Symantec Endpoint Protection 로그 수집

이 문서에서는 Bindplane을 사용하여 Symantec Endpoint Protection 로그를 Google Security Operations에 수집하는 방법을 설명합니다. 파서는 SYSLOG 또는 KV 형식으로 로그를 처리하여 먼저 로그 데이터 내의 다양한 형식에서 타임스탬프를 추출합니다. 그런 다음 별도의 구성 파일 (sep_pt2.include)을 활용하여 로그 이벤트를 추가로 파싱하고 구조화하여 초기 타임스탬프 추출이 성공한 경우에만 처리가 성공하도록 합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

• Google SecOps 인스턴스
• Windows 2016 이상 또는 systemd가 있는 Linux 호스트
• 프록시 뒤에서 실행하는 경우 방화벽 포트가 열려 있음
• Symantec Endpoint Protection 플랫폼에 대한 권한 있는 액세스

Google SecOps 수집 인증 파일 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 수집 에이전트로 이동합니다.
3. 수집 인증 파일을 다운로드합니다. Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 프로필로 이동합니다.
3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

Bindplane 에이전트 설치

다음 섹션에서는 Bindplane 에이전트를 설치하는 방법을 설명합니다.

Windows 설치

1. 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.

2. 다음 명령어를 실행합니다.

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 설치

1. 루트 또는 sudo 권한으로 터미널을 엽니다.

2. 다음 명령어를 실행합니다.

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

추가 설치 리소스

추가 설치 옵션은 설치 가이드를 참고하세요.

syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성

1. 구성 파일에 액세스합니다.
   • config.yaml 파일을 찾습니다. 일반적으로 Linux에서는 /etc/bindplane-agent/ 디렉터리에 있고 Windows에서는 설치 디렉터리에 있습니다.
   • 텍스트 편집기 (예: nano, vi, 메모장)를 사용하여 파일을 엽니다.

2. 다음과 같이 config.yaml 파일을 수정합니다.

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: `0.0.0.0:514`
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: 'CES'
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 인프라에 필요한 대로 포트와 IP 주소를 바꿉니다.

4. <customer_id>를 실제 고객 ID로 바꿉니다.

5. Google SecOps 수집 인증 파일 가져오기 섹션에서 인증 파일이 저장된 경로로 /path/to/ingestion-authentication-file.json를 업데이트합니다.

Bindplane 에이전트를 다시 시작하여 변경사항 적용

• Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

  sudo systemctl restart bindplane-agent
  

• Windows에서 Bindplane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Symantec Endpoint Protection에서 Syslog 구성

1. Symantec Endpoint Protection Manager 웹 UI에 로그인합니다.
2. 관리 아이콘을 클릭합니다.
3. 서버 보기 섹션을 찾아 서버를 클릭합니다.
4. 로컬 사이트 > 외부 로깅 구성을 클릭합니다.
5. Syslog 서버로 로그 전송 사용 설정 체크박스를 선택합니다.
6. 다음 구성 세부정보를 제공합니다.
   • 시스템 로그 서버: Bindplane IP 주소를 입력합니다.
   • UDP 대상 포트: Bindplane 포트 번호를 입력합니다 (예: UDP의 경우 514).
   • 로그 시설: Local6을 입력합니다.
   • 감사 로그 체크박스를 선택합니다.
   • 보안 로그 체크박스를 선택합니다.
   • 위험 체크박스를 선택합니다.
7. 확인을 클릭합니다.

