收集 Dope Security SWG 記錄

剖析器版本：1.0

本文說明如何使用 Amazon S3，將 Dope Security SWG 記錄擷取至 Google Security Operations。

Dope Security dope.swg 是以端點為基礎的安全網路閘道，可提供即時網頁篩選、惡意軟體防護和雲端應用程式控管功能。每個 dope.endpoint 每 15 分鐘會將網路交易記錄傳送至 dope.cloud，然後系統會自動將這些記錄匯出至 AWS S3 bucket，並以壓縮的 GZIP JSONL 格式整合至 SIEM。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• Dope Security dope.console 的特殊存取權
• AWS (S3、IAM) 的特殊存取權
• Dope Security 租戶必須與 S3 值區位於相同 AWS 區域 (請在「Settings」>「SIEM」頁面中驗證區域)

設定 Dope Security SIEM 整合

如要設定 Dope Security SIEM 整合，請按照下列步驟操作：

1. 前往 https://console.dope.security 登入 dope.console
2. 依序前往「設定」>「SIEM」>「SIEM 整合設定」。
3. 在「SIEM Type」(SIEM 類型) 清單中，選取「AWS S3」。

4. 記下頁面右側顯示的 AWS 區域 (例如 US-EAST-2)。

5. 請勿關閉這個頁面，因為設定 AWS S3 後，您將返回這個頁面完成設定。

為 Google SecOps 設定 AWS S3 值區和 IAM

1. 建立 Amazon S3 bucket。詳情請參閱「建立 bucket」一節。
2. 建立值區時，請確認「Region」(區域) 與 Dope Security SIEM Integration 頁面中顯示的區域相符 (例如「US East (Ohio) us-east-2」)。

3. 儲存 bucket 名稱，以供日後參考 (例如 chronicle-dope-swg-logs)。

4. 建立「使用者」。詳情請參閱「建立 IAM 使用者」。

5. 選取您建立的使用者。

6. 選取「安全憑證」分頁標籤。

7. 在「Access Keys」部分中，按一下「Create Access Key」。

8. 選取「第三方服務」做為「用途」。

9. 點選「下一步」。

10. 選用：新增說明標記。

11. 按一下「建立存取金鑰」。

12. 按一下「Download .csv file」(下載 .csv 檔案)，儲存「Access Key」(存取金鑰) 和「Secret Access Key」(私密存取金鑰)，以供日後參考。

13. 按一下 [完成]。

14. 選取「權限」分頁標籤。

15. 在「權限政策」部分中，按一下「新增權限」。

16. 選取「新增權限」。

17. 選取「直接附加政策」。

18. 搜尋「AmazonS3FullAccess」AmazonS3FullAccess政策。

19. 選取政策。

20. 點選「下一步」。

21. 按一下「Add permissions」。

設定 Dope Security Amazon S3 連線

1. 返回「Settings」(設定) >「SIEM」>「SIEM Integration Settings」(SIEM 整合設定) 頁面，網址為 dope.console。
2. 在「S3 Bucket Name」(S3 值區名稱) 欄位中，輸入 S3 值區的名稱 (例如 chronicle-dope-swg-logs)。
3. 在右側窗格中，您會看到「Bucket Policy」(Bucket 政策) 部分，其中包含預先產生的 JSON 政策。
4. 按一下政策 JSON 旁的「複製」，將其複製到剪貼簿。
5. 在新的瀏覽器分頁中前往 AWS S3 控制台。
6. 選取 S3 儲存貯體 (例如 chronicle-dope-swg-logs)。
7. 前往「權限」分頁標籤。
8. 向下捲動至「Bucket policy」(儲存空間政策) 部分。
9. 按一下 [編輯]。
10. 將從 dope.console 複製的政策 JSON 貼到「政策」文字區域。
11. 按一下 [儲存變更]。
12. 返回 dope.console 瀏覽器分頁。
13. 按一下「SIEM 整合設定」頁面底部的「同步」。
14. 等待同步完成。
15. 確認「S3 Bucket Name」(S3 值區名稱) 欄位旁顯示綠色勾號。

16. 確認頁面右上角顯示「上次同步」時間戳記。

在 Google SecOps 中設定動態饋給，擷取 Dope Security SWG 記錄

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 輸入專屬的動態饋給名稱 (例如 Dope Security SWG Logs)。
5. 選取「Amazon S3 V2」做為「來源類型」。
6. 選取「DOPE_SWG」做為「記錄類型」。
7. 依序點按「繼續」和「提交」。

8. 為下列欄位指定值：

   • S3 URI：s3://chronicle-dope-swg-logs/ (請替換為您的 bucket 名稱)
   • 來源刪除選項：根據偏好設定選取刪除選項
   • 檔案存在時間上限：包含在過去天數內修改的檔案 (預設為 180 天)
   • 存取金鑰 ID：具有 S3 值區存取權的使用者存取金鑰 (來自 AWS 設定的步驟 12)
   • 存取密鑰：可存取 S3 值區的使用者密鑰 (來自 AWS 設定的步驟 12)
   • 資產命名空間：資產命名空間
   • 擷取標籤：要套用至這個動態饋給事件的標籤

9. 依序點按「繼續」和「提交」。

記錄資料格式參考資料

Dope Security 會以 JSONL (JSON Lines) 格式匯出記錄，並採用 GZIP 壓縮。每個記錄項目都包含下列重要欄位：

如要查看完整的類別和判定對應關係，請參閱「Dope Security Category & Verdict Mappings」說明文件。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。