收集 Trellix（原为 FireEye）提醒日志

解析器版本：10.0

支持的平台：

本文档介绍了如何使用 Bindplane 代理将 Trellix（以前称为 FireEye）提醒日志注入到 Google Security Operations。

Trellix 是一个网络安全平台，可检测高级威胁、恶意软件和零日漏洞。它会以 CEF、JSON 和 XML 格式生成检测到的威胁、恶意活动和安全事件的提醒日志。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例
  • Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
  • Bindplane 代理与 Trellix 设备之间的网络连接
  • 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开
  • 对 Trellix 设备具有管理员权限的特权访问权限

获取 Google SecOps 注入身份验证文件

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。

  3. 下载数据注入身份验证文件。将该文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 配置文件。

  3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sc query observiq-otel-collector

    该服务应显示为 正在运行。

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sudo systemctl status observiq-otel-collector

    该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

  • Linux：

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

  • 将 config.yaml 的全部内容替换为以下配置：

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/fireeye_alert:
        compression: gzip
        creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: FIREEYE_ALERT
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/fireeye_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/fireeye_alert

配置参数

替换以下占位符：

接收器配置：

  • tcplog：基于协议的接收器类型：
    • udplog（适用于 UDP syslog）
    • tcplog（适用于 TCP syslog）
  • 0.0.0.0：要监听的 IP 地址：
    • 0.0.0.0 侦听所有接口（推荐）
    • 在某个接口上监听的特定 IP 地址
  • 514：要监听的端口号（例如 514、1514、6514）

导出器配置：

  • fireeye_alert：导出器的描述性名称
  • creds_file_path：提取身份验证文件的完整路径：
    • Linux：/opt/observiq-otel-collector/ingestion-auth.json
    • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <customer_id>：上一步中的客户 ID
  • endpoint：区域端点网址：
    • 美国：malachiteingestion-pa.googleapis.com
    • 欧洲：europe-malachiteingestion-pa.googleapis.com
    • 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
    • 如需查看完整列表，请参阅区域级端点
  • FIREEYE_ALERT：日志类型，与在 Google SecOps 中显示的完全一致
  • ingestion_labels：YAML 格式的可选标签（例如 env: production）

流水线配置：

  • fireeye_to_chronicle：流水线的描述性名称

保存配置文件

  • 修改后，保存文件：
    • Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

  • 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

    sudo systemctl restart observiq-otel-collector

    1. 验证服务是否正在运行：

      ```bash
sudo systemctl status observiq-otel-collector
```

    2. 检查日志是否存在错误：

      ```bash
sudo journalctl -u observiq-otel-collector -f
```

  • 如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：

    • 以管理员身份运行命令提示符或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 服务控制台：

      1. 按 Win+R，输入 services.msc，然后按 Enter 键。
      2. 找到 observIQ OpenTelemetry 收集器。
      3. 右键点击并选择重新启动。