UDM 매핑 테이블

로그 필드	UDM 매핑	설명
_DB_HOST	target.hostname
a_record	network.dns.questions.type
AccessCheckResults	security_result.detection_fields
Accesses	security_result.detection_fields
AccessList	security_result.detection_fields
AccessMask	security_result.detection_fields
AccessReason	security_result.description
AccountName	target.user.user_display_name
AccountType	principal.user.attribute.roles
ACTION	security_result.detection_fields
ACTION_TYPE	security_result.action_details
ActiveProfile	target.resource.name
ActivityID	additional.fields
AdditionalInfo2	security_result.detection_fields
ADMIN_NAME	principal.user.userid
AGENT_SECURITY_LOG_IDX	metadata.product_log_id
AgentVer	additional.fields
Alert	security_result.detection_fields
ALERT_IDX	security_result.rule_id
ALERTDATETIME	security_result.first_discovered_time
ALERTENDDATETIME	security_result.last_discovered_time
ALERTINSERTTIME	security_result.detection_fields
AlgorithmName	security_result.detection_fields
Allowedapplicationreason	security_result.detection_fields
APP_NAME	target.application
app_name	principal.application
AppPoolID	target.application
AuthenticationPackageName	additional.fields
AuthenticationSetId	security_result.detection_fields
AuthenticationSetName	target.resource.name
BitlockerUserInputTime	additional.fields
BootMenuPolicy	additional.fields
BootType	additional.fields
BU	additional.fields
BugcheckString	additional.fields
CALLER_PROCESS_ID	principal.process.pid
CALLER_PROCESS_NAME	principal.process.file.full_path
callerReturnAddress	additional.fields
callerReturnModuleName	additional.fields
Caption	target.application
Category	security_result.category_details
Channel	security_result.about.resource.attribute.labels
CIDS_SIGN_SUB_ID	additional.fields
CLIENT_USER2	principal.user.userid
Comment	metadata.description
Component	security_result.detection_fields
connection.ether_type	security_result.about.labels
ConnectionSecurityRuleName	target.resource.name
ConnectionSecurityRuleId	security_result.detection_fields
CryptographicSetId	security_result.detection_fields
CryptographicSetName	target.resource.name
CSPEID	additional.fields
DCName	intermediary.hostname
Desc	metadata.description
DesiredAccess	security_result.detection_fields
device.last_app_connection	target.asset.last_discover_time
device.wss_feature	target.asset.attribute.labels
DeviceName	target.resource.name
DeviceNameLength	additional.fields
DeviceTime	additional.fields
DeviceVersionMajor	additional.fields
DeviceVersionMinor	additional.fields
disposition	security_result.detection_fields
dns_direction	security_result.detection_fields
domain	target.administrative_domain
Domain	principal.administrative_domain
DOMAIN_ID	target.resource.product_object_id
EDate	additional.fields
EDateUTC	metadata.event_timestamp
elevated_token	additional.fields
EntryCount	additional.fields
Error	security_result.description
error	security_result.detection_fields
ErrorCode	security_result.description
ErrorDescription	security_result.description
Event	metadata.description
EVENT_DATA	additional.fields
event_type	metadata.product_event_type
EventData.Binary	additional.fields
eventDesc	metadata.description
eventInsertTime	metadata.collected_timestamp
EventReceivedTime	metadata.collected_timestamp
EventTime	metadata.event_timestamp
EventType	metadata.product_event_type
ExceptionCode	security_result.detection_fields
executionPolicy	security_result.rule_name
ExecutionProcessID	principal.process.pid
ExecutionThreadID	principal.process.product_specific_process_id
ExtensionId	security_result.detection_fields
ExtensionName	target.resource.name
ExtraInfoLength	additional.fields
ExtraInfoString	additional.fields
FailureId	security_result.detection_fields
faulting_application_name	principal.process.file.names
faulting_application_path	principal.process.file.full_path
FaultingModuleName	additional.fields
FaultingModulePath	additional.fields
FaultOffset	additional.fields
FILE_SIZE	about.file.size
FilterID	security_result.detection_fields
FinalStatus	security_result.description
GPODisplayName	target.resource.name
GPOFileSystemPath	target.file.full_path
Group	principal.resource.attribute.labels
HACK_TYPE	security_result.category_details
HandleId	target.resource.attribute.labels
HID_LEVEL	additional.fields
HN	additional.fields
host	principal.hostname
Hostname	principal.hostname
id	metadata.product_log_id
IdleImplementation	additional.fields
IdleStateCount	additional.fields
ImpersonationLevel	additional.fields
IntensiveProtectionLevel	security_result.detection_fields
Interface	security_result.detection_fields
intermediary_host	intermediary.ip intermediary.hostname	값이 IP 주소인 경우 intermediary.ip에 매핑됩니다. 값이 호스트 이름인 경우 intermediary.hostname에 매핑됩니다.
INTRUSION_PAYLOAD_URL	target.url
INTRUSION_URL	target.url
IP	principal.ip
IP_ADDR	src.ip
IpAddress	principal.ip
IpPort	principal.port
KERNEL	principal.platform_patch_level
KeyFilePath	target.file.full_path
KeyLength	additional.fields
KeyName	security_result.detection_fields
KeyType	security_result.detection_fields
lastUpdateTime	target.resource.attribute.last_update_time
LmPackageName	security_result.detection_fields
LoadOptions	additional.fields
LogonGuid	network.session_id
LogonProcessName	target.application
LogonType	extensions.auth.auth_details
MandatoryLabel	target.resource.attribute.labels
MasterKeyId	security_result.detection_fields
MaximumPerformancePercent	additional.fields
Message	metadata.description
