收集 Trellix EPO 記錄

本文說明如何使用 Bindplane 代理程式，將 Trellix ePO 記錄擷取至 Google Security Operations。

Trellix ePO (前身為 McAfee ePolicy Orchestrator) 是集中式安全管理平台，可跨端點安全產品提供統一的政策執行、即時可視性和自動化合規性。管理員可透過單一網頁式控制台管理安全性政策、部署代理程式、監控威脅及產生報表。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• 搭載 systemd 的 Windows 2016 以上版本或 Linux 主機
• 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
• 具備管理員權限，可存取 Trellix ePO 控制台

取得 Google SecOps 擷取驗證檔案

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 下載擷取驗證檔案。
4. 將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「設定檔」。
3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安裝

1. 開啟具有根層級或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安裝資源

如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

1. 存取設定檔：

   • 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄，或 Windows 的安裝目錄。
   • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

2. 按照下列方式編輯 config.yaml 檔案：

   receivers:
     tcplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: YOUR_CUSTOMER_ID_HERE
       endpoint: malachiteingestion-pa.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'MCAFEE_EPO'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • 視基礎架構需求替換通訊埠和 IP 位址。
   • 將 YOUR_CUSTOMER_ID_HERE 替換為實際的客戶 ID。
   • 將 /path/to/ingestion-authentication-file.json 更新為您在步驟 1 中儲存驗證檔案的檔案路徑。
   • 請更新 endpoint 值，確保與租戶的區域相符。

重新啟動 Bindplane 代理程式，以套用變更

1. 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

   sudo systemctl restart observiq-otel-collector
   

2. 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」主控台，或輸入下列指令：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

設定 Trellix ePO 系統記錄檔轉送功能

1. 使用管理員憑證登入 Trellix ePO 控制台。
2. 依序前往「選單」>「設定」>「已註冊的伺服器」。
3. 按一下「新增伺服器」。
4. 在「伺服器類型」下拉式清單中，選取「系統記錄」。
5. 在「Name」(名稱) 欄位中，輸入描述性名稱 (例如 Chronicle-Bindplane)。
6. 點選「下一步」。
7. 在「Syslog Server」欄位中，輸入 Bindplane 代理程式主機的 IP 位址 (例如 192.168.1.100)。
8. 在「Port」(通訊埠) 欄位中輸入 514 (或在 Bindplane 中設定的通訊埠)。
9. 在「Protocol」(通訊協定) 下拉式清單中，選取「TCP」。
10. 在「Event format」(事件格式) 下拉式清單中，選取「Common Event Format (CEF)」(通用事件格式)。
11. 按一下「測試連線」，驗證與 Bindplane 代理程式的連線。
12. 按一下 [儲存]。
13. 依序點選「選單」>「自動化」>「自動回覆」。
14. 按一下「新增回覆」，建立新的自動回覆規則。
15. 在「Name」(名稱) 欄位中，輸入描述性名稱 (例如 Syslog-Chronicle)。
16. 在「Event Group」(事件群組) 下拉式清單中，選取要轉送的事件群組：
    • ePO 通知事件
    • 威脅事件
    • 用戶端事件
17. 點選「下一步」。
18. 在「篩選器」分頁中，視需要設定任何事件篩選器 (或保留預設值，轉送所有事件)。
19. 點選「下一步」。
20. 在「動作」部分中，選取「傳送系統記錄」。
21. 在「Syslog Server」(系統記錄伺服器) 下拉式清單中，選取已註冊的系統記錄伺服器 (Chronicle-Bindplane)。
22. 點選「下一步」。

23. 檢查設定，然後按一下「儲存」。