收集 Symantec Event Export 記錄

本文說明如何設定 Google Security Operations 資訊提供，以收集 Symantec Event Export 記錄。

詳情請參閱「將資料擷取至 Google Security Operations」。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文中的資訊適用於具有下列擷取標籤的剖析器：SYMANTEC_EVENT_EXPORT 和 SEP。

設定 Symantec 事件匯出功能

1. 登入 SEP 15/14.2 控制台。
2. 選取「整合」。
3. 按一下「Client Application」，然後複製「Customer ID」和「Domain ID」，這些 ID 會在您建立 Google Security Operations 資訊提供時使用。
4. 按一下「+ 新增」，然後提供應用程式名稱。
5. 按一下「新增」。
6. 前往「詳細資料」頁面，然後執行下列動作：
   • 在「裝置群組管理」部分中，選取「查看」。
   • 在「快訊和事件規則管理」部分，選取「查看」。
   • 在「調查事件」部分，選取「查看」。
7. 按一下 [儲存]。
8. 按一下應用程式名稱結尾的選單 (垂直刪節號)，然後按一下「用戶端密鑰」。
9. 複製用戶端 ID 和用戶端密鑰，設定 Google Security Operations 資訊提供時需要這些資訊。

設定動態饋給

如要設定動態消息，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態消息」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中，輸入動態饋給的名稱，例如「Symantec Event Export Logs」。
5. 選取「Google Cloud Storage V2」做為「來源類型」。
6. 選取「Symantec Event export」(Symantec 事件匯出) 做為「記錄類型」。
7. 按一下「取得服務帳戶」。Google Security Operations 會提供專屬服務帳戶，供 Google Security Operations 用於擷取資料。
8. 設定服務帳戶存取 Cloud Storage 物件的權限。詳情請參閱「授予 Google Security Operations 服務帳戶存取權」。
9. 點選「下一步」。
10. 設定下列必要輸入參數：
    • 儲存空間 bucket URI：指定儲存空間 bucket URI。
    • 來源刪除選項：指定來源刪除選項。
    • 檔案存在時間上限：包含在過去天數內修改的檔案。預設值為 180 天。
11. 依序點按「繼續」和「提交」。

如要進一步瞭解 Google Security Operations 動態消息，請參閱 Google Security Operations 動態消息說明文件。

如要瞭解各動態饋給類型的規定，請參閱「依類型設定動態饋給」。

如果在建立動態饋給時遇到問題，請與 Google Security Operations 支援團隊聯絡。

欄位對應參考資料

這個剖析器會從 JSON 或 SYSLOG 格式的 Symantec 事件匯出記錄中擷取欄位，並將這些欄位正規化及對應至 UDM。它會處理各種記錄結構，針對 SYSLOG 使用 grok 模式，針對 JSON 格式的記錄使用 JSON 解析，並將欄位對應至 UDM 實體，例如 principal、target、network 和 security_result。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。