收集 Fortra Digital Guardian DLP 日志

本文档介绍了如何使用 Bindplane 代理将 Fortra Digital Guardian DLP 日志收集到 Google Security Operations。解析器代码会将原始 JSON 格式的日志转换为统一数据模型 (UDM)。它首先从原始 JSON 中提取字段，执行数据清理和归一化，然后将提取的字段映射到相应的 UDM 属性，并根据识别的活动使用特定事件类型来丰富数据。

准备工作

• 确保您拥有 Google Security Operations 实例。
• 确保您使用的是 Windows 2016 或更高版本，或者具有 systemd 的 Linux 主机。
• 如果通过代理运行，请确保防火墙端口处于开放状态。
• 确保您拥有对 Fortra Digital Guardian DLP 的特权访问权限。

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载注入身份验证文件。将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安装资源

• 如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

1. 访问配置文件：

   1. 找到 config.yaml 文件。通常，它位于 Linux 上的 /etc/bindplane-agent/ 目录中或 Windows 上的安装目录中。
   2. 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

2. 按如下方式修改 config.yaml 文件：

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: DIGITALGUARDIAN_DLP
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 根据基础架构的需要替换端口和 IP 地址。

4. 将 <customer_id> 替换为实际的客户 ID。

5. 将 /path/to/ingestion-authentication-file.json 更新为获取 Google SecOps 提取身份验证文件部分中保存身份验证文件的路径。

重启 Bindplane 代理以应用更改

• 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

  sudo systemctl restart bindplane-agent
  

• 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

  net stop BindPlaneAgent && net start BindPlaneAgent
  

配置 Fortra Digital Guardian Syslog 导出

1. 登录 Digital Guardian 管理控制台。
2. 依次前往 Workspace > 数据导出 > 创建导出作业。
3. 从数据源列表中选择提醒或事件作为数据源。
4. 选择 Syslog 作为导出类型。

5. 从类型列表中，选择 UDP（您也可以选择 TCP 作为传输协议，具体取决于您的 Bindplane 配置）。

6. 在服务器字段下，输入 Bindplane 代理 IP 地址。

7. 在端口字段中，输入 514（您可以根据 Bindplane 代理配置提供其他端口）。

8. 从严重程度列表中选择一个严重程度。

9. 选中有效复选框。

10. 点击下一步。

11. 从可用字段列表中，添加所有提醒和事件字段以导出数据。

12. 为数据导出中的字段选择条件。

13. 点击下一步。

14. 为相应条件选择一个群组。

15. 点击下一步。

16. 点击测试查询。

17. 点击下一步。

18. 点击保存。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。