Questa pagina è stata tradotta dall'API Cloud Translation.

Raccogliere i log di Trellix DLP

Supportato in:

Google secops SIEM

Questo documento spiega come importare i log DLP (Data Loss Prevention) di Trellix (in precedenza McAfee) in Google Security Operations utilizzando Bindplane. Questo parser elabora i log McAfee DLP in formato CSV, trasformandoli in Unified Data Model (UDM). Pulisce l'input, analizza i dati CSV, mappa i campi in UDM, gestisce tipi ed gravità specifici di eventi DLP e arricchisce UDM con metadati aggiuntivi e dettagli dei risultati di sicurezza.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

Istanza Google SecOps
Windows 2016 o versioni successive oppure un host Linux con systemd
Se l'esecuzione avviene tramite un proxy, le porte del firewall sono aperte
Accesso privilegiato a McAfee EPO
L'estensione McAfee DLP Endpoint è installata e attiva

Recuperare il file di autenticazione importazione di Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Agenti di raccolta.
Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Profilo.
Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

Apri il prompt dei comandi o PowerShell come amministratore.

Esegui questo comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

Apri un terminale con privilegi di root o sudo.

Esegui questo comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

Accedi al file di configurazione:
- Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
- Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

Modifica il file config.yaml come segue:

receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'MCAFEE_DLP'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
Sostituisci <customer_id> con l'ID cliente effettivo.
Aggiorna /path/to/ingestion-authentication-file.json al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux, esegui questo comando:
```
sudo systemctl restart bindplane-agent
```
Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

Configurare il server Syslog in McAfee ePO

Accedi alla console McAfee ePO.
Vai a Menu > Configurazione > Server registrati.
Fai clic su Nuovo server > Server Syslog.
Fornisci i seguenti dettagli di configurazione:
- Nome: nome univoco per il server Syslog (ad esempio, Google SecOps).
- Indirizzo server: inserisci l'indirizzo IP dell'agente Bindplane.
- Porta: inserisci il numero di porta dell'agente Bindplane (il valore predefinito è 514).
- Protocollo: seleziona UDP o TCP (a seconda dell'installazione di Bindplane Agent).
- Formato: utilizza CSV o CEF.
Fai clic su Salva.

Configurare l'inoltro degli eventi DLP

Vai a Menu > Protezione dei dati > Gestore delle norme DLP.
Fai clic sulla scheda Regole di assegnazione delle norme DLP.
Modifica la regola che si applica ai sistemi di destinazione o creane una nuova.
Vai alla scheda Azioni della regola.
Seleziona la casella Registra nel server Syslog e seleziona il server Syslog che hai creato in precedenza.
Salva la regola.

Attiva l'inoltro degli incidenti DLP

Vai a Menu > Protezione dei dati > Gestore incidenti DLP.
Fai clic su Azioni relative all'incidente.
Crea o modifica un'azione da inoltrare al server syslog.
Assegna questa azione a una regola nelle norme DLP.

