收集 Trellix EPO 記錄

支援：

本文說明如何使用 Bindplane 代理程式，將 Trellix ePO 記錄檔擷取至 Google Security Operations。

Trellix ePO (前身為 McAfee ePolicy Orchestrator) 是集中式安全管理平台，可跨端點安全產品提供統一的政策執行、即時可視性和自動化合規性。管理員可以透過單一網頁式控制台，管理安全性政策、部署代理程式、監控威脅及產生報表。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • Windows 2016 以上版本或 Linux 主機，並安裝 systemd
  • 如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
  • 具備管理員權限的 Trellix ePO 控制台特殊存取權

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

  • 新部署作業：使用 Chronicle API (選項 1)。
  • 舊版部署作業：在 2027 年 7 月 20 日停用 Ingestion API 前，請繼續使用擷取驗證檔案 (選項 2)。
  1. 登入 Google Cloud 控制台，然後選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
  2. 依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
  3. 按一下「建立服務帳戶」。
  4. 請提供下列設定詳細資料：
    • 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如 bindplane-ingest)。
    • 服務帳戶說明：輸入說明 (例如 Bindplane agent log ingestion)。
  5. 點按「Create and continue」(建立並繼續)。
  6. 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
  7. 依序點選「繼續」和「完成」。
  8. 按一下您建立的服務帳戶，然後前往「金鑰」分頁。
  9. 依序點選「新增金鑰」>「建立新的金鑰」。
  10. 選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
  11. 將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
  12. 依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。匯出工具設定時會用到。

方法 2：下載擷取驗證檔案 (舊版)

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM Settings」 > 「Collection Agents」。
  3. 下載擷取驗證檔案。
  4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。
  3. 複製並儲存「機構詳細資料」專區中的「客戶 ID」。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

  1. 開啟具有 root 或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理，擷取 Syslog 並傳送至 Google SecOps

  1. 存取設定檔：

    • 找出 config.yaml 檔案。通常位於 Linux 的 /opt/observiq-otel-collector/ 目錄，或 Windows 的安裝目錄。
    • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

  2. 按照下列方式編輯 config.yaml 檔案：

    receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID_HERE
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'MCAFEE_EPO'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels
    • 請根據基礎架構需求，替換通訊埠和 IP 位址。
    • 將 YOUR_CUSTOMER_ID_HERE 替換為實際的客戶 ID。
    • 將 /path/to/ingestion-authentication-file.json 更新為步驟 1 中儲存服務帳戶金鑰檔案 (選項 1) 的檔案路徑。
    • 將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。如需完整清單，請參閱「區域性端點」。
    • 將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。

舊版 Ingestion API 匯出工具

  • 如果您使用選項 2 的擷取驗證檔案，請將 exporters 區塊替換為下列內容。將 creds_file_path 設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID_HERE
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'MCAFEE_EPO'
    raw_log_field: body
    ingestion_labels:

重新啟動 Bindplane 代理程式，套用變更

  1. 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

    sudo systemctl restart observiq-otel-collector

  2. 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「Services」控制台，或輸入下列指令：

    net stop observiq-otel-collector && net start observiq-otel-collector

設定 Trellix ePO 系統記錄檔轉送功能

  1. 使用管理員憑證登入 Trellix ePO 控制台。
  2. 依序點選「選單」 > 「設定」 > 「已註冊的伺服器」。
  3. 按一下「New Server」。
  4. 在「Server type」(伺服器類型) 下拉式選單中，選取「Syslog」。
  5. 在「Name」(名稱) 欄位輸入描述性名稱，例如 Chronicle-Bindplane。
  6. 點選「下一步」。
  7. 在「Syslog Server」(Syslog 伺服器) 欄位中，輸入 Bindplane 代理程式主機的 IP 位址 (例如 192.168.1.100)。
  8. 在「Port」(通訊埠) 欄位中，輸入 514 (或在 Bindplane 中設定的通訊埠)。
  9. 在「通訊協定」下拉式清單中，選取「TCP」。
  10. 在「Event format」(事件格式) 下拉式選單中，選取「Common Event Format (CEF)」(通用事件格式 (CEF))。
  11. 點選「測試連線」，驗證與 Bindplane 代理程式的連線能力。
  12. 按一下 [儲存]。
  13. 依序點選「選單」>「自動化」>「自動回覆」。
  14. 按一下「New Response」(新增回覆)，建立新的自動回覆規則。
  15. 在「Name」(名稱) 欄位輸入描述性名稱，例如 Syslog-Chronicle。
  16. 在「Event Group」(事件群組) 下拉式清單中，選取要轉送的事件群組：
    • ePO 通知事件
    • 威脅事件
    • 用戶端事件
  17. 點選「下一步」。
  18. 在「篩選器」分頁中，視需要設定事件篩選器 (或保留預設值，轉送所有事件)。
  19. 點選「下一步」。
  20. 在「動作」部分，選取「傳送系統記錄」。
  21. 在「Syslog Server」(系統記錄伺服器) 下拉式清單中，選取已註冊的系統記錄伺服器 (Chronicle-Bindplane)。
  22. 點選「下一步」。