      4. 验证服务是否正在运行：

        ```cmd
sc query observiq-otel-collector
```

      5. 检查日志是否存在错误：

        ```cmd
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

配置 FireEye syslog 转发

FireEye (Trellix) 设备会将提醒转发为 rsyslog 通知。您可以通过设备网页界面或设备命令行界面来配置这些设置。这两种方法会产生相同的结果，因此请使用适合您运营模式的方法。

方法 1：使用 Web 界面配置 rsyslog 通知

  1. 使用具有管理员或操作员访问权限的账号登录 FireEye 设备 Web 界面。
  2. 依次前往设置 > 通知。
  3. 选择 RSYSLOG 标签页。
  4. 可选：在 Rsyslog 设置区域中，设置配置为默认的服务器所继承的值，然后点击应用设置：
    • 默认格式：选择 CEF。
    • 默认传送：选择按事件。
    • 默认发送方式：选择提醒。
  5. 在查看和添加 Rsyslog 服务器下，点击添加 Rsyslog 服务器。
  6. 提供以下配置详细信息：
    • 服务器名称：为条目输入一个描述性名称（例如 secops-bindplane）。
    • IP 地址：输入 Bindplane 代理主机（例如 192.168.1.100）的 IP 地址。
    • 已启用：选中此复选框，以便设备向此服务器发送通知。
    • 传送：选择每次事件，以便在每次生成提醒时发送通知。
    • 通知：选择所有事件，或选择要转发的特定提醒类型。
    • 格式：选择 CEF。如果您选择 JSON，还需选择详细程度，即正常、简明或扩展。
    • 发送为：选择提醒。
    • 协议：选择 TCP 以与之前配置的 tcplog 接收器相匹配。仅当您将接收器更改为 udplog 时，才选择 UDP（设备默认值）。

  7. 点击 Add New Rsyslog Server。

方法 2：使用 CLI 配置 rsyslog 通知

  1. 使用具有管理员或操作员访问权限的账号登录 FireEye 设备命令行界面。

  2. 进入配置模式：

    hostname > enable
hostname # configure terminal

  3. 激活 rsyslog 通知：

    hostname (config) # fenotify rsyslog enable

  4. 为 Bindplane 代理创建陷阱接收器并启用它：

    hostname (config) # fenotify rsyslog trap-sink secops-bindplane
hostname (config) # fenotify rsyslog trap-sink secops-bindplane enable

  5. 设置目标地址、传输协议和端口：

    hostname (config) # fenotify rsyslog trap-sink secops-bindplane address <BINDPLANE_IP>
hostname (config) # fenotify rsyslog trap-sink secops-bindplane protocol tcp
hostname (config) # fenotify rsyslog trap-sink secops-bindplane port 514
    • <BINDPLANE_IP>：Bindplane 代理主机所在的 IP 地址或域名。

  6. 设置消息格式、发送时间安排和严重程度：

    hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message format cef
hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message delivery per-event
hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message send-as alert
    • prefer message format：使用 cef。对于 JSON，请使用 json-normal、json-concise 或 json-extended。请勿使用 csv、leef 或任何 text- 或 xml- 值。
    • prefer message delivery：使用 per-event 在触发事件时发送有关每个事件的信息。
    • prefer message send-as：使用 alert，严重程度为 1。

  7. 选择哪些提醒会为此陷阱接收器生成通知：

    hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer notification all-events
    • all-events：除风险软件之外的所有事件。
    • all-riskware：riskware-object 和 riskware-callback 事件。
    • 各个类型：domain-match、infection-match、malware-callback、malware-object、riskware-callback、riskware-object、web-infection 和 ips-event（在启用 IPS 的设备上）。

  8. 保存配置：

    hostname (config) # write memory

验证配置

  1. 如需查看有效的 rsyslog 设置，请在启用模式下运行以下命令：

    hostname # show fenotify rsyslog

    输出会列出全局配置值、已启用的提醒类型以及各个服务器的消费者值。

  2. 如需从 Web 界面生成测试事件，请依次前往设置 > 通知，在表格下方的下拉列表中选择一种事件类型，然后点击触发测试。

  3. 如需改为从 CLI 生成测试事件，请在配置模式下运行以下命令：

    hostname (config) # fenotify test-fire <EVENT_TYPE>

  4. 确认 Bindplane 代理主机收到了消息，然后确认 Google SecOps 中显示了相应事件。

如需了解这些步骤所遵循的供应商程序，请参阅使用 Web 界面添加系统日志服务器、使用 CLI 添加系统日志服务器、使用 CLI 自定义系统日志服务器通知和测试 IPS 事件通知。如需查看每个 fenotify rsyslog 命令的完整语法和接受的值，请参阅 CLI 命令参考文档。

UDM 映射表

日志字段 UDM 映射 逻辑
additional_source additional.fields 已合并
appliance_id_label additional.fields 已合并
appliance_id_label_2nd additional.fields 已合并
appliance_label additional.fields 已合并
begin_label additional.fields 已合并
cache_control_label additional.fields 已合并
channel_label additional.fields 已合并
content_length_label additional.fields 已合并
content_type_label additional.fields 已合并
cost_label additional.fields 已合并
end_label additional.fields 已合并
match_count_label additional.fields 已合并
msg_label additional.fields 已合并
success_label additional.fields 已合并
dvc intermediary.asset.hostname 直接映射
dvc intermediary.asset.ip 已合并
msg intermediary.email 直接映射
dvc intermediary.hostname 直接映射
sensor intermediary.hostname 直接映射
dvc intermediary.ip 已合并
intermediary_host intermediary.labels 已合并
dvcmac intermediary.mac 已合并
desc metadata.description 直接映射
description metadata.description 直接映射
name metadata.description 直接映射
alert.occurred metadata.event_timestamp 解析为 yyyy-MM-dd HH:mm:ss.SSS
end metadata.event_timestamp 解析为 MMM dd yyyy HH:mm:ss ZZZ
rt metadata.event_timestamp 解析为 MMM dd yyyy HH:mm:ss ZZZ
start metadata.event_timestamp 解析为 MMM dd yyyy HH:mm:ss ZZZ
event_type metadata.event_type 映射：filewriteevent → FILE_MODIFICATION，"processevent","urlmonitorevent" → `SCAN_P…
event_type1 metadata.event_type 直接映射
file_event_subtype metadata.event_type 已映射：FILE_OPERATION_CLOSED → SCAN_PROCESS
has_email_info metadata.event_type 已映射：true → EMAIL_TRANSACTION
has_principal metadata.event_type 已映射：true → NETWORK_CONNECTION、true → EMAIL_TRANSACTION、true → STATUS_UPDATE
type metadata.event_type 已映射："Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → STATUS_UPDATE
event_type metadata.product_event_type 直接映射
type metadata.product_event_type 直接映射
externalId metadata.product_log_id 直接映射
product metadata.product_name 直接映射
version metadata.product_version 直接映射
applicationProtocol network.application_protocol 直接映射
ver_proto network.application_protocol 已映射：HTTP/1.1 → HTTP
alert.src.smtp-mail-from network.email.from 直接映射
mails network.email.to 已合并
httpmethod network.http.method 直接映射
method network.http.method 直接映射
urlMonitorEvent_urlMethod network.http.method 直接映射
User-Agent network.http.parsed_user_agent 已重命名/已映射
http_user_agent network.http.parsed_user_agent 已重命名/已映射
Referer network.http.referral_url 直接映射
urlMonitorEvent_requestUrl network.http.referral_url 直接映射
User-Agent network.http.user_agent 直接映射
http_user_agent network.http.user_agent 直接映射
urlMonitorEvent_userAgent network.http.user_agent 直接映射
alert.explanation.cnc-services.cnc-service.protocol network.ip_protocol 直接映射
alert.explanation.protocol network.ip_protocol 直接映射
ver_proto network.tls.version_protocol 直接映射
devicePayloadId principal.application 直接映射
process principal.application 直接映射
principal_hostname principal.asset.hostname 直接映射
sourceDnsDomain principal.asset.hostname 直接映射
agent_info.primary_ip_address principal.asset.ip 已合并
alert.src.ip principal.asset.ip 已合并
host_name principal.asset.ip 直接映射
source_info.ip principal.asset.ip 已合并
src principal.asset.ip 已合并
src_ip principal.asset.ip 已合并
type principal.asset.ip 已映射："Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
vulnerability principal.asset.vulnerabilities 已合并
path principal.file.full_path 直接映射
alert.explanation.os-changes.file.processinfo.md5sum principal.file.md5 直接映射
alert.explanation.os-changes.file.processinfo.sha1sum principal.file.sha1 直接映射
filesize principal.file.size 直接映射
Host principal.hostname 直接映射
principal_hostname principal.hostname 直接映射
sourceDnsDomain principal.hostname 直接映射
agent_info.primary_ip_address principal.ip 已合并
alert.src.ip principal.ip 已合并
host_name principal.ip 直接映射
source_info.ip principal.ip 已合并
src principal.ip 已合并
src_ip principal.ip 已合并
type principal.ip 已映射："Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
prinicipal_vlan principal.labels 已合并
country principal.location.country_or_region 直接映射
agent_info.primary_mac principal.mac 已合并
alert.src.mac principal.mac 已合并
appliance-id principal.mac 已合并
smac principal.mac 已合并
os_platform principal.platform 已映射："linux","LINUX","lin" → LINUX、"windows","WINDOWS","win" → WINDOWS、`"mac","…
os_kernel_version principal.platform_patch_level 直接映射
alert.explanation.os-changes.osinfo principal.platform_version 直接映射
alert.src.port principal.port 直接映射
src_port principal.port 直接映射
alert.explanation.os-changes.file.processinfo.ppid principal.process.parent_process.pid 直接映射
alert.explanation.os-changes.file.processinfo.pid principal.process.pid 直接映射
process_id principal.process.pid 直接映射
id principal.resource.id 直接映射
email principal.user.email_addresses 已映射：^.+@.+$ → email
s_result security_result 已合并
sec_result security_result 已合并
