收集 Forcepoint DLP 記錄

剖析器版本：10.0

本文說明如何使用 Bindplane，將 Forcepoint DLP 記錄擷取至 Google Security Operations。

Forcepoint DLP (資料遺失防護) 是一項資料保護解決方案，可識別、監控及保護企業環境中的機密資料。這項服務會使用內容感知政策和機器學習技術，偵測及防止透過電子郵件、網路、端點和雲端應用程式進行未經授權的資料移轉。剖析器會從 Forcepoint DLP CEF 格式的記錄中擷取欄位。然後將這些值對應至統合式資料模型 (UDM)。此外，也會為事件來源和類型設定預設中繼資料值。

事前準備

請確認您符合下列必要條件：

• Google SecOps 執行個體
• Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
• 如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
• Forcepoint Security Manager 網頁控制台的特殊權限存取權

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

• 新部署作業：使用 Chronicle API (選項 1)。
• 舊版部署作業：繼續使用擷取驗證檔案 (選項 2)，直到 Ingestion API 於 2027 年 7 月 20 日停用。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

1. 登入 Google Cloud 控制台，然後選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
2. 依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
3. 按一下「建立服務帳戶」。
4. 請提供下列設定詳細資料：
   • 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如 bindplane-ingest)。
   • 「服務帳戶說明」：輸入說明 (例如 Bindplane agent log ingestion)。
5. 點按「Create and continue」(建立並繼續)。
6. 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
7. 依序點選「繼續」和「完成」。
8. 按一下您建立的服務帳戶，然後前往「金鑰」分頁。
9. 依序點選「新增金鑰」>「建立新的金鑰」。
10. 選取「JSON」，然後按一下「建立」。金鑰檔案會下載到電腦。
11. 將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
12. 依序前往「IAM 與管理」>「設定」，然後複製「專案編號」。設定匯出工具時會用到。

方法 2：下載擷取驗證檔案 (舊版)

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM Settings」 > 「Collection Agents」。
3. 下載擷取驗證檔案。
4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」 > 「設定檔」。
3. 複製並儲存「機構詳細資料」專區中的「客戶 ID」。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以管理員身分開啟命令提示字元或 PowerShell。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 等待安裝完成。

4. 執行下列指令，確認安裝成功：

   sc query observiq-otel-collector
   

服務應顯示為「RUNNING」。

安裝 Linux

1. 開啟具有 root 或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 等待安裝完成。

4. 執行下列指令，確認安裝成功：

   sudo systemctl status observiq-otel-collector
   

服務應顯示為「active (running)」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

• Linux：

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows：

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

編輯設定檔

• 將 config.yaml 的全部內容替換為下列設定：

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/chronicle_w_labels:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: chronicle.googleapis.com
      log_type: 'FORCEPOINT_DLP'
      raw_log_field: body
      ingestion_labels:
  
  service:
    pipelines:
      logs/source0__chronicle_w_labels-0:
        receivers:
          - tcplog
        exporters:
          - chronicle/chronicle_w_labels
  

設定參數

• 替換下列預留位置：

  • 接收器設定：

    • tcplog：如果是 UDP syslog，請使用 udplog；如果是 TCP syslog，請使用 tcplog
    • 0.0.0.0：要接聽的 IP 位址 (0.0.0.0 可接聽所有介面)
    • 514：要監聽的通訊埠號碼 (標準系統記錄通訊埠)

  • 匯出工具設定：

    • creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：
      • Linux：/opt/observiq-otel-collector/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID：取得客戶 ID 一節中的客戶 ID
    • location：將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會以這個值做為 chronicle.googleapis.com 的前置字元。如需完整清單，請參閱「區域性端點」。
    • project：將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。
    • endpoint：請將此值設為 chronicle.googleapis.com。
    • log_type：記錄類型，與 Chronicle 中顯示的完全相同 (FORCEPOINT_DLP)

舊版 Ingestion API 匯出工具

• 如果您使用選項 2 的擷取驗證檔案，請將 exporters 區塊替換為下列內容。將 creds_file_path 設為擷取驗證檔案的路徑，如果您的執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: 'FORCEPOINT_DLP'
      raw_log_field: body
      ingestion_labels:
  

儲存設定檔

• 編輯完成後，請儲存檔案：
  • Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
  • Windows：依序點選「檔案」 > 「儲存」

重新啟動 Bindplane 代理程式，套用變更

• 如要在 Linux 重新啟動 Bindplane 代理程式，請執行下列指令：

  sudo systemctl restart observiq-otel-collector
  

  1. 確認服務是否正在執行：

       sudo systemctl status observiq-otel-collector
     

  2. 檢查記錄是否有錯誤：

       sudo journalctl -u observiq-otel-collector -f
     

• 如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列其中一個選項：

  • 以管理員身分開啟命令提示字元或 PowerShell：

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • 服務控制台：

    1. 按下 Win+R 鍵，輸入 services.msc，然後按下 Enter 鍵。
    2. 找出「observIQ OpenTelemetry Collector」。

