我们已重新整理文档导航结构，使其与您的运营工作流程直接保持一致。如需了解详情，请参阅版本说明和演示视频。

Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

收集 Trellix Endpoint Security (HX) Audit（以前称为 FireEye HX）日志

解析器版本： 1.0

支持：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将 Trellix Endpoint Security (HX) Audit（以前称为 FireEye HX）日志注入 Google Security Operations。

Trellix Endpoint Security (HX) 提供终端检测和响应功能，具有高级威胁搜寻、取证数据收集和行为分析功能，可使用从数千次事件响应参与中构建的机器学习来检测和响应终端上的高级威胁。

准备工作

请确保满足以下前提条件：

Google SecOps 实例。
Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机。
Bindplane 代理与 Trellix Endpoint Security (HX) 设备之间的网络连接。
如果通过代理运行，请确保防火墙端口根据 Bindplane 代理要求处于开放状态。
对 Trellix Endpoint Security (HX) 管理控制台的特权访问权限。
对 Trellix Endpoint Security (HX) 设备 CLI（SSH 或控制台访问）的管理访问权限。

获取 Google SecOps 注入身份验证文件

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 收集代理。
下载注入身份验证文件 。
将该文件安全地保存在将安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 个人资料。
从组织详细信息 部分复制并保存客户 ID 。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符 或 PowerShell 。

运行以下命令：

msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

等待安装完成。
运行以下命令，验证安装是否成功：
```
sc query observiq-otel-collector
```
该服务应显示为正在运行 。

Linux 安装

使用 root 或 sudo 权限打开终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

等待安装完成。
运行以下命令，验证安装是否成功：
```
sudo systemctl status observiq-otel-collector
```
该服务应显示为活跃 (running) 。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并发送到 Google SecOps

找到配置文件

Linux： /opt/observiq-otel-collector/config.yaml
Windows： C:\Program Files\observIQ OpenTelemetry Collector\config.yaml

修改配置文件

将 config.yaml 的全部内容替换为以下配置：

receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/trellix_hx:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: FIREEYE_HX_AUDIT
        raw_log_field: body
        ingestion_labels:
            env: production
            source: trellix_hx

service:
    pipelines:
        logs/trellix_hx_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/trellix_hx

配置参数

替换以下占位符：

接收器配置：
- tcplog：由于 Trellix Endpoint Security (HX) 设备 CLI 通过 TCP 协议配置 syslog 转发，因此使用 TCP 接收器。
- listen_address：要监听的 IP 地址和端口。使用 0.0.0.0:514 在端口 514 上监听所有接口，或者指定其他端口（例如 0.0.0.0:1514，如果以非 root 身份在 Linux 上运行）。
导出器配置：
- creds_file_path：注入身份验证文件的完整路径： * Linux：/etc/bindplane-agent/ingestion-auth.json * Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- YOUR_CUSTOMER_ID：您在上一步中获得的实际客户 ID。
- endpoint：区域端点网址（例如 malachiteingestion-pa.googleapis.com）。
- log_type：必须完全是 FIREEYE_HX_AUDIT。
- ingestion_labels：用于整理日志的可选标签。

保存配置文件

修改后，保存文件：

Linux：按 Ctrl+O，然后按 Enter，再按 Ctrl+X。
Windows：点击文件 > 保存。

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

运行以下命令：

sudo systemctl restart observiq-otel-collector

验证服务是否正在运行：

sudo systemctl status observiq-otel-collector

检查日志中是否存在错误：

sudo journalctl -u observiq-otel-collector -f

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

请从下列选项中选择一项：
- 以管理员身份运行命令提示符或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服务控制台：
  1. 按 Win+R，输入 services.msc，然后按 Enter 键。
  2. 找到 observIQ OpenTelemetry Collector 。
  3. 右键点击并选择重启。
验证服务是否正在运行：
```
sc query observiq-otel-collector
```

检查日志中是否存在错误：

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

配置 Trellix Endpoint Security (HX) syslog 转发

Trellix Endpoint Security (HX) 支持两种日志转发方法：适用于 Windows 事件日志的 Event Streamer 模块，以及适用于 CEF 格式设备日志的 CLI 配置。

方法 1：为 Windows 事件日志配置 Event Streamer (UI)

登录 Trellix Endpoint Security (HX) 管理控制台。
前往 Event Streamer 。
选择在主机上启用 Event Streamer 。
点击保存以应用政策更改。
依次前往目的地 > 服务器设置 > 添加 syslog 目的地。
提供以下配置详细信息：
- 名称：输入描述性名称（例如 Google SecOps-Collector）。
- IP 地址：输入 Bindplane 代理主机的 IP 地址。
- 端口：输入在 Bindplane 代理中配置的端口号（例如 514）。
点击保存。

方法 2：配置设备 syslog 转发 (CLI)

使用 SSH 或控制台访问权限登录 Trellix Endpoint Security (HX) 设备。
运行以下命令以进入特权模式：enable
运行以下命令以进入配置模式：configure terminal
运行以下命令以验证当前日志记录配置：show logging