alert_smtp_header security_result.about.labels 已合并
alert_smtp_last_malware security_result.about.labels 已合并
alert_smtp_queue_id security_result.about.labels 已合并
alert_smtp_subject security_result.about.labels 已合并
endpoint_type_label security_result.about.labels 已合并
type security_result.about.labels 已映射："Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → `endpoint_type…
proto security_result.about.network.application_protocol 直接映射
http_method security_result.about.network.http.method 直接映射
alert.smtp-message.id security_result.about.resource.id 直接映射
alert.src.url security_result.about.url 直接映射
temp_url security_result.about.url 直接映射
action security_result.action 已合并
alert.action security_result.action_details 直接映射
threat_attribution security_result.action_details 直接映射
category security_result.category 已合并
category_details security_result.category_details 已合并
group security_result.category_details 已合并
indicator.category security_result.category_details 已合并
type security_result.category_details 已映射："Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → group
act security_result.description 直接映射
indicator.name security_result.description 直接映射
ack_field security_result.detection_fields 已合并
analysis_field security_result.detection_fields 已合并
attack_mode_label security_result.detection_fields 已合并
build_field security_result.detection_fields 已合并
bytes_available_label security_result.detection_fields 已合并
chunk_id_label security_result.detection_fields 已合并
chunk_len_label security_result.detection_fields 已合并
chunks_label security_result.detection_fields 已合并
classtype_label security_result.detection_fields 已合并
cn1_label security_result.detection_fields 已合并
cnc_service_type security_result.detection_fields 已合并
cs1_label security_result.detection_fields 已合并
cs3_label security_result.detection_fields 已合并
cs4_label security_result.detection_fields 已合并
data_label security_result.detection_fields 已合并
detection_infection_type security_result.detection_fields 已合并
display_msg_label security_result.detection_fields 已合并
dpt_label security_result.detection_fields 已合并
flex_string1_Label security_result.detection_fields 已合并
flex_string1_label security_result.detection_fields 已合并
flex_string2_Label security_result.detection_fields 已合并
flex_string2_label security_result.detection_fields 已合并
header security_result.detection_fields 已合并
id_field security_result.detection_fields 已合并
job_id_label security_result.detection_fields 已合并
mode_field security_result.detection_fields 已合并
mvx_status_label security_result.detection_fields 已合并
qid_label security_result.detection_fields 已合并
request_label security_result.detection_fields 已合并
retroactive_field security_result.detection_fields 已合并
sc_version_field security_result.detection_fields 已合并
sequence_field security_result.detection_fields 已合并
sig_id_label security_result.detection_fields 已合并
sig_name_label security_result.detection_fields 已合并
sig_revision_label security_result.detection_fields 已合并
spt_label security_result.detection_fields 已合并
sub_id_label security_result.detection_fields 已合并
tests_downloaded_at_field security_result.detection_fields 已合并
tests_executed_at_field security_result.detection_fields 已合并
tests_name_field security_result.detection_fields 已合并
tests_original_field security_result.detection_fields 已合并
tests_sha512_field security_result.detection_fields 已合并
tests_sid_field security_result.detection_fields 已合并
tests_stype_field security_result.detection_fields 已合并
tests_submitted_at_field security_result.detection_fields 已合并
tests_type_field security_result.detection_fields 已合并
tid_label security_result.detection_fields 已合并
timestamp_field security_result.detection_fields 已合并
url_field security_result.detection_fields 已合并
value_field security_result.detection_fields 已合并
written_size_label security_result.detection_fields 已合并
alert.uuid security_result.rule_id 直接映射
