Skyhigh Security-Logs erfassen

In diesem Dokument wird beschrieben, wie Sie Skyhigh Security-Logs (früher McAfee Skyhigh CASB) mit Bindplane in Google Security Operations aufnehmen. Der Parser wandelt Logs aus einem SYSLOG- und KV-Format in ein einheitliches Datenmodell (Unified Data Model, UDM) um. Dabei wird die Log-Nachricht zuerst in Schlüssel-Wert-Paare normalisiert und dann werden die extrahierten Felder den entsprechenden UDM-Attributen im event.idm.read_only_udm-Objekt zugeordnet. Der Ereignistyp wird anhand des Vorhandenseins und der Werte bestimmter Felder kategorisiert.

Hinweise

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Google SecOps-Instanz
• Ein Windows-Host mit Windows 2016 oder höher oder ein Linux-Host mit systemd
• Wenn die Ausführung hinter einem Proxy erfolgt, sind die Firewallports geöffnet.
• Skyhigh Cloud Connector installiert und konfiguriert
• Privilegierter Zugriff auf den Skyhigh Security Cloud Connector

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie SIEM-Einstellungen > Collection Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > „Profil“ auf.
3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Fenstereinbau

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

1. Rufen Sie die Konfigurationsdatei auf:
   • Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
   • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

2. Bearbeiten Sie die Datei config.yamlso:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'MCAFEE_SKYHIGH_CASB'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
   • Ersetzen Sie <customer_id> durch die tatsächliche Kunden-ID.
   • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

1. Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

   sudo systemctl restart bindplane-agent
   

2. Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

   net stop BindPlaneAgent && net start BindPlaneAgent
   

Voraussetzungen für das Herunterladen des Logging-Clients

Sie benötigen die folgenden Informationen:

1. Nutzerberechtigung für Usage Analytics: Ihrem Konto muss die Rolle „Usage Analytics-Nutzer“ zugewiesen sein.
2. Kundennummer: Führen Sie die folgenden Schritte aus, um Ihre Kundennummer in Skyhigh CASB zu finden:
   • Melden Sie sich in Skyhigh CASB an.
   • Gehen Sie zu Einstellungen> Infrastruktur > Client-Proxy-Verwaltung.
   • Klicken Sie auf Globale Konfiguration > Mandantenauthentifizierung.
   • Suchen Sie unter Globale Einstellungen nach Ihrer Kundennummer.
3. E-Mail-Adresse und Passwort: Ihre Anmeldedaten (oder die eines dedizierten Dienstkontos). Wenn Sie sich mit SAML ohne Passwort anmelden, können Sie den Logging Client nicht installieren.

Skyhigh Logging Client herunterladen und installieren

1. Laden Sie den Logging Client auf eine dedizierte Instanz herunter.
2. Installieren Sie den Logging-Client (entpacken Sie bei Bedarf die heruntergeladene EXE-Datei).
3. Öffnen Sie nach Abschluss der Installation den Logging Client.
4. Geben Sie auf der Seite Konfiguration die folgenden Konfigurationsdetails an:
   1. Kundennummer: Geben Sie Ihre Skyhigh CASB-Kundennummer ein, die Sie im vorherigen Schritt erhalten haben.
   2. Dienst: Wählen Sie SSE aus, wenn Sie Skyhigh SSE verwenden, oder WGCS, wenn Sie dieses Produkt zusammen mit Trellix ePO verwenden.
   3. Region: Wählen Sie einen Regional- oder Ländercode aus, je nachdem, wo Ihre Daten gespeichert sind:
      • EU – Europäische Union
      • IN – Indien
      • SG – Singapur
      • UE – Vereinigte Arabische Emirate
      • UK – Vereinigtes Königreich
      • US – USA
   4. Name: Geben Sie den Nutzernamen ein. Das ist in der Regel die E-Mail-Adresse, mit der Sie sich in Secure Web Gateway oder einer dedizierten Instanz anmelden.
   5. Passwort: Geben Sie das Passwort ein, mit dem Sie sich bei Secure Web Gateway anmelden. Wenn Sie sich mit SAML anmelden, können Sie den Logging Client nicht verwenden.
   6. API-Version: Geben Sie version 13 ein.
   7. Logtyp: Sie können verschiedene Arten von Logs herunterladen, darunter Logs mit Daten aus dem Web, Remote Browser Isolation (RBI), Private Access und Cloud Firewall.
   8. Wählen Sie Als Syslog senden aus und geben Sie die folgenden Konfigurationsdetails an:
      • Syslog-Client-Host: Geben Sie die IP-Adresse des Bindplane-Agents ein.
      • Syslog-Clientport: Geben Sie die Portnummer des Bindplane-Agents ein.
      • Transport: Wählen Sie je nach Bindplane-Agent-Konfiguration UDP oder TCP aus.

UDM-Zuordnungstabelle

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten