.user.userid principal.user.userid Mappato direttamente dal campo del log non elaborato User.
security_result.action security_result.action Se Was Detail Blocked è Yes, impostalo su BLOCK. Se Was Detail Blocked è No, impostalo su ALLOW.
security_result.action_details security_result.action_details Mappato direttamente dal campo del log non elaborato Operation Type.
src.file.full_path src.file.full_path Mappato direttamente dal campo del log non elaborato Source File Path.
src.file.mime_type src.file.mime_type Mappato direttamente dal campo log non elaborato Source File Extension se non è no extension o [no extension].
src.resource.id src.resource.id Mappato dal campo log non elaborato Device GUID con il prefisso GUID:.
src.resource.name src.resource.name Mappato direttamente dal campo del log non elaborato Printer Name.
target.administrative_domain target.administrative_domain Mappato direttamente dal campo del log non elaborato Process Domain.
target.asset.hardware.model target.asset.hardware.model Mappato direttamente dal campo del log non elaborato dg_dst_dev.dev_prdname.
target.asset.hardware.serial_number target.asset.hardware.serial_number Mappato direttamente dal campo del log non elaborato dg_dst_dev.dev_sernum.
target.asset.hostname target.asset.hostname Mappato direttamente dal campo del log non elaborato DNS Hostname.
target.asset.product_object_id target.asset.product_object_id Mappato direttamente dal campo del log non elaborato Adapter Name.
target.file.full_path target.file.full_path Mappato direttamente dal campo del log non elaborato Destination File Path.
target.file.mime_type target.file.mime_type Mappato direttamente dal campo log non elaborato Destination File Extension se non è no extension o [no extension].
target.mac target.mac Mappato direttamente dal campo del log non elaborato MAC Address se non è vuoto.
target.port target.port Mappato direttamente dal campo log non elaborato Remote Port se non è vuoto e convertito in numero intero.
target.process.command_line target.process.command_line Mappato direttamente dal campo del log non elaborato Command Line.
target.process.file.full_path target.process.file.full_path Mappato direttamente dal campo del log non elaborato Process Path.
target.process.file.md5 target.process.file.md5 Mappato direttamente dal campo del log non elaborato MD5 Hash dopo la conversione in minuscolo.
target.process.file.mime_type target.process.file.mime_type Mappato direttamente dal campo log non elaborato Process File Extension se non è no extension o [no extension].
target.process.file.sha1 target.process.file.sha1 Mappato direttamente dal campo del log non elaborato SHA1 Hash dopo la conversione in minuscolo.
target.process.file.sha256 target.process.file.sha256 Mappato direttamente dal campo del log non elaborato SHA256 Hash dopo la conversione in minuscolo.
target.process.parent_process.command_line target.process.parent_process.command_line Mappato direttamente dal campo del log non elaborato Parent Application se non è vuoto.
target.process.parent_process.file.md5 target.process.parent_process.file.md5 Mappato direttamente dal campo del log non elaborato Parent MD5 Hash dopo la conversione in minuscolo se corrisponde a un pattern di stringa esadecimale.
target.resource.type target.resource.type Mappato direttamente dal campo del log non elaborato Event Display Name.
target.url target.url Mappato direttamente dal campo del log non elaborato URL Path.
extensions.auth.type extensions.auth.type Imposta su AUTHTYPE_UNSPECIFIED se Operation Type è User Logoff o User Logon.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.