我們重新調整了說明文件的導覽結構，直接對應您的作業工作流程。詳情請參閱版本資訊和逐步解說影片。

Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Symantec EDR 記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane 代理程式，將 Symantec EDR 記錄擷取至 Google Security Operations。

Symantec 端點偵測與應變 (EDR) 是一種威脅偵測解決方案，可針對端點活動、程序執行、網路連線、檔案作業、登錄修改和安全事件產生系統記錄訊息。剖析器會從 JSON 格式和 CEF 格式的記錄檔中擷取欄位，並對應至統一資料模型 (UDM)。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
Bindplane 代理程式與 Symantec EDR 設備之間的網路連線
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
Symantec EDR 網頁版 UI 的管理員存取權

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 的系統上。

注意： 這個 JSON 檔案包含驗證 Bindplane 代理程式與 Google SecOps 的憑證。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」部分中的客戶 ID。

注意： 設定 Bindplane 代理程式匯出工具時，必須提供客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安裝完成。
執行下列指令，確認安裝成功：
```
sc query observiq-otel-collector
```
服務應顯示為「RUNNING」。

Linux 安裝

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安裝完成。
執行下列指令，確認安裝成功：
```
sudo systemctl status observiq-otel-collector
```
服務應顯示為有效 (執行中)。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

Linux：

sudo nano /opt/observiq-otel-collector/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的所有內容替換為下列設定：

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/symantec_edr:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: SYMANTEC_EDR
        raw_log_field: body

service:
    pipelines:
        logs/symantec_edr_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/symantec_edr

設定參數

替換下列預留位置：

接收器設定：
- listen_address：要接聽的 IP 位址和通訊埠：
  - 0.0.0.0，監聽所有介面 (建議)
  - 通訊埠 514 是標準的系統記錄通訊埠 (在 Linux 上需要根層級權限；非根層級權限請使用 1514)
匯出工具設定：
- creds_file_path：擷取驗證檔案的完整路徑：
  - Linux：/etc/bindplane-agent/ingestion-auth.json
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id：從 Google SecOps 控制台複製的客戶 ID
- endpoint：區域端點網址：
  - 美國：malachiteingestion-pa.googleapis.com
  - 歐洲：europe-malachiteingestion-pa.googleapis.com
  - 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
  - 如需完整清單，請參閱「區域端點」

儲存設定檔

編輯完成後，請儲存檔案：
- Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
- Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

sudo systemctl restart observiq-otel-collector

確認服務正在執行：

sudo systemctl status observiq-otel-collector

檢查記錄中是否有錯誤：

sudo journalctl -u observiq-otel-collector -f

如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列其中一個選項：
- 以管理員身分開啟命令提示字元或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服務控制台：
  1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
  2. 找出 observIQ OpenTelemetry Collector。
  3. 按一下滑鼠右鍵，然後選取「重新啟動」。
  4. 確認服務正在執行：
```
sc query observiq-otel-collector
```
  5. 檢查記錄中是否有錯誤：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

