收集 McAfee ESM 記錄

本文說明如何使用 Bindplane 代理程式，將 Trellix Enterprise Security Manager 記錄檔擷取至 Google Security Operations。

Trellix Enterprise Security Manager (舊稱 McAfee ESM) 是安全資訊與事件管理 (SIEM) 平台，提供即時威脅偵測、關聯和法規遵循監控功能。這項服務會收集、正規化及分析企業的安全性事件資料，讓資安團隊透過集中式資訊主頁、進階分析和自動警報功能，識別及應對威脅。

事前準備

請確認您符合下列必要條件：

• Google SecOps 執行個體
• 搭載 systemd 的 Windows 2016 以上版本或 Linux 主機
• 如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
• Trellix Enterprise Security Manager 控制台的特殊存取權

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

• 新部署作業：使用 Chronicle API (選項 1)。
• 舊版部署作業：在 2027 年 7 月 20 日停用 Ingestion API 前，請繼續使用擷取驗證檔案 (選項 2)。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

1. 登入 Google Cloud 控制台，然後選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
2. 依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
3. 按一下「建立服務帳戶」。
4. 提供下列設定詳細資料：
   • 服務帳戶名稱：輸入帳戶名稱 (例如 bindplane-ingest)。
   • 「服務帳戶說明」：輸入說明 (例如 Bindplane agent log ingestion)。
5. 點按「Create and continue」(建立並繼續)。
6. 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
7. 依序點選「繼續」和「完成」。
8. 按一下您建立的服務帳戶，然後前往「金鑰」分頁。
9. 依序點選「新增金鑰」>「建立新的金鑰」。
10. 選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
11. 將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 為 /opt/observiq-otel-collector/ingestion-auth.json，Windows 為 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存檔案的路徑相符。
12. 依序前往「IAM 與管理」>「設定」，然後複製「專案編號」。設定匯出工具時會用到。

方法 2：下載擷取驗證檔案 (舊版)

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM Settings」 > 「Collection Agents」。
3. 下載擷取驗證檔案。
4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」 > 「設定檔」。
3. 複製並儲存「機構詳細資料」部分的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以管理員身分開啟命令提示字元或 PowerShell。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安裝

1. 開啟具有 root 或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安裝資源

• 如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

1. 存取設定檔：

   • 找出 config.yaml 檔案。通常位於 Linux 的 /opt/observiq-otel-collector/ 目錄，或 Windows 的安裝目錄。
   • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

2. 按照下列方式編輯 config.yaml 檔案：

   receivers:
     tcplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: YOUR_CUSTOMER_ID_HERE
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'MCAFEE_ESM'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

• 視基礎架構需求更換連接埠和 IP 位址。
• 將 YOUR_CUSTOMER_ID_HERE 替換為實際的客戶 ID。
• 將 /path/to/ingestion-authentication-file.json 更新為服務帳戶金鑰檔案 (選項 1) 在步驟 1 中儲存的檔案路徑。
• 將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會以這個值做為 chronicle.googleapis.com 的前置字元。如需完整清單，請參閱「區域性端點」。
• 將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。

舊版 Ingestion API 匯出工具

• 如果您使用選項 2 的擷取驗證檔案，請將 exporters 區塊替換為下列內容。將 creds_file_path 設為擷取驗證檔案的路徑，如果您的執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: YOUR_CUSTOMER_ID_HERE
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'MCAFEE_ESM'
      raw_log_field: body
      ingestion_labels:
  

重新啟動 Bindplane 代理程式，套用變更

1. 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

   sudo systemctl restart observiq-otel-collector
   

2. 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「Services」控制台，或輸入下列指令：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

