收集 Dope Security SWG 記錄

剖析器版本：1.0

本文說明如何使用 Amazon S3，將 Dope Security SWG 記錄檔擷取至 Google Security Operations。

Dope Security dope.swg 是以端點為基礎的安全網路閘道，可提供即時網頁篩選、惡意軟體防護和雲端應用程式控管功能。每隔 15 分鐘，每個 dope.endpoint 就會將網路交易記錄傳送至 dope.cloud，然後系統會以壓縮的 GZIP JSONL 格式，自動將這些記錄匯出至 AWS S3 bucket，以供 SIEM 整合。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• Dope Security dope.console 的特殊存取權
• AWS (S3、IAM) 的特殊存取權
• Dope Security 租戶必須與 S3 bucket 位於相同 AWS 區域 (請在「Settings」> SIEM」頁面中確認區域)

設定 Dope Security SIEM 整合

如要設定 Dope Security SIEM 整合，請按照下列步驟操作：

1. 前往 https://console.dope.security 登入 dope.console
2. 依序前往「設定」>「SIEM」>「SIEM 整合設定」。
3. 在「SIEM Type」(SIEM 類型) 清單中，選取「AWS S3」。

4. 請記下頁面右側顯示的 AWS 區域 (例如 US-EAST-2)。

5. 請勿關閉這個頁面，因為設定 AWS S3 後，您將返回這裡完成設定。

為 Google SecOps 設定 AWS S3 bucket 和 IAM

1. 建立 Amazon S3 儲存空間。詳情請參閱「建立 bucket」。
2. 建立 bucket 時，請確認「Region」與 Dope Security SIEM 整合頁面中顯示的區域一致 (例如「US East (Ohio) us-east-2」)。

3. 儲存 bucket 名稱，以供日後參考 (例如 chronicle-dope-swg-logs)。

4. 建立「使用者」。詳情請參閱「建立 IAM 使用者」。

5. 選取您建立的「使用者」。

6. 選取「安全憑證」分頁標籤。

7. 在「存取金鑰」部分，按一下「建立存取金鑰」。

8. 選取「第三方服務」做為「用途」。

9. 點選「下一步」。

10. 選用：新增說明標記。

11. 按一下「建立存取金鑰」。

12. 按一下「下載 .csv 檔案」，儲存「存取金鑰」和「私密存取金鑰」，以供日後參考。

13. 按一下「完成」。

14. 選取「權限」分頁標籤。

15. 在「權限政策」部分，按一下「新增權限」。

16. 選取「新增權限」。

17. 選取「直接附加政策」。

18. 搜尋 AmazonS3FullAccess 政策。

19. 選取政策。

20. 點選「下一步」。

21. 按一下「Add permissions」。

設定 Dope Security Amazon S3 連線

1. 返回 「Settings > SIEM > SIEM Integration Settings」(設定 > SIEM > SIEM 整合設定) 頁面的 dope.console。
2. 在「S3 Bucket Name」(S3 bucket 名稱) 欄位中，輸入 S3 bucket 的名稱 (例如 chronicle-dope-swg-logs)。
3. 右側窗格會顯示「Bucket Policy」部分，其中包含預先產生的 JSON 政策。
4. 按一下政策 JSON 旁的「複製」，將其複製到剪貼簿。
5. 在新的瀏覽器分頁中前往 AWS S3 控制台。
6. 選取 S3 儲存貯體 (例如 chronicle-dope-swg-logs)。
7. 前往「權限」分頁標籤。
8. 向下捲動至「Bucket policy」部分。
9. 按一下 [編輯]。
10. 將從 dope.console 複製的政策 JSON 貼到「政策」文字區域。
11. 按一下 [儲存變更]。
12. 返回 dope.console 瀏覽器分頁。
13. 按一下「SIEM 整合設定」頁面底部的「同步」。
14. 等待同步作業完成。
15. 確認「S3 Bucket Name」(S3 值區名稱) 欄位旁顯示綠色勾號。

16. 確認頁面右上角顯示「上次同步」時間戳記。

在 Google SecOps 中設定動態饋給，擷取 Dope Security SWG 記錄

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態饋給」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 輸入資訊提供的專屬名稱 (例如 Dope Security SWG Logs)。
5. 選取「Amazon S3 V2」做為「來源類型」。
6. 選取「DOPE_SWG」做為「記錄類型」。
7. 依序點按「繼續」和「提交」。

8. 為下列欄位指定值：

   • S3 URI：s3://chronicle-dope-swg-logs/ (請替換成你的 bucket 名稱)
   • 來源刪除選項：根據偏好選取刪除選項
   • 檔案存在時間上限：納入在過去天數內修改的檔案 (預設為 180 天)
   • 存取金鑰 ID：有權存取 S3 bucket 的使用者存取金鑰 (來自 AWS 設定的步驟 12)
   • 私密存取金鑰：可存取 S3 bucket 的使用者私密金鑰 (來自 AWS 設定的步驟 12)
   • 資產命名空間：資產命名空間
   • 擷取標籤：要套用至這個動態饋給事件的標籤

9. 依序點按「繼續」和「提交」。

記錄資料格式參考資料

Dope Security 會以 JSONL (JSON Lines) 格式匯出記錄，並採用 GZIP 壓縮。每個記錄項目都包含下列重要欄位：

如要查看完整的類別和判定對應關係，請參閱 Dope Security 類別和判定對應關係說明文件。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。