MinimumPerformancePercent	additional.fields
MinimumThrottlePercent	additional.fields
Minutes	target.resource.attribute.labels
NewFile	target.file.full_path
NewGrp	target.group.group_display_name
NewModDt	target.file.last_modification_time
NewOwn	additional.fields
NewPerms	additional.fields
NewProcessId	target.process.pid
NewProcessName	target.process.file.full_path
NewSecurityDescriptor	security_result.description
NewSize	additional.fields
NominalFrequency	principal.resource.attribute.labels
Number	principal.resource.attribute.labels
NumberOfGroupPolicyObjects	additional.fields
ObjectName	target.resource.name
ObjectServer	target.resource.attribute.labels
ObjectType	target.resource.resource_type
ObjId	target.resource.attribute.labels
OldFile	src.file.full_path
OldGrp	src.group.group_display_name
OldModDt	src.file.last_modification_time
OldOwn	additional.fields
OldPerms	additional.fields
OldSize	additional.fields
omittedFiles	security_result.detection_fields
Opcode	additional.fields
OpcodeValue	metadata.product_event_type
Operation	security_result.description
Operation	additional.fields
OperationType	security_result.category_details
OriginalSecurityDescriptor	additional.fields
OS	principal.platform
OSVER	principal.platform_version
param2	security_result.detection_fields
param3	security_result.detection_fields
param4	security_result.detection_fields
PARAM_DEVICE_ID	principal.hostname
PARAMETER	target.file.full_path
parameters	additional.fields
PARENT_SERVER_TYPE	additional.fields
PerformanceImplementation	additional.fields
POLNm	additional.fields
prevalence	security_result.detection_fields
Priority	security_result.detection_fields
PrivilegeList	target.resource.attribute.permissions.name
PrivilegesUsedForAccessCheck	security_result.detection_fields
ProblemID	additional.fields
ProcessId	principal.process.pid
ProcessID	target.process.pid
ProcessingMode	additional.fields
ProcessingTimeInMilliseconds	additional.fields
ProcessName	principal.process.file.full_path
ProcName	principal.process.file.names
ProcPath	principal.process.file.full_path
product_event_type	metadata.product_event_type
PROFILE_SERIAL_NO	additional.fields
protected	security_result.detection_fields
ProviderGuid	metadata.product_deployment_id
ProviderName	security_result.detection_fields
PuaCount	additional.fields
PuaPolicyId	additional.fields
PUB_KEY	additional.fields
Reason	additional.fields
ReasonCode	additional.fields
RecordNumber	metadata.product_log_id
RecoveryReason	security_result.description
RecType	metadata.product_event_type
RelativeTargetName	target.user.user_display_name
report_id	metadata.product_log_id
request	additional.fields
restricted_admin_mode	additional.fields
restricted_sid_count	additional.fields
risks	security_result.detection_fields
Rule	security_result.rule_name
RuleName	security_result.rule_name
RuleType	additional.fields
scan_duration	security_result.detection_fields
scan_state	security_result.detection_fields
scan_type	security_result.detection_fields
scanned_number	security_result.detection_fields
ScriptType	additional.fields
SecurityPackageName	about.file.full_path
SEQ_ID	additional.fields
Service	target.application
SeverityValue	security_result.severity_details
sha256	principal.process.file.sha256
ShareLocalPath	target.file.full_path
ShareName	target.resource.name
SITE_IDX	additional.fields
skipped_files	security_result.detection_fields
SourceModuleName	additional.fields
SourceModuleType	additional.fields
SourceName	principal.application
spn1	target.resource.attribute.labels
spn2	target.resource.attribute.labels
standard_schemes	security_result.detection_fields
State	additional.fields
Status	target.resource.attribute.labels
StopTime	additional.fields
SubjectDomainName	principal.administrative_domain
SubjectLogonId	principal.user.userid
SubjectUserName	principal.user.userid
SubjectUserSid	principal.user.windows_sid
SupportInfo1	additional.fields
SupportInfo2	additional.fields
syslogServer	intermediary.ip intermediary.hostname	값 (IP 주소 또는 호스트 이름)은 로그의 헤더에서 가져오며 중개자와 연결됩니다.
TargetDomainName	target.administrative_domain
TargetLogonId	target.user.userid
TargetUserName	target.user.userid
TargetUserSid	target.user.windows_sid
TaskContentNew	additional.fields
TaskName	target.resource.name
TaskValue	metadata.description
THREATS	security_result.detection_fields
threats	security_result.detection_fields
TimeDifferenceMilliseconds	additional.fields
TimeSampleSeconds	additional.fields
timestamp	metadata.event_timestamp
TokenElevationType	target.resource.attribute.labels
transaction_id	metadata.product_log_id
TransitedServices	security_result.detection_fields
TSId	network.session_id
type	security_result.threat_name
UMDFDeviceInstallBegin.version	target.resource.attribute.labels
UMDFReflectorDependencyMissing.Dependency	additional.fields
updateGuid	target.process.product_specific_process_id
updateRevisionNumber	target.resource.attribute.labels
updateTitle	target.resource.name
UpdateType	additional.fields
Url	target.url
urlTrackingStatus	security_result.detection_fields
User	principal.user.userid
UserID	target.user.userid
UserSid	target.user.windows_sid
VAPI_NAME	security_result.summary
VAST	additional.fields
Version	metadata.product_version
virtual_account	additional.fields
VSAD	additional.fields
WorkstationName	additional.fields
해당 사항 없음	metadata.log_type	로그 유형은 SEP로 하드코딩됩니다.
해당 사항 없음	metadata.product_name	제품 이름은 SEP으로 하드코딩되어 있습니다.
해당 사항 없음	metadata.vendor_name	공급업체 이름은 Symantec로 하드코딩되어 있습니다.

