我们已重新整理文档导航结构，使其与您的运营工作流程直接保持一致。如需了解详情，请参阅版本说明和演示视频。

Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

收集 Sophos Endpoint 日志

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 代理收集 Sophos Endpoint（以前称为 Sophos AV/Intercept X）日志。解析器会将 JSON 日志转换为统一数据模型 (UDM)。它会从嵌套的 JSON 结构中提取字段，将其映射到 UDM 字段，并根据类型字段执行事件分类，从而使用不同 Sophos AV 事件类型的具体详细信息和操作来丰富数据。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
Windows 2016 或更高版本，或者具有 systemd 的 Linux 主机
一台额外的 Windows 或 Linux 机器，能够持续运行 Python
如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开
对 Sophos Central 管理控制台的特权访问权限

获取 Google SecOps 数据注入身份验证文件

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 收集代理。
下载数据注入身份验证文件。
将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 配置文件。
复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符或 PowerShell。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安装

打开具有 root 或 sudo 权限的终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安装资源

如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

访问配置文件：
- 找到 config.yaml 文件。通常，该文件位于 Linux 上的 /etc/bindplane-agent/ 目录中或 Windows 上的安装目录中。
- 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

按如下方式修改 config.yaml 文件：

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'SOPHOS_AV'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

根据基础架构的需要替换端口和 IP 地址。
将 <customer_id> 替换为实际的客户 ID。
将 /path/to/ingestion-authentication-file.json 更新为在第 1 步中保存身份验证文件的文件路径。

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请运行以下命令：
```
sudo systemctl restart bindplane-agent
```
如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

配置 Sophos Central API 访问权限

登录 Sophos Central Admin。
依次选择全局设置 > API 令牌管理。
点击添加令牌以创建新令牌。
输入令牌名称，然后点击保存。系统会显示所提供令牌的 API 令牌摘要。
在 API 令牌摘要部分，点击复制以复制 API 访问网址和标头。

在其他机器上安装 Python

打开网络浏览器，然后前往 Python 网站。
点击适用于您的操作系统（Windows 或 Mac）的 Download Python。
安装 Python。
- 在 Windows 上：
  1. 运行安装程序。
  2. 勾选显示 Add Python to PATH 的复选框。
  3. 点击立即安装。
- 在 Mac 上：
  1. Python 可能已安装，如果没有，您可以使用终端安装最新版本。
  2. 打开终端，然后输入以下命令：
```
python --version
```

下载 Sophos 集成脚本

前往 Sophos Central SIEM Integration GitHub Repository 的 GitHub 页面。
依次点击绿色的“代码”按钮 >“下载 ZIP”。
提取 ZIP 文件。

设置脚本配置

使用文本编辑器找到并打开 config.ini 文件。
修改配置文件：
- API 令牌：输入之前从 Sophos Central 复制的 API 密钥。
- Syslog 服务器详细信息：输入 Syslog 服务器的详细信息。
- 主机：输入 Bindplane IP 地址。
- 端口：输入 Bindplane 端口号。
- 协议：输入 UDP（您也可以根据自己的设置使用 TCP 或 TLS）。
保存文件。

运行脚本

前往脚本文件夹。
- 在 Windows 上：
  1. 按 Windows 键，然后输入 cmd。
  2. 点击命令提示符。
  3. 前往脚本文件夹：
```
cd C:UsersYourNameDownloadsSophos-Central-SIEM-Integration
```
- 在 macOS 上：
  1. 依次前往应用 > 实用程序。
  2. 打开终端。
  3. 前往脚本文件夹：
```
cd /Users/YourName/Downloads/Sophos-Central-SIEM-Integration
```
运行脚本：
- 输入以下命令以启动脚本：
```
python siem.py
```
  注意：脚本将开始从 Sophos Central 获取日志，并以 JSON 格式将其转发到您的 Syslog 服务器。

自动执行脚本，使其在 Windows 上持续运行（使用任务调度程序）：

在“开始”菜单中输入任务计划程序，打开“任务计划程序”。
点击创建任务。
在常规标签页中：
- 为任务命名，例如 Sophos AV Log Export。
在触发器标签页中：
- 点击新建，然后将任务设置为每天或启动时运行（具体取决于您的偏好）。
在操作标签页中：
- 点击新建，然后选择启动程序。
- 浏览 python.exe 可执行文件（通常位于 C:PythonXXpython.exe）。
- 在添加实参字段中，输入脚本的路径，例如 C:UsersYourNameDownloadsSophos-Central-SIEM-Integrationsiem.py。
点击确定以保存任务。

自动执行脚本，使其在 Mac 上持续运行（使用 Cron 作业）：

打开终端。
输入 crontab -e，然后按 Enter。
在文件末尾添加新行：
```
* * * * * /usr/bin/python /Users/YourName/Downloads/Sophos-Central-SIEM-Integration/siem.py
```
注意：此命令将每分钟运行一次脚本。请根据需要调整时间。
保存并退出编辑器。