    3. 按一下滑鼠右鍵，然後選取「重新啟動」。

    4. 確認服務正在執行：

       sc query observiq-otel-collector
       

    5. 查看記錄檔是否有錯誤：

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

設定 Forcepoint DLP syslog 轉送

1. 登入 Forcepoint Security Manager 網頁控制台。
2. 依序前往「設定」>「一般」>「SIEM 整合」。
3. 選取「啟用 SIEM 整合功能」。
4. 提供下列設定詳細資料：
   • Syslog 伺服器 IP 位址：輸入 Bindplane 代理程式主機的 IP 位址。
   • 「Port」(通訊埠)：輸入 514。
   • 通訊協定：選取「TCP」。
   • 格式：選取「CEF」(通用事件格式)。
   • TLS Enabled：取消勾選 (除非使用 TLS)。
5. 在「事件資料」部分，選取要納入系統記錄訊息的資料：
   • 採取行動
   • 嚴重性
   • 政策名稱
   • 來源資訊
   • 目的地資訊
   • 內容詳細資料
6. 按一下「確定」儲存設定。
7. 依序前往 「Main」 > 「Policy Management」 > 「DLP Policies」。
8. 針對應轉送事件的每項政策，確認已啟用 syslog 通知：
   1. 選取政策。
   2. 前往「行動計畫」分頁。
   3. 確認行動方案包含「傳送至 SIEM」。
9. 按一下「Deploy」(部署)，套用政策變更。
10. 檢查 Bindplane 代理程式記錄，確認系統記錄訊息是否已傳送。

UDM 對應表

記錄欄位	UDM 對應	邏輯
act	security_result.description	如果 actionPerformed 為空白，則會將 act 的值指派給 security_result.description。
actionID	metadata.product_log_id	actionID 的值會指派給 metadata.product_log_id。
actionPerformed	security_result.description	actionPerformed 的值會指派給 security_result.description。
管理員	principal.user.userid	管理員的值會指派給 principal.user.userid。
analyzedBy	additional.fields.key	字串「analyzedBy」會指派給 additional.fields.key。
analyzedBy	additional.fields.value.string_value	analyzedBy 的值會指派給 additional.fields.value.string_value。
cat	security_result.category_details	cat 的值會合併至 security_result.category_details 欄位，並以清單形式呈現。
destinationHosts	target.hostname	destinationHosts 的值會指派給 target.hostname。
destinationHosts	target.asset.hostname	destinationHosts 的值會指派給 target.asset.hostname。
詳細資料	security_result.description	如果 actionPerformed 和 act 皆為空白，系統會將 details 的值指派給 security_result.description。
duser	target.user.userid	duser 的值會用於填入 target.user.userid。如果以「; 」分隔的多個值符合電子郵件規則運算式，系統會將這些值分割並指派為個別電子郵件地址，否則會視為使用者 ID。
eventId	metadata.product_log_id	如果 actionID 為空白，eventId 的值會指派給 metadata.product_log_id。
fname	target.file.full_path	fname 的值會指派給 target.file.full_path。
logTime	metadata.event_timestamp	系統會剖析 logTime 的值，並用於填入 metadata.event_timestamp。
loginName	principal.user.user_display_name	loginName 的值會指派給 principal.user.user_display_name。
msg	metadata.description	msg 的值會指派給 metadata.description。
productVersion	additional.fields.key	字串「productVersion」會指派給 additional.fields.key。
productVersion	additional.fields.value.string_value	productVersion 的值會指派給 additional.fields.value.string_value。
角色	principal.user.attribute.roles.name	角色值會指派給 principal.user.attribute.roles.name。
severityType	security_result.severity	severityType 的值會對應至 security_result.severity。「high」會對應至「HIGH」，「med」會對應至「MEDIUM」，「low」則會對應至「LOW」(不區分大小寫)。
sourceHost	principal.hostname	sourceHost 的值會指派給 principal.hostname。
sourceHost	principal.asset.hostname	sourceHost 的值會指派給 principal.asset.hostname。
sourceIp	principal.ip	系統會將 sourceIp 的值新增至 principal.ip 欄位。
sourceIp	principal.asset.ip	sourceIp 的值會新增至 principal.asset.ip 欄位。
sourceServiceName	principal.application	sourceServiceName 的值會指派給 principal.application。
suser	principal.user.userid	如果管理員為空白，系統會將 suser 的值指派給 principal.user.userid。
時間戳記	metadata.event_timestamp	時間戳記值會用於填入 metadata.event_timestamp。
主題	security_result.rule_name	移除半形逗號後，主題的值會指派給 security_result.rule_name。硬式編碼為「FORCEPOINT_DLP」。硬式編碼為「Forcepoint」。從 CEF 訊息中擷取。可以是「Forcepoint DLP」或「Forcepoint DLP Audit」。從 CEF 訊息中擷取。device_event_class_id 和 event_name 的串連，格式為「[device_event_class_id] - event_name」。初始化為「GENERIC_EVENT」。如果 is_principal_user_present 為「true」，則變更為「USER_UNCATEGORIZED」。
destinationDnsDomain	event.idm.read_only_udm.target.hostname 和 event.idm.read_only_udm.target.asset.hostname	從變更記錄對應
inter_host	intermediary.hostname	從變更記錄對應
violationTriggers.VZ CPNI" and "violationTriggers.Controlled Unclassified Information: Portion Marking	additional.fields	從變更記錄對應
act	security_result.action_details	從變更記錄對應
caseDescription	metadata.description	從變更記錄對應
eventIDs	metadata.product_event_type	從變更記錄對應
sourceServiceName	network.application_protocol	從變更記錄對應
productVersion	metadata.product_version	從變更記錄對應
riskScore	additional.fields	從變更記錄對應
productVersion" and "analyzedBy	additional.fields	從變更記錄對應
timeStamp	metadata.event_timestamp	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。