Recopila registros del IPS de Trellix

Compatible con:

En este documento, se explica cómo transferir registros del IPS (Intrusion Prevention System) Network Security Manager de Trellix (anteriormente, McAfee) a Google Security Operations con Bindplane. El analizador extrae datos de eventos de seguridad de los mensajes syslog del IPS de McAfee. Utiliza una serie de patrones de análisis para identificar y asignar campos como la IP de origen y destino, el puerto, el protocolo, los detalles del ataque y la gravedad, y estructura la información en el Modelo de datos unificado (UDM) de Google SecOps.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host de Linux con systemd
  • Si se ejecuta detrás de un proxy, los puertos de firewall están abiertos.
  • Acceso con privilegios al administrador de McAfee Network Security Platform

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Collection Agents.
  3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Profile.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta la guía de instalación.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'MCAFEE_IPS'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura el Syslog de McAfee Network Security Platform Manager

  1. Accede a la interfaz del Administrador de McAfee Network Security Platform.
  2. Haz clic en Configurar > Árbol de recursos > Configuración de IPS.
  3. Haz clic en la pestaña Notificación de alerta > pestaña Syslog.
  4. Proporciona los siguientes detalles de configuración:
    • Selecciona Sí para habilitar las notificaciones de syslog para McAfee Network Security Platform.
    • Dominio del administrador: Selecciona la casilla de verificación Actual para enviar notificaciones de syslog sobre las alertas del dominio actual.
    • Nombre del servidor o dirección IP: Ingresa la dirección IP del agente de Bindplane.
    • Puerto UDP: Ingresa el puerto 514.
    • Facility: Selecciona el valor de la instalación de syslog local0.
    • Gravedad: Selecciona informativa.
    • Send Notification If: Selecciona all las opciones para recibir siempre el registro del sistema.
    • Notificación de alerta de cuarentena de IPS: Selecciona No.
  5. Haz clic en Guardar.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
flecha Este campo se usa en el analizador, pero no se asigna al UDM final.
datos Este campo se usa en el analizador, pero no se asigna al UDM final.
instalación Este campo se usa en el analizador, pero no se asigna al UDM final.
forwarderName Este campo se usa en el analizador, pero no se asigna al UDM final.
mensaje Este campo se usa en el analizador, pero no se asigna al UDM final.
principal_ip read_only_udm.principal.ip Se extrae del campo message con un patrón de Grok.
principal_port read_only_udm.principal.port Se extrae del campo message con un patrón de Grok.
protocolo Este campo se usa en el analizador, pero no se asigna al UDM final.
Resultado Este campo se usa en el analizador, pero no se asigna al UDM final.
scanHost read_only_udm.intermediary.hostname Se extrae del campo message con un patrón de Grok.
gravedad, Este campo se usa en el analizador, pero no se asigna al UDM final.
sysdate Este campo se usa en el analizador, pero no se asigna al UDM final.
target_ip read_only_udm.target.ip Se extrae del campo message con un patrón de Grok.
target_port read_only_udm.target.port Se extrae del campo message con un patrón de Grok.
is_alert Se establece en true si el campo forwarderName contiene la palabra Alert.
is_significant Se establece en true si el campo severity es Medium o High.
read_only_udm.metadata.event_timestamp Se copió del campo collection_time.
read_only_udm.metadata.event_type Se configura de forma predeterminada en NETWORK_CONNECTION. Se cambió a GENERIC_EVENT si no se encuentran direcciones IP para el principal y el objetivo.
read_only_udm.metadata.log_type Se define en MCAFEE_IPS.
read_only_udm.metadata.product_name Se define en MCafee IPS.
read_only_udm.metadata.vendor_name Se define en MCafee.
read_only_udm.network.application_protocol Se establece en HTTP si el campo protocol es HTTP. Se establece en HTTPS si el campo protocol es SSL.
read_only_udm.network.direction Se establece en INBOUND si el campo conn_direction extraído es Inbound. Se establece en OUTBOUND si el campo conn_direction extraído es Outbound.
read_only_udm.network.ip_protocol Se establece en TCP si el campo protocol es HTTP, SSL o TCP. Se establece en ICMP si el campo protocol es ICMP. Se establece en UDP si el campo protocol es SNMP y el campo alert_message contiene Empty UDP Attack DoS.
read_only_udm.security_result.action Se establece en BLOCK si el campo result es Attack Blocked, Attack Failed o Attack SmartBlocked. Se establece en ALLOW si el campo result es Attack Successful. Se establece en UNKNOWN_ACTION si el campo result es Inconclusive. Se establece en QUARANTINE si el campo alert_message coincide con la expresión regular File Submitted .*? for Analysis.
read_only_udm.security_result.category Se categoriza según el campo alert_message. Si el campo result es n/a, se establece en NETWORK_SUSPICIOUS.
read_only_udm.security_result.description El campo alert_message concatenado con el valor de la variable _result, que se establece en (result) si el campo result no es n/a.
read_only_udm.security_result.severity Se asignó desde el campo severity: Informational a INFORMATIONAL, Low a LOW, Medium a MEDIUM, High a HIGH.
read_only_udm.security_result.summary Valor de la variable event_description, que se establece en Detected {attack type} según el campo message.
timestamp Se copió del campo collection_time.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.