設定 Trellix Enterprise Security Manager syslog 轉送

1. 登入 Trellix Enterprise Security Manager 控制台。
2. 依序前往 「System Properties」 > 「Event Forwarding」。
3. 按一下「新增」，建立新的事件轉送目的地。
4. 在「Name」(名稱) 欄位輸入描述性名稱 (例如 Chronicle-Bindplane)。
5. 在「Destination」(目的地) 部分，提供下列設定詳細資料：
   • IP 位址：輸入 Bindplane 代理程式主機的 IP 位址 (例如 192.168.1.100)。
   • Port：輸入 514 (或在 Bindplane 設定的通訊埠)。
   • 「通訊協定」：選取「TCP」。
   • 格式：選取「Syslog」 (CEF 或標準 syslog 格式)。
6. 在「Filters」(篩選器) 部分，選取要轉送的事件類型和嚴重性等級：
   • 選取「所有事件」即可轉送所有事件，或設定特定篩選條件。
   • 視需要設定「嚴重性」門檻 (例如 1 到 100 代表所有嚴重性等級)。
7. 選取「已啟用」核取方塊，啟用轉送規則。
8. 按一下「確定」儲存設定。
9. 按一下「套用」，啟用事件轉送功能。

10. 在 ESM 控制台中查看「事件轉送」狀態，確認事件是否已轉送。

UDM 對應表

記錄欄位	UDM 對應	邏輯
about	about	已合併
about_token	about	已合併
deviceNtDomain	about.administrative_domain	已重新命名/對應
deviceExternalId	about.asset.asset_id	直接對應
device_product	about.asset.asset_id	直接對應
device_vendor	about.asset.asset_id	直接對應
fileHash	about.file.full_path	直接對應
filePath	about.file.full_path	已重新命名/對應
_hash	about.file.sha256	已重新命名/對應
fileHash	about.file.sha256	已重新命名/對應
fsize	about.file.size	已重新命名/對應
dvchost	about.hostname	已重新命名/對應
ips	about.ip	已合併
subjectLogonId_label	about.labels	已合併
dvcmac	about.mac	已合併
mac_address	about.mac	已合併
deviceTranslatedAddress	about.nat_ip	已合併
Emne	about.process.command_line	直接對應
Path	about.process.command_line	直接對應
Subject	about.process.command_line	直接對應
deviceProcessName	about.process.command_line	已重新命名/對應
dvcpid	about.process.pid	已重新命名/對應
permissions	about.resource.attribute.permissions	已合併
ARCH_label	additional.fields	已合併
AUID_label	additional.fields	已合併
EGID_label	additional.fields	已合併
EUID_label	additional.fields	已合併
FSGID_label	additional.fields	已合併
FSUID_label	additional.fields	已合併
GID_label	additional.fields	已合併
SGID_label	additional.fields	已合併
SUID_label	additional.fields	已合併
SYSCALL_label	additional.fields	已合併
UID_label	additional.fields	已合併
additional_cfp1	additional.fields	已合併
additional_cfp2	additional.fields	已合併
additional_cfp3	additional.fields	已合併
additional_cfp4	additional.fields	已合併
additional_cn1	additional.fields	已合併
additional_cn2	additional.fields	已合併
additional_cn3	additional.fields	已合併
additional_cs1	additional.fields	已合併
additional_cs2	additional.fields	已合併
additional_cs3	additional.fields	已合併
additional_cs4	additional.fields	已合併
additional_cs5	additional.fields	已合併
additional_cs6	additional.fields	已合併
additional_cs7	additional.fields	已合併
additional_devicePayloadId	additional.fields	已合併
additional_euid	additional.fields	已合併
additional_eventId	additional.fields	已合併
additional_flexString1	additional.fields	已合併
additional_fname	additional.fields	已合併
additional_logname	additional.fields	已合併
additional_rsa_signature	additional.fields	已合併
additional_tty	additional.fields	已合併
arch_label	additional.fields	已合併
attack_count_label	additional.fields	已合併
auid_label	additional.fields	已合併
category_label	additional.fields	已合併
cmd_param_a0_label	additional.fields	已合併
cmd_param_a1_label	additional.fields	已合併
cmd_param_a2_label	additional.fields	已合併
cmd_param_a3_label	additional.fields	已合併
cs5_label	additional.fields	已合併
egid_label	additional.fields	已合併
euid_label	additional.fields	已合併
execution_status_label	additional.fields	已合併
exit_code_label	additional.fields	已合併
fsgid_label	additional.fields	已合併
fsuid_label	additional.fields	已合併
interface_label	additional.fields	已合併
items_label	additional.fields	已合併
key_label	additional.fields	已合併
