收集 Fortra Digital Guardian DLP 記錄

本文說明如何使用 Bindplane 代理程式，將 Fortra Digital Guardian DLP 記錄收集至 Google Security Operations。剖析器程式碼會將原始 JSON 格式的記錄轉換為統一資料模型 (UDM)。系統會先從原始 JSON 擷取欄位，然後執行資料清理和正規化作業，再將擷取的欄位對應至相應的 UDM 屬性，並根據識別出的活動，以特定事件類型擴充資料。

事前準備

• 確認您有 Google Security Operations 執行個體。
• 確認您使用的是 Windows 2016 以上版本，或是搭載 systemd 的 Linux 主機。
• 如果透過 Proxy 執行，請確認防火牆通訊埠已開啟。
• 確認您擁有 Fortra Digital Guardian DLP 的特殊權限。

取得 Google SecOps 擷取驗證檔案

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「設定檔」。
3. 複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

Windows 安裝

1. 以系統管理員身分開啟「命令提示字元」或「PowerShell」。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安裝

1. 開啟具有根層級或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安裝資源

• 如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

1. 存取設定檔：

   1. 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄，或 Windows 的安裝目錄。
   2. 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

2. 按照下列方式編輯 config.yaml 檔案：

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: DIGITALGUARDIAN_DLP
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 視基礎架構需求，替換通訊埠和 IP 位址。

4. 將 <customer_id> 替換為實際的客戶 ID。

5. 將 /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」一節中儲存驗證檔案的路徑。

重新啟動 Bindplane 代理程式，以套用變更

• 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

  sudo systemctl restart bindplane-agent
  

• 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，或輸入下列指令：

  net stop BindPlaneAgent && net start BindPlaneAgent
  

設定 Fortra Digital Guardian 系統記錄檔匯出功能

1. 登入 Digital Guardian Management Console。
2. 依序前往「Workspace」「資料匯出」「建立匯出作業」。
3. 從「資料來源」清單中，選取「快訊」或「事件」做為資料來源。
4. 選取「系統記錄」Syslog做為匯出類型。

5. 從「類型」清單中選取「UDP」(您也可以根據 Bindplane 設定，選取 TCP 做為傳輸通訊協定)。

6. 在「伺服器」欄位下方，輸入 Bindplane 代理程式 IP 位址。

7. 在「Port」(通訊埠) 欄位中，輸入 514 (您可以根據 Bindplane 代理程式設定提供其他通訊埠)。

8. 從「嚴重程度等級」清單中選取嚴重程度等級。

9. 勾選「Is Active」核取方塊。

10. 點選「下一步」。

11. 從可用欄位清單中，新增「所有」快訊和事件欄位，以匯出資料。

12. 選取資料匯出中欄位的條件。

13. 點選「下一步」。

14. 選取條件的群組。

15. 點選「下一步」。

16. 按一下「測試查詢」。

17. 點選「下一步」。

18. 按一下 [儲存]。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。