收集 Symantec CloudSOC CASB 日志

本文档介绍了如何使用 Bindplane 将 Symantec CloudSOC 日志注入到 Google Security Operations。解析器从 syslog 或 JSON 格式的消息中提取日志。它会执行多项关键操作：解析消息字段、根据需要将消息转换为 JSON、提取字段、将字段映射到统一数据模型 (UDM)，以及使用时间戳和安全结果详细信息等其他上下文来丰富事件。解析器还会处理各种日志格式，并根据 activity_type 字段执行特定操作，以正确分类事件。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• Windows 2016 或更高版本，或者具有 systemd 的 Linux 主机
• 如果在代理后运行，防火墙端口处于开放状态
• 对 Symantec CloudSOC 的特权访问权限

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载注入身份验证文件。将该文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安装资源

如需了解其他安装选项，请参阅安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

1. 访问配置文件：
   • 找到 config.yaml 文件。通常，它位于 Linux 上的 /etc/bindplane-agent/ 目录中或 Windows 上的安装目录中。
   • 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

2. 按如下方式修改 config.yaml 文件：

       receivers:
           udplog:
               # Replace the port and IP address as required
               listen_address: "0.0.0.0:514"
   
       exporters:
           chronicle/chronicle_w_labels:
               compression: gzip
               # Adjust the path to the credentials file you downloaded in Step 1
               creds: '/path/to/ingestion-authentication-file.json'
               # Replace with your actual customer ID from Step 2
               customer_id: <customer_id>
               endpoint: malachiteingestion-pa.googleapis.com
               # Add optional ingestion labels for better organization
               ingestion_labels:
                   log_type: 'SYMANTEC_CASB'
                   raw_log_field: body
   
       service:
           pipelines:
               logs/source0__chronicle_w_labels-0:
                   receivers:
                       - udplog
                   exporters:
                       - chronicle/chronicle_w_labels
   

3. 根据基础架构的需要替换端口和 IP 地址。

4. 将 <customer_id> 替换为实际的客户 ID。

5. 将 /path/to/ingestion-authentication-file.json 更新为获取 Google SecOps 提取身份验证文件部分中保存身份验证文件的路径。

重启 Bindplane 代理以应用更改

• 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

  sudo systemctl restart bindplane-agent
  

• 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

  net stop BindPlaneAgent && net start BindPlaneAgent
  

在 Symantec CASB 中配置 Syslog

1. 登录 Symantec CloudSOC 托管服务。

2. 运行以下命令，以确定系统使用的记录器：

   ls –d /etc/*syslog*
   

3. 根据上一个命令的响应，前往相应部分：

   • syslog.conf：旧版 Syslog。
   • syslog-ng.conf：Syslog-ng。

旧版 Syslog 配置

1. 使用 vi 编辑器打开 syslogd 文件，该文件通常位于 /etc/default 目录中。

   vi /etc/default/syslogd
   

2. 确保 SYSLOGD 值包含 -r 标志。

   SYSLOGD="-r"
   

3. 保存文件并退出编辑器：

   • 按 Esc 键切换到命令模式。
   • 按 :（英文冒号）打开提示栏。
   • 在英文冒号后输入 wq，然后按 Enter 键。

4. 使用 vi 编辑器打开 services 文件，该文件通常位于 /etc 目录中。

   vi /etc/services
   

5. 修改 syslog 服务的端口值：

   syslog 514/udp
   

6. 保存文件并退出编辑器：

   • 按 Esc 键切换到命令模式。
   • 按 :（英文冒号）打开提示栏。
   • 在英文冒号后输入 wq，然后按 Enter 键。

7. 使用 vi 编辑器打开 syslog.conf 文件，该文件通常位于 /etc 目录中。

   vi /etc/syslog.conf
   

8. 更新配置，以将所有日志转发到 Google SecOps。

   *.* @bindplane_agent_host
   

9. 保存文件并退出编辑器：

   • 按 Esc 键切换到命令模式。
   • 按 :（英文冒号）打开提示栏。
   • 在英文冒号后输入 wq，然后按 Enter 键。

10. 使用 vi 编辑器打开 hosts 文件，该文件通常位于 /etc 目录中。

    vi /etc/hosts
    

11. 为 bindplane_agent_host 创建本地 DNS 条目。

    0.0.0.0 bindplane_agent_host
    

12. 保存文件并退出编辑器：

    • 按 Esc 键切换到命令模式。
    • 按 :（英文冒号）打开提示栏。
    • 在英文冒号后输入 wq，然后按 Enter 键。

13. 重启 syslog 守护进程服务。

Syslog-ng 配置

1. 使用 vi 编辑器打开 syslog-ng.conf 文件，该文件通常位于 /etc 目录中。

   vi /etc/syslog-ng.conf
   

2. 将以下代码添加到文件末尾：

   destination d____ { udp("bindplane_agent_host" port(514));}; log {source(s_src);
   destination(d____);};
   

3. 使用 vi 编辑器打开 hosts 文件，该文件通常位于 /etc 目录中。

   vi /etc/hosts
   

4. 为 bindplane_agent_host 创建本地 DNS 条目。

   0.0.0.0 bindplane_agent_host
   

5. 保存文件并退出编辑器：

   • 按 Esc 键切换到命令模式。
   • 按 :（英文冒号）打开提示栏。
   • 在英文冒号后输入 wq，然后按 Enter 键。

6. 重启 syslog-ng 守护进程服务。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。