Collecter les journaux de messagerie Mimecast

Ce document explique comment collecter les journaux Mimecast Secure Email Gateway en configurant un flux Google Security Operations.

Pour en savoir plus, consultez Ingestion de données dans Google Security Operations.

Un libellé d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion MIMECAST_MAIL.

Configurer Mimecast Secure Email Gateway

1. Activez la journalisation pour le compte de connexion.
2. Créez l'application d'API.
3. Obtenez l'ID application et la clé de l'application.

Activer la journalisation pour le compte de connexion

1. Connectez-vous à la console Mimecast Administration.
2. Dans le menu Compte, cliquez sur Paramètres du compte.
3. Développez Journalisation améliorée.
4. Sélectionnez les types de journaux à activer :
   • Entrants : enregistre les messages provenant d'expéditeurs externes et destinés à des destinataires internes.
   • Sortants : enregistre les messages envoyés par des expéditeurs internes à des destinataires externes.
   • Interne : enregistre les messages dans les domaines internes.
5. Cliquez sur Enregistrer pour appliquer les modifications.

Créer l'application API

1. Connectez-vous à la console Mimecast Administration.
2. Cliquez sur Ajouter une application API.
3. Saisissez les informations suivantes :
   1. Nom de l'application.
   2. Description de l'application.
   3. Catégorie : saisissez l'une des catégories suivantes :
   • Intégration SIEM : permet d'analyser en temps réel les alertes de sécurité générées par l'application.
   • Commandes et provisionnement MSP : disponible pour certains partenaires afin de gérer les commandes dans le portail MSP.
   • E-mails / Archivage : fait référence aux messages et alertes stockés dans Mimecast.
   • Business Intelligence : permet à l'infrastructure et aux outils de l'application d'accéder aux informations et de les analyser pour améliorer et optimiser les décisions et les performances.
   • Automatisation des processus : permet d'automatiser les processus métier.
   • Autre : si l'application ne correspond à aucune autre catégorie.
4. Cliquez sur Suivant.
5. Spécifiez les valeurs des paramètres d'entrée suivants :
   • Configuration de l'en-tête HTTP d'authentification : saisissez les informations d'authentification au format suivant : secret_key:{Access Secret}
access_key:{Access key}
app_id:{Application ID}
app_key:{application key}
   • Nom d'hôte de l'API : nom de domaine complet de votre point de terminaison de l'API Mimecast. Le format habituel est xx-api.mimecast.com. Si aucune valeur n'est fournie, elle sera spécifique à la région aux États-Unis et en Europe. Ce champ est obligatoire pour les autres régions.
   • Espace de noms de l'élément : espace de noms de l'élément.
   • Libellés d'ingestion : libellé appliqué aux événements de ce flux.
6. Cliquez sur Suivant.
7. Vérifiez les informations affichées sur la page Récapitulatif.
8. Pour corriger les erreurs, procédez comme suit :
   • Cliquez sur les boutons Modifier à côté de Détails ou Paramètres.
   • Cliquez sur Suivant, puis revenez à la page Récapitulatif.

Obtenir l'ID et la clé de l'application

1. Cliquez sur Application, puis sur Services.
2. Cliquez sur Application API.
3. Sélectionnez l'application d'API créée.
4. Affichez les détails de la demande.

Créer une clé d'accès et une clé secrète à l'API

Pour savoir comment générer une clé d'accès et une clé secrète, consultez Créer une clé d'association d'utilisateur.

Configurer des flux

Pour configurer ce type de journal, procédez comme suit :

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Cliquez sur le pack de flux Mimecast.

4. Spécifiez les valeurs des champs suivants :

   • Type de source : API tierce (recommandé)
   • En-tête HTTP d'authentification : indiquez l'ID application, la clé d'accès, l'ID secret et la clé de l'application.
   • Nom d'hôte de l'API : spécifiez le nom de domaine de votre hôte Mimecast.

   Options avancées

   • Nom du flux : valeur préremplie qui identifie le flux.
   • Espace de noms de l'élément : espace de noms associé au flux.
   • Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

5. Cliquez sur Créer un flux.

Pour en savoir plus sur la configuration de plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer des flux par produit.

Référence du mappage de champs

Ce parseur extrait les paires clé/valeur des journaux du serveur de messagerie Mimecast, catégorise l'étape de l'entrée de journal (REÇU, TRAITEMENT ou LIVRAISON) et mappe les champs extraits à l'UDM. Il effectue également une logique spécifique pour gérer les champs liés à la sécurité, en déterminant l'action, la catégorie, la gravité et les détails associés du résultat de sécurité en fonction de valeurs telles que Act, RejType, SpamScore et Virus.

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.