node_label	additional.fields	已合併
proctitle_label	additional.fields	已合併
sensor_name_label	additional.fields	已合併
severity_label	additional.fields	已合併
sgid_label	additional.fields	已合併
suid_label	additional.fields	已合併
syscall_label	additional.fields	已合併
tty_label	additional.fields	已合併
auth_mechanism	extensions.auth.mechanism	已合併
vuln_token	extensions.vulns.vulnerabilities	已合併
intermediary	intermediary	已合併
Hostname	intermediary.hostname	直接對應
msg	metadata.description	直接對應
event_type	metadata.event_type	直接對應
log_category	metadata.log_type	直接對應
device_event_class_id	metadata.product_event_type	直接對應
event_name	metadata.product_event_type	直接對應
log_type	metadata.product_event_type	直接對應
type	metadata.product_event_type	直接對應
column1	metadata.product_log_id	直接對應
externalId	metadata.product_log_id	直接對應
device_product	metadata.product_name	直接對應
sourceName	metadata.product_name	直接對應
device_version	metadata.product_version	直接對應
device_vendor	metadata.vendor_name	已重新命名/對應
app_protocol_output	network.application_protocol	直接對應
requestMethod	network.http.method	已重新命名/對應
requestClientApplication	network.http.user_agent	已重新命名/對應
ip_protocol_out	network.ip_protocol	直接對應
in	network.received_bytes	已重新命名/對應
out	network.sent_bytes	已重新命名/對應
ses	network.session_id	直接對應
session_id	network.session_id	直接對應
sntdom	principal.administrative_domain	已重新命名/對應
sourceServiceName	principal.application	已重新命名/對應
Group_name	principal.group.group_display_name	直接對應
Gruppenavn	principal.group.group_display_name	直接對應
Device_name	principal.hostname	直接對應
Enhetsnavn	principal.hostname	直接對應
hostname	principal.hostname	直接對應
shost	principal.hostname	已重新命名/對應
data.src_ip	principal.ip	已合併
principal_ip	principal.ip	已合併
shost	principal.ip	已合併
src_ip	principal.ip	已合併
valid_src_ip	principal.ip	已合併
data.src_mac	principal.mac	直接對應
mac	principal.mac	已合併
sourceTranslatedAddress	principal.nat_ip	已合併
sourceTranslatedPort	principal.nat_port	已重新命名/對應
INT:principal_port	principal.port	直接對應
data.src_port	principal.port	直接對應
principal_port	principal.port	已重新命名/對應
source_port	principal.port	已重新命名/對應
spt	principal.port	已重新命名/對應
comm	principal.process.command_line	直接對應
sproc	principal.process.command_line	已重新命名/對應
exe	principal.process.file.full_path	直接對應
ppid	principal.process.parent_pid	直接對應
pid	principal.process.pid	直接對應
spid	principal.process.pid	已重新命名/對應
principal_role	principal.user.attribute.roles	已合併
gid	principal.user.groupid	直接對應
ruser	principal.user.user_display_name	直接對應
suser	principal.user.user_display_name	直接對應
data.UserIDSrc	principal.user.userid	直接對應
suid	principal.user.userid	已重新命名/對應
uid	principal.user.userid	直接對應
user_id	principal.user.userid	直接對應
data.Source_UserID	principal.user.windows_sid	直接對應
security_result	security_result	已合併
security_token	security_result	已合併
_action	security_result.action	已合併
Action_Taken	security_result.action_details	直接對應
act	security_result.action_details	直接對應
cat	security_result.category_details	已合併
Scan_Type	security_result.description	直接對應
Type	security_result.description	直接對應
data.sig.name	security_result.description	直接對應
msg_data_2	security_result.description	直接對應
infection_channel_label	security_result.detection_fields	已合併
operasjon_label	security_result.detection_fields	已合併
operation_label	security_result.detection_fields	已合併
permission_label	security_result.detection_fields	已合併
spyware_Grayware_Type_label	security_result.detection_fields	已合併