UDM 映射表

日志字段	UDM 映射	逻辑
`s_ip`	`intermediary.ip`	已合并
`description`	`metadata.description`	直接映射
`name`	`metadata.description`	直接映射
`security_result.description`	`metadata.description`	已重命名/已映射
`end`	`metadata.event_timestamp`	解析为 `RFC 3339`
`ts`	`metadata.event_timestamp`	解析为 `RFC 3339`
`action`	`metadata.event_type`	已映射：`unknown` → `NETWORK_CONNECTION`、`allowed` → `SCAN_PROCESS`、`blocked` → `SCAN_PROC...
`e_type`	`metadata.event_type`	映射值（共 11 个，例如 `NonCompliant` → `SCAN_HOST`、`SavDisabled` → `SETTING_MODIFIC...
`type`	`metadata.event_type`	映射的值（总共 13 个，例如 `Event::Endpoint::NonCompliant` → `SCAN_HOST`，`Event::Endpoin...
`e_type`	`metadata.product_event_type`	直接映射
`type`	`metadata.product_event_type`	直接映射
`action`	`network.direction`	映射：`warned` → `OUTBOUND`，`unknown` → `OUTBOUND`
`e_type`	`network.direction`	已映射：`WindowsFirewall::Blocked` → `OUTBOUND`
`type`	`network.direction`	已映射：`Event::Endpoint::WindowsFirewall::Blocked` → `OUTBOUND`
`action`	`network.ip_protocol`	映射：`warned` → `TCP`，`unknown` → `TCP`
`appSha256`	`principal.file.sha256`	直接映射
`dhost`	`principal.hostname`	直接映射
`host`	`principal.hostname`	直接映射
`source_info.ip`	`principal.ip`	已合并
`src_ip`	`principal.ip`	已合并
`id`	`principal.resource.id`	直接映射
`suser`	`principal.user.user_display_name`	直接映射
`suser`	`principal.user.userid`	直接映射
`user`	`principal.user.userid`	直接映射
`user_id`	`principal.user.userid`	直接映射
`endpoint_id_label`	`security_result.about.labels`	已合并
`endpoint_type_label`	`security_result.about.labels`	已合并
`action`	`security_result.action`	映射的值（总共 5 个，例如 `allow` → `sec_action`、`unknown` → `sec_action`、`allowed` → `...
`sec_action`	`security_result.action`	已合并
`group`	`security_result.category_details`	已合并
`sub_cat`	`security_result.category_details`	已合并
`desc`	`security_result.description`	直接映射
`e_type`	`security_result.description`	已映射：`(UpdateRebootRequired/ServiceNotRunning/NonCompliant/OutOfDate)` → `security_result...
`type`	`security_result.description`	已映射：`Event::Endpoint::(UpdateRebootRequired/ServiceNotRunning/NonCompliant/OutOfDate)` →...
`rule`	`security_result.rule_name`	直接映射
`rules`	`security_result.rule_name`	直接映射
`severity`	`security_result.severity`	映射值（总共 6 个，例如 `low` → `LOW`、`low` → `MEDIUM`、`low` → `HIGH`）
`security_result.description`	`security_result.summary`	已重命名/已映射
`application`	`target.application`	直接映射
`endpoint_id`	`target.asset_id`	直接映射
`f_path`	`target.file.full_path`	直接映射
`f_size`	`target.file.size`	已重命名/已映射
`dhost`	`target.hostname`	直接映射
`host`	`target.hostname`	直接映射
`application`	`target.process.file.full_path`	直接映射
`customer_id`	`target.resource.id`	直接映射
`e_type`	`target.resource.name`	映射：`SavDisabled` → `Real time protection`、`OutOfDate` → `Device Registration`、`Regist...
`p_device`	`target.resource.name`	直接映射
`scan_name`	`target.resource.name`	直接映射
`type`	`target.resource.name`	映射：`Event::Endpoint::SavDisabled` → `Real time protection`，`Event::Endpoint::OutOfDate...
`action`	`target.resource.type`	映射：`blocked` → `Device`，`restricted to read-only` → `Device`
`e_type`	`target.resource.type`	映射的值（总共 5 个，例如 `SavDisabled` → `SETTING`、`OutOfDate` → `SETTING`、“已注册...
`type`	`target.resource.type`	映射的值（总共 5 个，例如 `Event::Endpoint::SavDisabled` → `SETTING`、`Event::Endpoint::O...
`url`	`target.url`	直接映射
`duid`	`target.user.userid`	直接映射
`suser`	`target.user.userid`	直接映射
`user`	`target.user.userid`	直接映射
不适用	`metadata.event_type`	常量：`GENERIC_EVENT`
不适用	`metadata.product_name`	常量：`Sophos Anti-Virus`
不适用	`metadata.vendor_name`	常量：`Sophos`
不适用	`network.direction`	常量：`OUTBOUND`
不适用	`network.ip_protocol`	常量：`TCP`
不适用	`security_result.description`	常量：`security_result.summary`
不适用	`security_result.severity`	常量：`LOW`
不适用	`target.resource.name`	常量：`Real time protection`
不适用	`target.resource.type`	常量：`SETTING`

更新日志

查看相应解析器的更改日志