在 Symantec EDR 中設定系統記錄檔

登入 Symantec EDR 網頁版使用者介面。
在 EDR 雲端控制台中，依序前往「Environment」>「Settings」。
選取裝置，然後按一下「裝置」。
在 EDR 設備控制台中，依序點選「Settings」>「Appliances」。
按一下「編輯預設裝置」。
在「裝置」清單中，按兩下裝置。
在「Syslog」部分，清除「Use default」(使用預設值) (如果已標記)。
按一下「+ 新增 Syslog 伺服器」。
請提供下列設定詳細資料：
- 主機：輸入 Bindplane 代理程式 IP 位址。
- 「通訊協定」：選取已設定的通訊協定 (例如 UDP)。
- 「Port」(通訊埠)：輸入 Bindplane 代理程式通訊埠編號 (例如 514)。
按一下 [儲存]。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`actor.cmd_line`	`principal.process.command_line`	執行者程序執行的指令列。
`actor.file.md5`	`principal.process.file.md5`	行為人執行檔的 MD5 雜湊。
`actor.file.path`	`principal.process.file.full_path`	執行檔的完整路徑。
`actor.file.sha2`	`principal.process.file.sha256`	執行檔的 SHA256 雜湊值。
`actor.pid`	`principal.process.pid`	參與者的程序 ID。
`actor.uid`	`principal.resource.id`	演員的專屬 ID。
`actor.user.name`	`principal.user.userid`	執行者的使用者名稱。
`actor.user.sid`	`principal.user.windows_sid`	執行者使用者的 Windows SID。
`attack.technique_name`	`security_result.threat_name`	MITRE ATT&CK 技術的名稱。
`attack.technique_uid`	`security_result.description`	與 attack.technique_name 一併使用，以「：。」格式填入 security_result.description。
`collector_device_ip`	`intermediary.ip`	收集器裝置的 IP 位址。
`collector_device_name`	`intermediary.hostname`	收集器裝置的主機名稱。
`collector_name`	`intermediary.resource.name`	收集器名稱。
`collector_uid`	`intermediary.resource.id`	收集器的專屬 ID。
`connection.bytes_download`	`network.received_bytes`	連線中下載的位元組數。
`connection.bytes_upload`	`network.sent_bytes`	連線中上傳的位元組數。
`connection.direction_id`	`network.direction`	網路連線的方向 (1 代表 INBOUND，2 代表 OUTBOUND)。
`connection.dst_ip`	`target.ip`	連線的目的地 IP 位址。
`connection.dst_port`	`target.port`	連線的目標通訊埠。
`connection.src_ip`	`principal.ip`	連線的來源 IP 位址。
`connection.src_name`	`principal.hostname`	連線的來源主機名稱。
`connection.src_port`	`principal.port`	連線的來源通訊埠。
`connection.url.host`	`target.hostname`	連線網址中的主機名稱。
`connection.url.scheme`	`network.application_protocol`	連線網址的通訊協定 (例如 HTTP、HTTPS)。
`connection.url.text`	`target.url`	完整連線網址。
`data_source_url_domain`	`target.url`	資料來源網址的網域。
`device_domain`	`principal.administrative_domain/target.administrative_domain`	裝置的網域。根據與 connection.direction_id 相關的邏輯，對應至主體或目標。
`device_ip`	`principal.ip/target.ip`	裝置的 IP 位址。根據與 connection.direction_id 相關的邏輯，對應至主體或目標。
`device_name`	`principal.hostname/target.hostname`	裝置名稱。根據與 connection.direction_id 相關的邏輯，對應至主體或目標。
`device_os_name`	`principal.platform_version/target.platform_version`	裝置搭載的作業系統，根據與 connection.direction_id 相關的邏輯，對應至主體或目標。
`device_uid`	`target.asset_id`	裝置的專屬 ID，開頭為「裝置 ID:」。
`directory.path`	`target.file.full_path`	目錄路徑。
`domain_name`	`target.administrative_domain`	網域名稱。
`event_actor.file.path`	`target.process.file.full_path`	事件參與者的可執行檔路徑。
`event_actor.pid`	`target.process.pid`	事件參與者的程序 ID。
`event_desc`	`metadata.description`	事件說明。
`externalIP`	`target.ip`	外部 IP 位址。
`file.md5`	`target.file.md5`	檔案的 MD5 雜湊。
`file.path`	`target.file.full_path`	檔案路徑。
`file.rep_prevalence_band`	`additional.fields.value.number_value`	檔案的信譽普及程度範圍，對應至 keyprevalence_score。
`file.rep_score_band`	`additional.fields.value.number_value`	檔案的信譽分數範圍，對應於 keyreputation_score。
`file.sha2`	`target.file.sha256`	檔案的 SHA256 雜湊值。
`file.size`	`target.file.size`	檔案大小。
`internalHost`	`principal.hostname`	內部主機名稱。
`internalIP`	`principal.ip`	內部 IP 位址。
`internal_port`	`principal.port`	內部通訊埠。
`kernel.name`	`target.resource.name`	核心物件的名稱。Thetarget.resource.typeis set toMUTEX.
`message`	`metadata.description`	記錄訊息。
`module.md5`	`target.process.file.md5`	模組的 MD5 雜湊。
`module.path`	`target.process.file.full_path`	模組的路徑。
`module.sha2`	`target.process.file.sha256`	模組的 SHA256 雜湊。
`module.size`	`target.process.file.size`	模組大小。
`process.cmd_line`	`target.process.command_line`	程序的指令列。
`process.file.md5`	`target.process.file.md5`	程序的執行檔 MD5 雜湊。
`process.file.path`	`target.process.file.full_path`	程序執行檔的路徑。
`process.file.sha2`	`target.process.file.sha256`	程序執行檔的 SHA256 雜湊值。
`process.pid`	`target.process.pid`	程序 ID。
`process.uid`	`target.resource.id`	程序的專屬 ID。