UDM 매핑 델타 참조

2025년 8월 26일에 Google SecOps는 Symantec Endpoint Protection 로그 필드와 UDM 필드의 매핑에 대한 중요한 변경사항과 이벤트 유형의 매핑에 대한 변경사항이 포함된 새로운 버전의 Symantec Endpoint Protection 파서를 출시했습니다.

로그 필드 매핑 델타

다음 표에는 2025년 8월 26일 이전에 노출된 Symantec Endpoint Protection 로그-UDM 필드와 그 이후의 매핑 델타가 나와 있습니다 (각각 이전 매핑 및 현재 매핑 열에 나열됨).

로그 필드	이전 매핑	현재 매핑
_DB_DRIVER	about.resource.id	about.resource.product_object_id
_ip	principal.ip	intermediary.ip
Actualaction: Quarantined	security_result.action : BLOCK	security_result.action : QUARANTINE
BEGIN_TIME	additional.fields	target.resource.attribute.labels
callerProcessId	target.process.pid	principal.process.pid
callerProcessName	target.file.full_path	principal.process.file.full_path
CATEGORY_DESC	additional.fields	security_result.category_details
CLIENT_TYPE	additional.fields	principal.user.attribute.roles
DESCRIPTION	security_result.detection_fields	security_result.summary
device.id	target.resource.id	target.resource.product_object_id
device_uid	principal.resource.id	principal.resource.product_object_id
DURATION	additional.fields	network.session_duration.seconds
END_TIME	additional.fields	target.resource.attribute.last_update_time
feature_name	about.labels	security_result.about.labels
REMOTE_HOST_MAC	additional.fields	principal.mac
resourceId	principal.resource.id	principal.resource.product_object_id
server_name_1	principal.hostname intermediary.hostname	target.hostname
UUID	additional.fields	principal.asset.asset_id

이벤트 유형 매핑 델타

이전에 일반 이벤트로 분류되었던 여러 이벤트가 이제 의미 있는 이벤트 유형으로 올바르게 분류됩니다.

다음 표에는 2025년 8월 26일 이전과 이후의 Symantec Endpoint Protection 이벤트 유형 처리의 차이가 나와 있습니다 (각각 이전 event_type 및 현재 event_type 열에 나열됨).

로그의 eventType	이전 event_type	현재 event_type
관리자 로그아웃	GENERIC_EVENT	USER_LOGOUT
다른 모든 IP 트래픽 차단 및 로깅	STATUS_UPDATE	NETWORK_CONNECTION
파일 생성됨	GENERIC_EVENT	FILE_CREATION
파일 수정됨	GENERIC_EVENT	FILE_MODIFICATION
파일 이름이 변경됨	GENERIC_EVENT	FILE_MODIFICATION
선택한 드라이브에서 스캔이 시작됨	GENERIC_EVENT	SCAN_HOST
선택한 드라이브에서 스캔이 시작되었으며 파일이 있습니다.	GENERIC_EVENT	SCAN_FILE
이벤트를 기반으로 리소스에 액세스하는 사용자	USER_UNCATEGORIZED	USER_RESOURCE_ACCESS
사용자가 종료를 시도하고 있음	GENERIC_EVENT	STATUS_SHUTDOWN
VAPI_NAME = File Delete	USER_UNCATEGORIZED	FILE_DELETION
VAPI_NAME = File Write	USER_UNCATEGORIZED	FILE_CREATION

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.