运行以下命令以配置 syslog 转发：

logging BINDPLANE_IP_ADDRESS trap none
logging BINDPLANE_IP_ADDRESS trap override class cef priority info
logging BINDPLANE_IP_ADDRESS protocol tcp

将 BINDPLANE_IP_ADDRESS 替换为 Bindplane 代理主机的 IP 地址。

运行以下命令以启用 RFC-3339 时间戳格式：logging fields timestamp format rfc-3339
运行以下命令以保存配置：write memory
运行以下命令以退出：exit

启用数据采集以收集事件日志

使用管理员访问权限登录 Trellix Endpoint Security (HX) Web 界面。
依次前往管理员 > 数据采集脚本。
点击标准调查详细信息 。
在脚本说明 页面上，点击操作，然后选择修改。
点击事件日志 。
在 Windows 事件日志 部分中启用安全日志 。
点击保存。

启用自动分类

使用管理员访问权限登录 Trellix Endpoint Security (HX) Web 界面。
依次前往管理员 > 分类设置。
将分类设置开关切换为“开启” 。
点击保存。

启用文件和数据审核

使用管理员访问权限登录 Trellix Endpoint Security (HX) Web 界面。
依次前往管理员 > 政策。
在配置下，点击审核 - 版本号 。
开启在主机上启用文件和数据审核 。
点击保存。

UDM 映射表

日志字段	UDM 映射	逻辑
`alert.agent._id`	`principal.asset.asset_id`	以 AGENT ID: 为前缀的代理 ID
`alert.agent.url`	`principal.labels.value`	代理网址值。
`alert.condition._id`	`additional.fields.value.string_value`	移除了 = 字符的条件 ID。
`alert.condition.url`	`additional.fields.value.string_value`	移除了 = 字符的条件网址。
`alert.decorators[].data.fireeye_report.indicator_verdict.malware_families.0`	`security_result.threat_name`	FireEye 报告中的恶意软件系列。
`alert.decorators[].data.fireeye_report.risk_summary`	`security_result.description`	风险摘要说明。
`alert.decorators[].data.fireeye_verdict`	`security_result.severity_details`	FireEye 判定详细信息。
`alert.event_at`	`read_only_udm.metadata.event_timestamp`	事件时间戳映射。
`alert.event_id`	`read_only_udm.metadata.product_log_id`	产品日志标识符。
`alert.event_type`	`read_only_udm.metadata.product_event_type`	产品事件类型标识符。
`alert.event_values.fileWriteEvent/fullPath`	`target.file.full_path`	目标文件路径。
`alert.event_values.fileWriteEvent/md5`	`target.file.md5`	目标文件 MD5 哈希。
`alert.event_values.fileWriteEvent/pid`	`principal.process.pid`	写入进程 PID。
`alert.event_values.fileWriteEvent/processPath`	`principal.process.file.full_path`	写入进程文件路径。
`alert.event_values.fileWriteEvent/size`	`target.file.size`	目标文件大小。
`alert.event_values.fileWriteEvent/username`	`principal.user.userid`	写入用户标识符。
`alert.event_values.ipv4NetworkEvent/localIP`	`principal.ip`	正文本地 IP。
`alert.event_values.ipv4NetworkEvent/localPort`	`principal.port`	正文本地端口。
`alert.event_values.ipv4NetworkEvent/protocol`	`network.ip_protocol`	网络 IP 协议。
`alert.event_values.ipv4NetworkEvent/remoteIP`	`target.ip`	目标远程 IP。
`alert.event_values.ipv4NetworkEvent/remotePort`	`target.port`	目标远程端口。
`alert.event_values.processEvent/md5`	`target.process.file.md5`	目标进程 MD5。
`alert.event_values.processEvent/pid`	`target.process.pid`	目标进程 PID。
`alert.event_values.urlMonitorEvent/hostname`	`target.hostname`	目标目的地主机名。
`alert.event_values.urlMonitorEvent/requestUrl`	`target.url`	目标请求网址。
`alert.event_values.urlMonitorEvent/urlMethod`	`network.http.method`	网络 HTTP 方法。
`alert.event_values.urlMonitorEvent/userAgent`	`network.http.user_agent`	网络 HTTP 用户代理。
`alert.indicator.name`	`read_only_udm.security_result.summary`	安全结果摘要。
`host.agent_version`	`read_only_udm.metadata.product_version`	产品版本映射。
`host.containment_state`	`read_only_udm.principal.containment_state`	正文隔离状态。
`host.hostname`	`read_only_udm.principal.hostname`	正文主机名。
`host.os.platform`	`read_only_udm.principal.platform`	正文操作系统平台。
`host.primary_ip_address`	`read_only_udm.principal.ip`	正文主要 IP。
`severity`	`security_result.severity`	映射到低、中或高。
`timestamp`	`timestamp`	原始日志时间戳。

更新日志

查看此解析器的更新日志