McAfee Web Gateway-Logs erfassen

In diesem Dokument wird beschrieben, wie Sie die McAfee Web Gateway-Logs mithilfe eines Bindplane-Agents in Google Security Operations aufnehmen. Der Parser extrahiert Felder aus den Logs in den Formaten SYSLOG + KV (CEF), JSON und Rohdaten. Es werden grok- und CSV-Filter verwendet, um verschiedene Logstrukturen zu parsen und Feldnamen zu normalisieren. Anschließend werden die extrahierten Felder dem Schema für einheitliche Datenmodelle (Unified Data Model, UDM) zugeordnet. Dabei werden verschiedene Grenzfälle und Dateninkonsistenzen berücksichtigt, um eine einheitliche Ausgabe zu erstellen.

Hinweise

Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:

• Google SecOps-Instanz
• Windows 2016 oder höher oder Linux-Host mit systemd
• Wenn die Ausführung hinter einem Proxy erfolgt, sind die Firewallports geöffnet.
• Privilegierter Zugriff auf McAfee Web Gateway

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie SIEM-Einstellungen > Collection Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > „Profil“ auf.
3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Fenstereinbau

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i `https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi` /quiet
   

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c `$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)` install_unix.sh
   

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

1. Rufen Sie die Konfigurationsdatei auf:
   • Suchen Sie die Datei config.yaml. Normalerweise befindet es sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
   • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

2. Bearbeiten Sie die Datei config.yamlso:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: `0.0.0.0:514`
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: MCAFEE_WEBPROXY
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.

4. Ersetzen Sie <customer_id> durch die tatsächliche Kundennummer.

5. Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Google SecOps-Aufnahmeauthentifizierungsdatei abrufen gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

  sudo systemctl restart bindplane-agent
  

• Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Syslog in McAfee Web Gateway konfigurieren

1. Melden Sie sich in der Web-UI von McAfee Web Gateway an.
2. Rufen Sie Richtlinie > Regelsätze auf.
3. Klicken Sie auf Log Handler (Log-Handler), maximieren Sie dann den Regelsatz Default (Standard) und wählen Sie den verschachtelten Regelsatz CEF Syslog aus.
4. Aktivieren Sie die Regel Send to Syslog (An Syslog senden).
5. Klicken Sie auf Änderungen speichern.
6. Gehen Sie zu Konfiguration > Geräte> Log File Manager> Einstellungen.
7. Wählen Sie Audit-Log in Syslog schreiben aus.
8. Rufen Sie Konfiguration > Dateieditor auf.
9. Wählen Sie im Dateibaum rsyslog.conf aus.
10. Bearbeiten Sie die Datei so:
    • Suchen Sie die Zeile (oder eine ähnliche): *.info;mail.none;authpriv.none;cron.none /var/log/messages.
    • Fügen Sie in dieser Zeile einen Daemon hinzu und setzen Sie vor die Pfadinformationen einen Bindestrich (-): *.info;daemon.!=info;mail.none;authpriv.none;cron.none -/var/log/messages

11. Fügen Sie unten in der Datei eine neue Zeile hinzu, um die Informationsmeldungen an die IP-Adresse des Bindplane-Agents zu senden.

    • Für Syslog über UDP:

      daemon.info;auth.=info @<bindplane-server-ip>:<bindplane-port>
      

    • Für Syslog über TCP:

      daemon.info;auth.=info @@<bindplane-server-ip>:<bindplane-port>
      

UDM-Zuordnungstabelle

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten