收集 Check Point SmartDefense 記錄

剖析器版本：18.0

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane 代理程式，將 Check Point SmartDefense 記錄擷取至 Google Security Operations。

剖析器會從 Check Point SmartDefense syslog 格式的記錄檔中擷取欄位。它會使用 grok 和/或 kv 剖析記錄訊息，然後將這些值對應至統合式資料模型 (UDM)。此外，也會為事件來源和類型設定預設中繼資料值。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
搭載 systemd 的 Windows 2016 以上版本或 Linux 主機
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
Check Point SmartDefense 管理控制台或設備的特殊存取權

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

存取設定檔：
- 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄，或 Windows 的安裝目錄。
- 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

按照下列方式編輯 config.yaml 檔案：

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'CHECKPOINT_SMARTDEFENSE'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

視基礎架構需求，替換通訊埠和 IP 位址。
將 <CUSTOMER_ID> 替換為實際的客戶 ID。
將 /path/to/ingestion-authentication-file.json 更新為您在步驟 1 中儲存驗證檔案的檔案路徑。

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
```
sudo systemctl restart observiq-otel-collector
```
如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」主控台，或輸入下列指令：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

在 Check Point SmartDefense 上設定 Syslog 轉送

步驟 1：在 SmartConsole 中建立記錄匯出工具/SIEM 物件

登入 Check Point SmartConsole。
依序前往「物件」>「更多物件類型」>「伺服器」>「記錄匯出工具/SIEM」。
按一下「新增」，建立新的記錄匯出工具物件。
請提供下列設定詳細資料：
- 物件名稱：輸入描述性名稱 (例如 Google SecOps Bindplane)。
- Export Configuration：選取「Enabled」。
- 目標伺服器：輸入 Bindplane 代理程式 IP 位址。
- 「目標通訊埠」：輸入 514 (或您設定的 Bindplane 代理程式通訊埠編號)。
- 「通訊協定」：選取「UDP」。
前往「資料操作」頁面。
請提供下列設定詳細資料：
- 格式：選取「通用事件格式 (CEF)」。
- 時區：選取世界標準時間時區，確保系統間的時區一致。
按一下「確定」儲存設定。

步驟 2：設定管理伺服器或記錄伺服器

在 SmartConsole 中，前往「Gateways & Servers」(閘道和伺服器)。
開啟「管理伺服器」或「專用記錄伺服器/SmartEvent 伺服器」物件。
依序前往「記錄」>「匯出」。
按一下「+」，然後選取您先前設定的記錄匯出工具/SIEM 物件。
按一下 [確定]。

步驟 3：安裝資料庫政策

依序點選頂端選單的「安裝」>「安裝資料庫」。
選取「所有物件」。
按一下 [安裝]。

步驟 4：驗證記錄檔匯出設定

連線至管理伺服器/記錄伺服器的指令列。
登入專家模式。
執行下列指令來驗證設定：
```
cp_log_export show
```
如要視需要重新啟動記錄匯出工具，請按照下列步驟操作：
```
cp_log_export restart
```

UDM 對應表

記錄欄位	UDM 對應	邏輯
`message`	`about`	已對應：`CEF:` → `about`
`deviceNtDomain`	`about.administrative_domain`	已重新命名/對應
`deviceExternalId`	`about.asset.asset_id`	直接對應
`device_product`	`about.asset.asset_id`	直接對應
`device_vendor`	`about.asset.asset_id`	直接對應
`fileHash`	`about.file.full_path`	直接對應
`filePath`	`about.file.full_path`	已重新命名/對應
`_hash`	`about.file.sha256`	已重新命名/對應
`fileHash`	`about.file.sha256`	已重新命名/對應
`fsize`	`about.file.size`	已重新命名/對應
`dvchost`	`about.hostname`	已重新命名/對應
`ips`	`about.ip`	已合併
`message`	`about.ip`	已對應：`CEF:` → `ips`
`dvc_mac`	`about.mac`	已對應：`slot` → `mac_address`
`dvcmac`	`about.mac`	已合併
`mac_address`	`about.mac`	已合併
`message`	`about.mac`	已對應：`CEF:` → `mac_address`、`CEF:` → `dvcmac`
`deviceTranslatedAddress`	`about.nat_ip`	已合併
`message`	`about.nat_ip`	已對應：`CEF:` → `deviceTranslatedAddress`
`Emne`	`about.process.command_line`	直接對應
`Path`	`about.process.command_line`	直接對應
`Subject`	`about.process.command_line`	直接對應
`deviceProcessName`	`about.process.command_line`	已重新命名/對應
`dvcpid`	`about.process.pid`	已重新命名/對應
`message`	`about.resource.attribute.permissions`	已對應：`CEF:` → `permissions`
`permissions`	`about.resource.attribute.permissions`	已合併
`additional_cfp1`	`additional.fields`	已合併
`additional_cfp2`	`additional.fields`	已合併
`additional_cfp3`	`additional.fields`	已合併
`additional_cfp4`	`additional.fields`	已合併
`additional_cn1`	`additional.fields`	已合併
`additional_cn2`	`additional.fields`	已合併
`additional_cn3`	`additional.fields`	已合併
`additional_cs1`	`additional.fields`	已合併
`additional_cs2`	`additional.fields`	已合併
`additional_cs3`	`additional.fields`	已合併
`additional_cs4`	`additional.fields`	已合併
`additional_cs5`	`additional.fields`	已合併
`additional_cs6`	`additional.fields`	已合併
`additional_cs7`	`additional.fields`	已合併
`additional_devicePayloadId`	`additional.fields`	已合併
`additional_eventId`	`additional.fields`	已合併
`additional_flexString1`	`additional.fields`	已合併
`additional_fname`	`additional.fields`	已合併
`cs2`	`additional.fields`	已對應：`arc_test` → `additional_cs2`
`cs5_label`	`additional.fields`	已合併
`description_url_label`	`additional.fields`	已合併
`http_host_label`	`additional.fields`	已合併
`log_id_field`	`additional.fields`	已合併
`message`	`additional.fields`	對應值 (共 27 個，例如 `CEF:` → `sequencenum_label`、`CEF:` → `additional_eventId`、`...
`originsicname_field`	`additional.fields`	已合併
`reject_id_kid_field`	`additional.fields`	已合併
`sequencenum_label`	`additional.fields`	已合併
`ser_agent_kid_field`	`additional.fields`	已合併
`version_field`	`additional.fields`	已合併
`message`	`extensions.vulns.vulnerabilities`	已對應：`CEF:` → `v`
`v`	`extensions.vulns.vulnerabilities`	已合併
`int`	`intermediary`	已合併
`message`	`intermediary`	已對應：`CEF:` → `int`
`msg`	`metadata.description`	直接對應
`Generated`	`metadata.event_timestamp`	已剖析為 `yyyy-MM-ddTHH:mm:ss`
`Received`	`metadata.event_timestamp`	已剖析為 `yyyy-MM-ddTHH:mm:ss`
`lastupdatetime`	`metadata.event_timestamp`	已剖析為 `UNIX`
`rt`	`metadata.event_timestamp`	已剖析為 `yyyy-MM-ddTHH:mm:ssZ`
`event_name`	`metadata.event_type`	已對應：`"LogSpyware","LogPredictiveMachineLearning"` → `SCAN_UNCATEGORIZED`
`message`	`metadata.event_type`	已對應：`CEF:` → `PROCESS_UNCATEGORIZED`、`CEF:` → `SCAN_UNCATEGORIZED`、`CEF:` → `NETWORK_C...
`principal_machine_id_present`	`metadata.event_type`	已對應：`true` → `NETWORK_CONNECTION`
`device_event_class_id`	`metadata.product_event_type`	直接對應
`event_name`	`metadata.product_event_type`	直接對應
`externalId`	`metadata.product_log_id`	直接對應
`loguid`	`metadata.product_log_id`	直接對應
`device_product`	`metadata.product_name`	直接對應
`device_version`	`metadata.product_version`	直接對應
`device_vendor`	`metadata.vendor_name`	已重新命名/對應
`app_protocol_output`	`network.application_protocol`	直接對應
`deviceDirection`	`network.direction`	已對應：`0` → `INBOUND`、`1` → `OUTBOUND`
`message`	`network.direction`	已對應：`CEF:` → `INBOUND`、`CEF:` → `OUTBOUND`
`requestMethod`	`network.http.method`	已重新命名/對應
`requestClientApplication`	`network.http.user_agent`	已重新命名/對應
`user_agent`	`network.http.user_agent`	直接對應
`ip_protocol_out`	`network.ip_protocol`	直接對應
`in`	`network.received_bytes`	已重新命名/對應
`out`	`network.sent_bytes`	已重新命名/對應
`session_id`	`network.session_id`	直接對應
`sntdom`	`principal.administrative_domain`	已重新命名/對應
`sourceServiceName`	`principal.application`	已重新命名/對應
`Group_name`	`principal.group.group_display_name`	直接對應
`Gruppenavn`	`principal.group.group_display_name`	直接對應
`Device_name`	`principal.hostname`	直接對應
`Enhetsnavn`	`principal.hostname`	直接對應
`shost`	`principal.hostname`	已重新命名/對應
`ip_proxy`	`principal.ip`	已合併
`message`	`principal.ip`	對應：`CEF:` → `principal_ip`、`CEF:` → `shost`、`CEF:` → `ip_proxy`
`principal_ip`	`principal.ip`	已合併
`shost`	`principal.ip`	已合併
`mac`	`principal.mac`	已合併
`message`	`principal.mac`	已對應：`CEF:` → `mac`
`message`	`principal.nat_ip`	已對應：`CEF:` → `sourceTranslatedAddress`
`sourceTranslatedAddress`	`principal.nat_ip`	已合併
`sourceTranslatedPort`	`principal.nat_port`	已重新命名/對應
`spt`	`principal.port`	已重新命名/對應
`sproc`	`principal.process.command_line`	已重新命名/對應
`spid`	`principal.process.pid`	已重新命名/對應
`message`	`principal.user.attribute.roles`	已對應：`CEF:` → `principal_role`
`principal_role`	`principal.user.attribute.roles`	已合併
`suser`	`principal.user.user_display_name`	直接對應
`suid`	`principal.user.userid`	已重新命名/對應
`message`	`security_result`	已對應：`CEF:` → `security_result`
`_action`	`security_result.action`	已合併
`act`	`security_result.action`	已對應：`accept` → `_action`、`deny` → `_action`
`message`	`security_result.action`	已對應：`CEF:` → `_action`
`Action_Taken`	`security_result.action_details`	直接對應
`act`	`security_result.action_details`	直接對應
`cat`	`security_result.category_details`	已合併
`message`	`security_result.category_details`	已對應：`CEF:` → `cat`
`Scan_Type`	`security_result.description`	直接對應
`Type`	`security_result.description`	直接對應
`msg_data_2`	`security_result.description`	直接對應
`fn1`	`security_result.detection_fields`	已合併
`fn2`	`security_result.detection_fields`	已合併
`fs2`	`security_result.detection_fields`	已合併
`ifname_label`	`security_result.detection_fields`	已合併
`infection_channel_label`	`security_result.detection_fields`	已合併
`layer_name_label`	`security_result.detection_fields`	已合併
`layer_uuid_label`	`security_result.detection_fields`	已合併
`message`	`security_result.detection_fields`	對應值 (共 19 個，例如 `CEF:` → `mitre_execution_label`、`CEF:` → `ifname_label`、`CE...
`mitre_discovery_label`	`security_result.detection_fields`	已合併
`mitre_execution_label`	`security_result.detection_fields`	已合併
`operasjon_label`	`security_result.detection_fields`	已合併
`operation_label`	`security_result.detection_fields`	已合併
`permission_label`	`security_result.detection_fields`	已合併
`policy_label`	`security_result.detection_fields`	已合併
`policy_time_label`	`security_result.detection_fields`	已合併
`smartdefense_profile_label`	`security_result.detection_fields`	已合併
`spyware_Grayware_Type_label`	`security_result.detection_fields`	已合併
`tags_label`	`security_result.detection_fields`	已合併
`threat_probability_label`	`security_result.detection_fields`	已合併
`tillatelse_label`	`security_result.detection_fields`	已合併
`rule_uid`	`security_result.rule_id`	直接對應
`mwProfile`	`security_result.rule_name`	直接對應
`rule_name`	`security_result.rule_name`	直接對應
`message`	`security_result.severity`	已對應：`CEF:` → `LOW`、`CEF:` → `MEDIUM`、`CEF:` → `HIGH`、`CEF:` → `CRITICAL`
`severity`	`security_result.severity`	對應：`"0", "1", "2", "3", "LOW"` → `LOW`、`"4", "5", "6", "MEDIUM", "SUBSTANTIAL", "INFO"...
`Result`	`security_result.summary`	直接對應
`appcategory`	`security_result.summary`	直接對應
`reason`	`security_result.summary`	已重新命名/對應
`Spyware`	`security_result.threat_name`	直接對應
`Unknown_Threat`	`security_result.threat_name`	直接對應
`Virus_Malware_Name`	`security_result.threat_name`	直接對應
`oldFilePath`	`src.file.full_path`	已重新命名/對應
`oldFileSize`	`src.file.size`	已重新命名/對應
`message`	`src.resource.attribute.permissions`	已對應：`CEF:` → `old_permissions`
`old_permissions`	`src.resource.attribute.permissions`	已合併
`dntdom`	`target.administrative_domain`	已重新命名/對應
`destinationServiceName`	`target.application`	已重新命名/對應
`temp_dhost`	`target.hostname`	直接對應
`IPv6_Address`	`target.ip`	已合併
`dst_ip`	`target.ip`	已合併
`ipv6`	`target.ip`	已對應：`-` → `IPv6_Address`
`message`	`target.ip`	已對應：`CEF:` → `dst_ip`、`CEF:` → `IPv6_Address`
`mac_address`	`target.mac`	已合併
`message`	`target.mac`	已對應：`CEF:` → `mac_address`
`destination_translated_address`	`target.nat_ip`	已合併
`message`	`target.nat_ip`	已對應：`CEF:` → `destination_translated_address`
`destinationTranslatedPort`	`target.nat_port`	已重新命名/對應
`dpt`	`target.port`	已重新命名/對應
`dproc`	`target.process.command_line`	已重新命名/對應
`File_name`	`target.process.file.full_path`	直接對應
`Infected_Resource`	`target.process.file.full_path`	直接對應
`Object`	`target.process.file.full_path`	直接對應
`Objekt`	`target.process.file.full_path`	直接對應
`dpid`	`target.process.pid`	已重新命名/對應
`message`	`target.resource.attribute.labels`	已對應：`CEF:` → `resource_Type_label`
`resource_Type_label`	`target.resource.attribute.labels`	已合併
`request`	`target.url`	直接對應
`message`	`target.user.attribute.roles`	已對應：`CEF:` → `target_role`
`target_role`	`target.user.attribute.roles`	已合併
`CustomerName`	`target.user.user_display_name`	直接對應
`temp_duser`	`target.user.user_display_name`	直接對應
`Bruker`	`target.user.userid`	直接對應
`User_value`	`target.user.userid`	直接對應
`temp_duid`	`target.user.userid`	直接對應
不適用	`metadata.event_type`	常數：`PROCESS_UNCATEGORIZED`
不適用	`network.direction`	常數：`INBOUND`
不適用	`security_result.severity`	常數：`LOW`
`action`	`event.idm.read_only_udm.security_result.action`	從變更記錄對應
`ifdir`	`event.idm.read_only_udm.network.direction`	從變更記錄對應
`severity`	`event.idm.read_only_udm.security_result.severity`	從變更記錄對應
`timestamp`	`event.idm.read_only_udm.metadata.event_timestamp`	從變更記錄對應
`vendor_name`	`event.idm.read_only_udm.metadata.vendor_name`	從變更記錄對應
`src_host`	`event.idm.read_only_udm.principal.hostname` 和 `event.idm.read_only_udm.principal.asset.hostname`	從變更記錄對應
`smartdefense_profile`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`layer_uuid`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`layer_name`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`precise_error`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`suppressed_logs`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`flags`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`originsicname`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`sequencenum`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`time`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`version`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`description_url`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`log_id`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`performance_impact`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`reject_id_kid`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`received_bytes`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`sent_bytes`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`ser_agent_kid`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`packet_info`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`ProductFamily`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`malware_rule_id`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`tags`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`policy_name`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`__policy_id_tag.product`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`db_tag`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`mgmt`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`date`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`ifname`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`policy`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`policy_time`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`protection_id`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`protection_type`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`rule`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`sub_policy_name`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`sub_policy_uid`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`action`	`event.idm.read_only_udm.security_result.action_details`	從變更記錄對應
`loguid`	`event.idm.read_only_udm.metadata.product_log_id`	從變更記錄對應
`attack`	`event.idm.read_only_udm.security_result.category_details`	從變更記錄對應
`attack_info`	`event.idm.read_only_udm.security_result.threat_name`	從變更記錄對應
`Attack Info`	`event.idm.read_only_udm.security_result.threat_name`	從變更記錄對應
`dst`	`event.idm.read_only_udm.target.ip` 和 `event.idm.read_only_udm.target.asset.ip`	從變更記錄對應
`lastupdatetime`	`event.idm.read_only_udm.security_result.last_updated_time`	從變更記錄對應
`protection_name`	`event.idm.read_only_udm.security_result.description`	從變更記錄對應
`reason`	`event.idm.read_only_udm.security_result.description`	從變更記錄對應
`src`	`event.idm.read_only_udm.principal.ip` 和 `event.idm.read_only_udm.principal.asset.ip`	從變更記錄對應
`proxy_src_ip`	`event.idm.read_only_udm.principal.nat_ip`	從變更記錄對應
`received_bytes`	`event.idm.read_only_udm.network.received_bytes`	從變更記錄對應
`resource`	`event.idm.read_only_udm.target.url`	從變更記錄對應
`rule_name`	`event.idm.read_only_udm.security_result.rule_name`	從變更記錄對應
`rule_uid`	`event.idm.read_only_udm.security_result.rule_id`	從變更記錄對應
`reject_id`	`event.idm.read_only_udm.security_result.rule_id`	從變更記錄對應
`s_port`	`event.idm.read_only_udm.principal.port`	從變更記錄對應
`sport_svc`	`event.idm.read_only_udm.principal.port`	從變更記錄對應
`sent_bytes`	`event.idm.read_only_udm.network.sent_bytes`	從變更記錄對應
`service`	`event.idm.read_only_udm.target.port`	從變更記錄對應
`svc`	`event.idm.read_only_udm.target.port`	從變更記錄對應
`service_id`	`event.idm.read_only_udm.network.application_protocol`	從變更記錄對應
`session_id`	`event.idm.read_only_udm.network.session_id`	從變更記錄對應
`web_client_type`	`event.idm.read_only_udm.network.http.user_agent`	從變更記錄對應
`web_client_type`	`event.idm.read_only_udm.network.http.parsed_user_agent`	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。