我們重新調整了說明文件的導覽結構，直接對應您的作業工作流程。詳情請參閱版本資訊和逐步解說影片。

Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Sophos 擴大偵測和應變機制記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane 收集 Sophos 擴展式偵測與回應 (前身為 Sophos EDR/Intercept X) 記錄。剖析器會將 JSON 記錄轉換為統一資料模型 (UDM)。這項功能會從巢狀 JSON 結構中擷取欄位，將這些欄位對應至 UDM 欄位，並根據類型欄位執行事件分類，然後根據不同的 Sophos EDR 事件類型，以特定詳細資料和動作擴充資料。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體。
您使用的是 Windows 2016 以上版本，或是搭載 systemd 的 Linux 主機。
您有額外的 Windows 或 Linux 裝置，可持續執行 Python。
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟。
Sophos Central 管理控制台的特殊存取權。

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。
- 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Linux 安裝

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

存取設定檔：
- 找出 config.yaml 檔案。通常位於 Linux 的 /opt/observiq-otel-collector/config.yaml 目錄，或 Windows 的安裝目錄。
- 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

按照下列方式編輯 config.yaml 檔案：

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'SOPHOS_EDR'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

視基礎架構需求，替換通訊埠和 IP 位址。
將 <customer_id> 替換為實際的客戶 ID。
將 /path/to/ingestion-authentication-file.json 更新為您在步驟 1 中儲存驗證檔案的檔案路徑。

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
```
sudo systemctl restart bindplane-agent
```
如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，也可以輸入下列指令：
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

設定 Sophos Central API 存取權

登入 Sophos Central Admin。
選取「Global Settings」>「API Token Management」。
按一下「新增權杖」即可建立新權杖。
輸入權杖名稱，然後按一下「儲存」。系統會顯示所提供權杖的「API 權杖摘要」。
在「API 權杖摘要」部分中，按一下「複製」，複製 API 存取網址和標頭。

在其他機器上安裝 Python

開啟網路瀏覽器，然後前往 Python 網站。
點選作業系統 (Windows 或 Mac) 適用的「下載 Python」。
安裝 Python。
- 使用 Windows 電腦：
  1. 執行安裝程式。
  2. 勾選「Add Python to PATH」方塊。
  3. 按一下「立即安裝」。
- 使用 Mac 電腦：
  1. Python 可能已安裝，如果沒有，您可以使用終端機安裝最新版本。
  2. 開啟「終端機」，然後輸入下列指令：
```
python --version
```

下載 Sophos 整合指令碼

前往 Sophos Central SIEM Integration GitHub 存放區的 GitHub 頁面。
按一下綠色的「Code」按鈕 >「Download ZIP」。
解壓縮 ZIP 檔案。

設定指令碼

尋找並開啟 config.ini 檔案 (使用文字編輯器)。
編輯設定檔：
- API 權杖：輸入先前從 Sophos Central 複製的 API 金鑰。
- 系統記錄檔伺服器詳細資料：輸入系統記錄檔伺服器的詳細資料。
- 主機：輸入 Bindplane 代理程式 IP 位址。
- 「Port」(通訊埠)：輸入 Bindplane 通訊埠編號。
- 通訊協定：輸入 UDP (您也可以視設定使用 TCP 或 TLS)。
儲存檔案。

執行指令碼

前往指令碼資料夾。
- 使用 Windows 電腦：
  1. 按下 Windows 鍵，然後輸入 cmd。
  2. 按一下「命令提示字元」。
  3. 前往指令碼資料夾：
```
cd C:UsersYourNameDownloadsSophos-Central-SIEM-Integration
```
- 在 macOS 上執行下列操作：
  1. 依序前往「應用程式」>「工具程式」。
  2. 開啟 [Terminal]。
  3. 前往指令碼資料夾：
```
cd /Users/YourName/Downloads/Sophos-Central-SIEM-Integration
```
執行指令碼：
- 輸入下列指令來啟動指令碼：
```
python siem.py
```

在 Windows 上自動執行指令碼 (使用工作排程器)：

在「開始」選單中輸入「工作排程器」，開啟工作排程器。
按一下「建立工作」。
在「一般」分頁中：
- 為工作命名，例如 Sophos EDR Log Export。
在「觸發條件」分頁中：
- 按一下「新增」，然後將工作設為「每日」或「啟動時」執行 (視您的偏好設定而定)。
在「動作」分頁中：
- 按一下「新增」，然後選取「開始計畫」。
- 瀏覽 python.exe 可執行檔 (通常位於 C:PythonXXpython.exe)。
- 在「Add arguments」(新增引數) 欄位中，輸入腳本的路徑，例如 C:UsersYourNameDownloadsSophos-Central-SIEM-Integrationsiem.py。
按一下「確定」儲存工作。

自動執行指令碼，在 Mac 上持續運作 (使用 Cron Jobs)：

開啟終端機。
輸入 crontab -e，然後按下 Enter 鍵。

在檔案結尾處加上新的一行：

* * * * * /usr/bin/python /Users/YourName/Downloads/Sophos-Central-SIEM-Integration/siem.py

儲存並結束編輯器。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`name`	`metadata.description`	直接對應
`rt`	`metadata.event_timestamp`	剖析為 `ISO8601`
`has_principal`	`metadata.event_type`	對應：`true` → `NETWORK_UNCATEGORIZED`、`true` → `STATUS_UPDATE`、`true` → `STATUS_STARTUP...
`has_principal_user`	`metadata.event_type`	已對應：`true` → `USER_UNCATEGORIZED`
`has_target_user`	`metadata.event_type`	已對應：`true` → `USER_CREATION`
`type`	`metadata.event_type`	對應值 (共 9 個，例如 `ADSync` → `FILE_SYNC`、`UpdateRebootRequired/RESTARTING/Update...
`type`	`metadata.product_event_type`	直接對應
`source_info.ip`	`principal.asset.ip`	已合併
`group`	`principal.group.group_display_name`	直接對應
`source_info.ip`	`principal.ip`	已合併
`item.descriptor`	`principal.process.file.names`	已合併
`appSha256`	`principal.process.file.sha256`	直接對應
`suser`	`principal.user.userid`	直接對應
`sr_action`	`security_result.action`	已合併
`severity`	`security_result.severity`	直接對應
`detection_identity_name`	`security_result.threat_feed_name`	直接對應
`threat`	`security_result.threat_name`	直接對應
`dhost`	`target.asset.hostname`	直接對應
`data.fileName`	`target.file.full_path`	直接對應
`filePath`	`target.file.full_path`	直接對應
`dhost`	`target.hostname`	直接對應
`id`	`target.process.pid`	直接對應
`endpoint_id_label`	`target.resource.attribute.labels`	已合併
`endpoint_type_label`	`target.resource.attribute.labels`	已合併
`customer_id`	`target.resource.id`	直接對應
`type`	`target.resource.resource_type`	已對應：`ScheduledDataUploadResumed` → `TASK`、`ScheduledDailyLimitExceeded` → `TASK`
`duid`	`target.user.userid`	直接對應
不適用	`metadata.event_type`	常數：`NETWORK_UNCATEGORIZED`
不適用	`metadata.product_name`	常數：`Sophos EDR`
不適用	`metadata.vendor_name`	常數：`SOPHOS`
不適用	`target.resource.resource_type`	常數：`TASK`

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。