alert.version security_result.rule_version 直接映射
severity security_result.severity 映射："low","NOTICE" → LOW、INFO → INFORMATIONAL、medium → MEDIUM、high → `H…
action_taken security_result.summary 直接映射
risk_summary security_result.summary 直接映射
alert.id security_result.threat_id 直接映射
alert.name security_result.threat_name 直接映射
ele.infection.infection-name security_result.threat_name 直接映射
threat_name security_result.threat_name 直接映射
alert.alert-url security_result.url_back_to_product 直接映射
url security_result.url_back_to_product 直接映射
dst_hostname target.asset.hostname 直接映射
dvchost target.asset.hostname 直接映射
target_hostname target.asset.hostname 直接映射
alert.dst.ip target.asset.ip 已合并
dst target.asset.ip 已合并
dst_ip target.asset.ip 已合并
urlMonitorEvent_remoteIpAddress target.asset.ip 已合并
alert.explanation.os-changes.file.processinfo.imagepath target.file.full_path 直接映射
file_fullpath target.file.full_path 直接映射
fname target.file.full_path 直接映射
agent_info.md5values target.file.md5 直接映射
ele.action.actioned-object.file-object.md5sum target.file.md5 直接映射
file_md5 target.file.md5 直接映射
fileType target.file.mime_type 直接映射
ele.action.actioned-object.file-object.sha1sum target.file.sha1 直接映射
ele.action.actioned-object.file-object.sha256sum target.file.sha256 直接映射
fileHash target.file.sha256 直接映射
file_size target.file.size 直接映射
fsize target.file.size 直接映射
dst_hostname target.hostname 直接映射
dvchost target.hostname 直接映射
target_hostname target.hostname 直接映射
alert.dst.ip target.ip 已合并
dst target.ip 已合并
dst_ip target.ip 已合并
urlMonitorEvent_remoteIpAddress target.ip 已合并
alert.explanation.cnc-services.cnc-service.location target.location.country_or_region 直接映射
alert.dst.mac target.mac 已合并
dmac target.mac 已合并
alert.dst.port target.port 直接映射
dst_port target.port 已重命名/已映射
urlMonitorEvent_remotePort target.port 直接映射
cmd target.process.command_line 直接映射
ele.action.actioned-object.file-object.file-path target.process.file.full_path 直接映射
file_event_filepath target.process.file.full_path 直接映射
process_event_process_path target.process.file.full_path 直接映射
process_path target.process.file.full_path 直接映射
urlMonitorEvent_processPath target.process.file.full_path 直接映射
md5sum_data target.process.file.md5 直接映射
process_md5 target.process.file.md5 已重命名/已映射
sha1_data target.process.file.sha1 直接映射
sha256_data target.process.file.sha256 直接映射
file_event_actor_process_path target.process.parent_process.file.full_path 直接映射
parent_process_path target.process.parent_process.file.full_path 直接映射
process_event_parent_path target.process.parent_process.file.full_path 直接映射
file_event_actor_process_pid target.process.parent_process.pid 直接映射
parent_process_pid target.process.parent_process.pid 直接映射
process_event_parentPid target.process.parent_process.pid 直接映射
alert.explanation.os-changes.file.processinfo.tid target.process.pid 直接映射
process_event_pid target.process.pid 直接映射
process_pid target.process.pid 直接映射
urlMonitorEvent_pid target.process.pid 直接映射
scanned_registry_key target.registry.registry_key 直接映射
scanned_registry_value target.registry.registry_value_data 直接映射
customer_id target.resource.id 直接映射
alert.explanation.cnc-services.cnc-service.url target.url 直接映射
email target.user.email_addresses 已映射：^.+@.+$ → email
tar_email target.user.email_addresses 已合并
file_event_actor_process_username target.user.user_display_name 直接映射
process_event_username target.user.user_display_name 直接映射
urlMonitorEvent_username target.user.user_display_name 直接映射
不适用 metadata.event_type 常量：GENERIC_EVENT
不适用 metadata.product_name 常量：FIREEYE_ALERT
不适用 metadata.vendor_name 常量：FIREEYE_ALERT
不适用 network.application_protocol 常量：SMTP
不适用 principal.platform 常量：WINDOWS
不适用 security_result.about.resource.type 常量：Email
不适用 security_result.confidence 常量：HIGH_CONFIDENCE
不适用 security_result.severity 常量：LOW

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。