threat_probability_label	security_result.detection_fields	已合併
tillatelse_label	security_result.detection_fields	已合併
mwProfile	security_result.rule_name	直接對應
Result	security_result.summary	直接對應
appcategory	security_result.summary	直接對應
reason	security_result.summary	已重新命名/對應
Spyware	security_result.threat_name	直接對應
Unknown_Threat	security_result.threat_name	直接對應
Virus_Malware_Name	security_result.threat_name	直接對應
oldFilePath	src.file.full_path	已重新命名/對應
oldFileSize	src.file.size	已重新命名/對應
old_permissions	src.resource.attribute.permissions	已合併
data.DomainID	target.administrative_domain	直接對應
dntdom	target.administrative_domain	已重新命名/對應
data.AppID	target.application	直接對應
destinationServiceName	target.application	已重新命名/對應
data.Destination_Hostname	target.hostname	直接對應
data.HostID	target.hostname	直接對應
temp_dhost	target.hostname	直接對應
IPv6_Address	target.ip	已合併
data.dst_ip	target.ip	已合併
dest_ip	target.ip	已合併
dst_ip	target.ip	已合併
data.dst_mac	target.mac	直接對應
mac_address	target.mac	已合併
destination_translated_address	target.nat_ip	已合併
destinationTranslatedPort	target.nat_port	已重新命名/對應
INT:target_port	target.port	直接對應
data.dst_port	target.port	直接對應
destination_port	target.port	已重新命名/對應
dpt	target.port	已重新命名/對應
target_port	target.port	已重新命名/對應
data.Process_Name	target.process.command_line	直接對應
dproc	target.process.command_line	已重新命名/對應
File_name	target.process.file.full_path	直接對應
Infected_Resource	target.process.file.full_path	直接對應
Object	target.process.file.full_path	直接對應
Objekt	target.process.file.full_path	直接對應
data.PID	target.process.pid	直接對應
dpid	target.process.pid	已重新命名/對應
resource_Type_label	target.resource.attribute.labels	已合併
request	target.url	直接對應
target_role	target.user.attribute.roles	已合併
CustomerName	target.user.user_display_name	直接對應
temp_duser	target.user.user_display_name	直接對應
username	target.user.user_display_name	直接對應
Bruker	target.user.userid	直接對應
User_value	target.user.userid	直接對應
data.UserIDDst	target.user.userid	直接對應
temp_duid	target.user.userid	直接對應
data.Destination_UserID	target.user.windows_sid	直接對應
不適用	about	常數：about_token
不適用	about.ip	常數：ips
不適用	about.labels	常數：subjectLogonId_label
不適用	about.mac	常數：mac_address
不適用	about.nat_ip	常數：deviceTranslatedAddress
不適用	about.resource.attribute.permissions	常數：permissions
不適用	additional.fields	常數：severity_label
不適用	extensions.auth.auth_details	常數：UNKNOWN_AUTHENTICATION_STATUS
不適用	extensions.auth.mechanism	常數：auth_mechanism
不適用	extensions.vulns.vulnerabilities	常數：vuln_token
不適用	intermediary	常數：intermediary
不適用	metadata.event_type	常數：GENERIC_EVENT
不適用	metadata.vendor_name	常數：MCAFEE
不適用	network.application_protocol	常數：SSH
不適用	network.direction	常數：INBOUND
不適用	principal.ip	常數：src_ip
不適用	principal.mac	常數：mac
不適用	principal.nat_ip	常數：sourceTranslatedAddress
不適用	principal.user.attribute.roles	常數：principal_role
不適用	security_result	常數：security_token
不適用	security_result.action	常數：_action
不適用	security_result.category_details	常數：cat
不適用	security_result.detection_fields	常數：operation_label
不適用	security_result.severity	常數：LOW
不適用	src.resource.attribute.permissions	常數：old_permissions
不適用	target.ip	常數：dest_ip
不適用	target.mac	常數：mac_address
不適用	target.nat_ip	常數：destination_translated_address
不適用	target.resource.attribute.labels	常數：resource_Type_label
不適用	target.user.attribute.roles	常數：target_role

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。