收集 Symantec Event Export 日志

本文档介绍了如何通过设置 Google Security Operations Feed 来收集 Symantec Event Export 日志。

如需了解详情，请参阅将数据注入 Google Security Operations。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有以下注入标签的解析器：SYMANTEC_EVENT_EXPORT 和 SEP。

配置 Symantec Event Export

1. 登录 SEP 15/14.2 控制台。
2. 选择集成。
3. 点击 Client Application，然后复制 Customer ID 和 Domain ID，这些 ID 会在您创建 Google Security Operations Feed 时使用。
4. 点击 + 添加，然后提供应用名称。
5. 点击添加。
6. 前往详细信息页面，然后执行以下操作：
   • 在设备组管理部分，选择查看。
   • 在提醒和事件规则管理部分中，选择查看。
   • 在调查事件部分中，选择查看。
7. 点击保存。
8. 点击应用名称末尾的菜单（垂直省略号），然后点击客户端密钥。
9. 复制客户端 ID 和客户端密钥，在配置 Google Security Operations Feed 时需要用到这些信息。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称，例如 Symantec 事件导出日志。
5. 选择 Google Cloud Storage 作为来源类型。
6. 选择 Symantec Event export 作为日志类型。
7. 点击获取服务账号。Google Security Operations 提供了一个唯一的服务账号，Google Security Operations 使用该账号来注入数据。
8. 配置服务账号对 Cloud Storage 对象的访问权限。如需了解详情，请参阅向 Google Security Operations 服务账号授予访问权限。
9. 点击下一步。
10. 配置以下必需的输入参数：
    • 存储桶 URI：指定存储桶 URI。
    • URI 是：指定 URI。
    • 来源删除选项：指定来源删除选项。
11. 点击下一步，然后点击提交。

如需详细了解 Google Security Operations Feed，请参阅 Google Security Operations Feed 文档。

如需了解每种 Feed 类型的要求，请参阅按类型划分的 Feed 配置。

如果您在创建 Feed 时遇到问题，请与 Google Security Operations 支持团队联系。

设置来自内容中心的 Feed

为以下字段指定值：

• 存储桶 URI：指定存储桶 URI。
• URI 是：指定 URI。
• 来源删除选项：指定来源删除选项。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资源命名空间：与 Feed 关联的命名空间。
• 提取标签：应用于相应 Feed 中所有事件的标签。

字段映射参考

此解析器可从 JSON 或 SYSLOG 格式的 Symantec 事件导出日志中提取字段，并将其标准化和映射到 UDM。它可处理各种日志结构，使用 grok 模式处理 SYSLOG，使用 JSON 解析处理 JSON 格式的日志，并将字段映射到 principal、target、network 和 security_result 等 UDM 实体。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。