收集 Mimecast 邮件日志

本文档介绍了如何通过设置 Google Security Operations Feed 来收集 Mimecast Secure Email Gateway 日志。

如需了解详情，请参阅将数据注入 Google Security Operations。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 MIMECAST_MAIL 注入标签的解析器。

配置 Mimecast Secure Email Gateway

1. 为登录账号启用日志记录。
2. 创建 API 应用。
3. 获取应用 ID 和应用密钥。

为登录账号启用日志记录

1. 登录 Mimecast 管理控制台。
2. 在账号菜单中，点击账号设置。
3. 展开增强型日志记录。
4. 选择要启用的日志类型：
   • 入站：记录外部发件人发送给内部收件人的邮件。
   • 出站：记录从内部发件人发送给外部收件人的邮件。
   • 内部：记录内部网域中的邮件。
5. 点击保存应用更改。

创建 API 应用

1. 登录 Mimecast 管理控制台。
2. 点击 Add API Application（添加 API 应用）。
3. 输入以下详细信息：
   1. 应用名称。
   2. 应用的说明。
   3. 类别：输入以下某个类别：
   • SIEM 集成：可对应用生成的安全提醒进行实时分析。
   • MSP 订购和配置：供部分合作伙伴在 MSP 门户中管理订单。
   • 电子邮件 / 归档：指存储在 Mimecast 中的邮件和提醒。
   • 商业智能：使应用的基础设施和工具能够访问和分析信息，从而改进和优化决策和效果。
   • 流程自动化：可实现业务流程自动化。
   • 其他：如果应用不属于任何其他类别，请选择此类别。
4. 点击下一步。
5. 为以下输入参数指定值：
   • 身份验证 HTTP 标头配置：以以下格式输入身份验证详细信息： secret_key:{Access Secret}
access_key:{Access key}
app_id:{Application ID}
app_key:{application key}
   • API 主机名：Mimecast API 端点的完全限定域名。典型格式为 xx-api.mimecast.com。如果未提供，则在美国和欧洲将是特定于区域的。对于其他区域，此字段不能为空。
   • 资源命名空间：资源命名空间。
   • 注入标签：应用于此 Feed 中事件的标签。
6. 点击下一步。
7. 查看摘要页面上显示的信息。
8. 如需修正错误，请按以下步骤操作：
   • 点击详细信息或设置旁边的修改按钮。
   • 点击下一步，然后再次前往摘要页面。

获取应用 ID 和应用密钥

1. 点击应用，然后点击服务。
2. 点击 API 应用。
3. 选择已创建的 API 应用。
4. 查看申请详情。

创建 API 访问密钥和密钥

如需了解如何生成访问密钥和密钥，请参阅创建用户关联密钥。

设置 Feed

如需配置此日志类型，请按以下步骤操作：

1. 依次前往 SIEM 设置> Feed。
2. 点击添加新 Feed。
3. 点击 Mimecast Feed 包。

4. 为以下字段指定值：

   • 来源类型：第三方 API（推荐）
   • 身份验证 HTTP 标头：提供应用 ID、访问密钥、密钥 ID 和应用密钥。
   • API 主机名：指定 Mimecast 主机的域名。

   高级选项

   • Feed 名称：用于标识 Feed 的预填充值。
   • 资产命名空间：与 Feed 关联的命名空间。
   • 提取标签：应用于相应 Feed 中所有事件的标签。

5. 点击创建 Feed。

如需详细了解如何为相应产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。

字段映射参考

此解析器从 Mimecast 电子邮件服务器日志中提取键值对，对日志条目阶段（接收、处理或传送）进行分类，并将提取的字段映射到 UDM。它还会执行特定逻辑来处理与安全相关的字段，并根据 Act、RejType、SpamScore 和 Virus 等值确定安全结果操作、类别、严重程度和相关详细信息。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。