`process.user.name`	`target.user.userid`	與程序相關聯的使用者名稱。
`process.user.sid`	`target.user.windows_sid`	程序使用者的 Windows SID。
`product_name`	`metadata.product_name`	產生記錄的產品名稱。
`product_ver`	`metadata.product_version`	產生記錄的產品版本。
`reg_key.path`	`target.registry.registry_key`	登錄機碼路徑。
`reg_value.data`	`target.registry.registry_value_data`	登錄值資料。
`reg_value.name`	`target.registry.registry_value_name`	登錄值名稱。
`reg_value.path`	`target.registry.registry_key`	值的登錄機碼路徑。
`security_result.severity`	`security_result.severity`	安全性結果的嚴重程度。從數值轉換為 UDM 列舉 (例如 1 為 LOW、5 為 MEDIUM、10 為 LOW、15 為 LOW)。
`session.id`	`network.session_id`	工作階段 ID。
`session.user.name`	`target.user.userid`	與工作階段相關聯的使用者名稱。
`sid`	`principal.user.userid`	安全性識別碼 (SID)。
`status_detail`	`security_result.summary`	狀態的其他詳細資料。
`type_id`	`metadata.product_event_type`	事件類型 ID。
`user_agent_ip`	`target.ip`	使用者代理程式的 IP 位址。
`user_name`	`principal.user.userid/target.user.user_display_name`	使用者名稱。根據與 CEF 或 JSON 剖析相關的邏輯，對應至主體或目標。
`user_uid`	`target.user.userid`	使用者的專屬 ID。
`uuid`	`metadata.product_log_id`	活動的 UUID。
`event.idm.read_only_udm.metadata.event_timestamp`	`event.idm.read_only_udm.metadata.event_timestamp`	事件的時間戳記。衍生自 log_time 或 CEFdevice_time。
`event.idm.read_only_udm.metadata.log_type`	`event.idm.read_only_udm.metadata.log_type`	記錄類型。硬式編碼至 SYMANTEC_EDR。
`event.idm.read_only_udm.metadata.vendor_name`	`event.idm.read_only_udm.metadata.vendor_name`	供應商名稱。硬式編碼至 Symantec。
`event.idm.read_only_udm.extensions.auth.type`	`event.idm.read_only_udm.extensions.auth.type`	驗證類型。登入和登出事件請設為 MACHINE。
`security_result.action`	`security_result.action`	因應安全性事件採取的行動。設為 ALLOW，允許成功登入和登出。
`log_time`	`event.idm.read_only_udm.metadata.collected_timestamp`	從變更記錄對應
`user_name`	`event.idm.read_only_udm.target.user.user_display_name`	從變更記錄對應
`severity_id`	`event.idm.read_only_udm.security_result.severity_details`	從變更記錄對應
`risk_ref_value`	`event.idm.read_only_udm.security_result.risk_score`	從變更記錄對應
`attacks.technique_uid`	`event.idm.read_only_udm.security_result.attack_details.techniques`	從變更記錄對應
`attacks.technique_uid`	`event.idm.read_only_udm.security_result.attack_details.tactics`	從變更記錄對應
`event_actor.file.normalized_path`	`event.idm.read_only_udm.principal.file.full_path`	從變更記錄對應
`event_actor.file.name`	`event.idm.read_only_udm.principal.process.file.names`	從變更記錄對應
`user_sid`	`event.idm.read_only_udm.target.user.windows_sid`	從變更記錄對應
`event_actor.file.signature_company_name`	`event.idm.read_only_udm.principal.group.group_display_name`	從變更記錄對應
`event_actor.app_name`	`event.idm.read_only_udm.principal.application`	從變更記錄對應
`event_actor.integrity_id`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`event_actor_integrity_id`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`event_actor.signature_level_id`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`event_actor_signature_level_id`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`event_actor.start_time`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`event_actor_start_time`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`event_actor.file.modified`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`event_actor_file_modified`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`operation`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`event_actor.file.signature_value_ids`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`signature_value_id_0`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`signature_value_id_1`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`analysis`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`amsi_data`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`log_name`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`scan_uid`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`enriched_data.category_id`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`category_id`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。