Esegui il deployment della policy

Vai a Struttura ad albero del sistema > seleziona il gruppo o il sistema che ti interessa.
Fai clic su Azioni > Agente > Riattiva agenti.
Seleziona Invia norme.
Fai clic su OK.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logic
`action`	`security_result.action_details`	Mappato direttamente dal campo `action`.
`action`	`security_result.action`	Derivato dal campo `action`. Se `action` è 1, il valore è BLOCK. Se `action` è 0, il valore è ALLOW. Se `action` è 6, l'azione è UNKNOWN_ACTION.
`agent_ver`	`metadata.product_version`	Mappato direttamente dal campo `agent_ver` (che proviene da `column8`).
`class_count`	`additional.fields[4].key`	Il valore è `ClassCount`.
`class_count`	`additional.fields[4].value.string_value`	Mappato direttamente dal campo `class_count`.
`class_display`	`additional.fields[5].key`	Il valore è `ClassDisplay`.
`class_display`	`additional.fields[5].value.string_value`	Mappato direttamente dal campo `class_display`.
`count`	`additional.fields[6].key`	Il valore è `Count`.
`count`	`additional.fields[6].value.string_value`	Mappato direttamente dal campo `count`.
`device_name`	`principal.hostname`	Mappato direttamente dal campo `device_name`.
`dst`	`target.hostname`	Mappato direttamente dal campo `dst` se `inc_type` è `10000`.
`dst`	`target.user.userid`	Mappato direttamente dal campo `dst` se `inc_type` non è `10000`.
`dst_app`	`target.application`	Mappato direttamente dal campo `dst_app`.
`dst_url`	`target.url`	Mappato direttamente dal campo `dst_url`.
`encrypt`	`security_result.detection_fields[1].key`	Il valore è `EncryptionProvider`.
`encrypt`	`security_result.detection_fields[1].value`	Mappato direttamente dal campo `encrypt`.
`evidence_count`	`additional.fields[2].key`	Il valore è `EvidenceCount`.
`evidence_count`	`additional.fields[2].value.string_value`	Mappato direttamente dal campo `evidence_count`.
`fail_reason`	`additional.fields[3].key`	Il valore è `FailReason`.
`fail_reason`	`additional.fields[3].value.string_value`	Mappato direttamente dal campo `fail_reason`.
`fail_reason`	`security_result.description`	Se `fail_reason` è `0`, il valore è `No Failure`. In caso contrario, il valore è `Failure Occurred`.
`file`	`target.file.full_path`	Mappato direttamente dal campo `file`.
`file_size`	`target.file.size`	Mappato direttamente dal campo `file_size`, convertito in un numero intero senza segno.
`group`	`principal.user.attribute.labels.key`	Il valore è `group`.
`group`	`principal.user.attribute.labels.value`	Mappato direttamente dal campo `group`.
`inc_id`	`metadata.product_log_id`	Mappato direttamente dal campo `inc_id` (che proviene da `column1`).
`inc_type`	`metadata.event_type`	Utilizzato nella logica condizionale per determinare il `metadata.event_type`. Per i dettagli, consulta la logica.
`inc_type`	`metadata.product_event_type`	Mappato direttamente dal campo `inc_type` (che proviene da `column2`).
`ip`	`principal.ip`	Indirizzo IP estratto dal campo `ip` utilizzando grok.
`local_date`	`metadata.event_timestamp`	Il timestamp del campo `local_date`, analizzato e convertito in secondi trascorsi da epoca.
`name`	`principal.user.user_display_name`	Mappato direttamente dal campo `name`. Se `inc_type` è in [`10000`,`10001`,`10002`,`40101`,`40400`,`40500`,`40700`] e `ip` è un IP valido, il valore è `SCAN_NETWORK`. Se `inc_type` è `40102` e `file` non è vuoto, il valore è `SCAN_FILE`. Se `inc_type` è in [`40301`,`40602`], il valore è `PROCESS_UNCATEGORIZED`. In caso contrario, il valore è `GENERIC_EVENT`. Valore hardcoded: `GCP_CLOUDAUDIT`. Valore hardcoded: `Mcafee DLP`. Valore hardcoded: `Mcafee`. Se `status_id` è in [`1`,`2`], il valore è `NEW`. Se `status_id` è in [`3`,`4`], il valore è `CLOSED`. Se `status_id` è in [`5`,`6`], il valore è `REVIEWED`. Il valore è `StatusId`. Il valore è `Resolution Id`. Il valore è `Expected Action`.
`process_name`	`target.process.file.full_path`	Mappato direttamente dal campo `process_name`.
`resolution_id`	`security_result.about.labels[0].value`	Mappato direttamente dal campo `resolution_id`.
`rule_name`	`security_result.rule_name`	Mappato direttamente dal campo `rule_name`.
`rule_set`	`security_result.rule_labels.key`	Il valore è `rule_set`.
`rule_set`	`security_result.rule_labels.value`	Mappato direttamente dal campo `rule_set`.
`sev`	`security_result.severity`	Derivato dal campo `sev`. Se `sev` è 1, è INFORMATIVO. Se `sev` è 2, si verifica un errore. Se `sev` è 3, è BASSO. Se `sev` è 4, è ALTO. Se `sev` è 5, è CRITICO.
`sev`	`security_result.severity_details`	Mappato direttamente dal campo `sev`.
`status_id`	`principal.labels.value`	Mappato direttamente dal campo `status_id`.
`total_count`	`additional.fields[1].key`	Il valore è `TotalCount`.
`total_count`	`additional.fields[1].value.string_value`	Mappato direttamente dal campo `total_count`.
`total_size`	`additional.fields[0].key`	Il valore è `TotalSize`.
`total_size`	`additional.fields[0].value.string_value`	Mappato direttamente dal campo `total_size`.
`usb_serial_number`	`security_result.detection_fields[0].key`	Il valore è `USBSerialNumber`.
`usb_serial_number`	`security_result.detection_fields[0].value`	Mappato direttamente dal campo `usb_serial_number`.
`user`	`principal.user.userid`	Mappato direttamente dal campo `user`.
`user_ou`	`principal.user.group_identifiers`	Mappato direttamente dal campo `user_ou`.
`volume_serial_number`	`security_result.detection_fields[2].key`	Il valore è `VolumeSerialNumber`.
`volume_serial_number`	`security_result.detection_fields[2].value`	Mappato direttamente dal campo `volume_serial_number`.
`expected_action`	`security_result.about.labels[1].value`	Mappato direttamente dal campo `expected_action`.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.