  23. 檢查設定，然後按一下「儲存」。

UDM 對應表

記錄欄位 UDM 對應 邏輯
about_token about 已合併
additional_token additional 已重新命名/對應
ActionID_label additional.fields 已合併
BadLinkRatingID_label additional.fields 已合併
ContentID_label additional.fields 已合併
DownloadRatingID_label additional.fields 已合併
Error_label additional.fields 已合併
ExploitRatingID_label additional.fields 已合併
InitiatorID_label additional.fields 已合併
InitiatorType_label additional.fields 已合併
ListID_label additional.fields 已合併
Locale_label additional.fields 已合併
PhishingRatingID_label additional.fields 已合併
PopupRatingID_label additional.fields 已合併
ProductID_label additional.fields 已合併
RatingID_label additional.fields 已合併
ReasonID_label additional.fields 已合併
SiteName_label additional.fields 已合併
SourceProcessSigned_label additional.fields 已合併
SourceProcessSigner_label additional.fields 已合併
SpamRatingID_label additional.fields 已合併
TargetDriveType_label additional.fields 已合併
_field additional.fields 已合併
analyzer_engine_version_label additional.fields 已合併
analyzer_ipv4_label additional.fields 已合併
analyzer_label additional.fields 已合併
analyzer_name_label additional.fields 已合併
analyzerengineversion_label additional.fields 已合併
bps_id_label additional.fields 已合併
client_labels_ additional.fields 已合併
description_value_label additional.fields 已合併
detected_utc_label additional.fields 已合併
eventType_label additional.fields 已合併
event_version_label additional.fields 已合併
extradatnames_label additional.fields 已合併
machine_agent_version_label additional.fields 已合併
opg_data_label additional.fields 已合併
product_family_label additional.fields 已合併
product_name_label additional.fields 已合併
server_list_labels additional.fields 已合併
source_ipv4_label additional.fields 已合併
sphotfix_label additional.fields 已合併
target_protocol_label additional.fields 已合併
targetprotocol_label additional.fields 已合併
tenant_guid_label additional.fields 已合併
tenant_id_label additional.fields 已合併
tenant_node_path_label additional.fields 已合併
threat_action_taken_label additional.fields 已合併
time_s_zone_label additional.fields 已合併
timezone_bias_label additional.fields 已合併
type_label additional.fields 已合併
user_info_label additional.fields 已合併
verbuild_label additional.fields 已合併
vermin_label additional.fields 已合併
vermjr_label additional.fields 已合併
verrev_label additional.fields 已合併
workflowid_label additional.fields 已合併
intermediary intermediary 已合併
intermediary1 intermediary 已合併
Analyzer intermediary.application 直接對應
analyzer intermediary.application 直接對應
AnalyzerHostName intermediary.asset.hostname 直接對應
AnalyzerMAC intermediary.asset.mac 已合併
AnalyzerHostName intermediary.hostname 直接對應
analyzerhostname intermediary.hostname 直接對應
analyzeripv4 intermediary.ip 已合併
AnalyzerMAC intermediary.mac 已合併
analyzermac intermediary.mac 已合併
Name metadata.description 直接對應
event_description metadata.description 直接對應
eventname metadata.description 直接對應
scantype metadata.description 直接對應
tvdeventid metadata.description 直接對應
event_type metadata.event_type 直接對應
TenantId metadata.product_deployment_id 直接對應
EventID metadata.product_event_type 直接對應
Type metadata.product_event_type 直接對應
eventType metadata.product_event_type 直接對應
prod_event_type metadata.product_event_type 直接對應
product_event_type metadata.product_event_type 已重新命名/對應
tvdeventid metadata.product_event_type 直接對應
AutoID metadata.product_log_id 直接對應
AutoId metadata.product_log_id 直接對應
alertId metadata.product_log_id 直接對應
autoid metadata.product_log_id 直接對應
product_log_id metadata.product_log_id 已重新命名/對應
analyzername metadata.product_name 直接對應
product_name metadata.product_name 直接對應
AnalyzerVersion metadata.product_version 直接對應
analyzerversion metadata.product_version 直接對應
product_version metadata.product_version 直接對應
productversion metadata.product_version 直接對應
app_protocol network.application_protocol 直接對應
target_protocol network.ip_protocol 直接對應
sys_ip observer.ip 已合併
analyzer_name observer.namespace 直接對應
principal_token principal 已重新命名/對應
source_user_domain principal.administrative_domain 直接對應
application_name principal.application 直接對應
host principal.application 直接對應
process_name principal.application 直接對應
source_process_name principal.application 直接對應
agentguid principal.asset.asset_id 直接對應
token_new principal.asset.attribute.labels 已合併
SiteName principal.asset.hostname 直接對應
SourceHostName principal.asset.hostname 直接對應
host principal.asset.hostname 直接對應
principal_hostname principal.asset.hostname 直接對應
source principal.asset.hostname 直接對應
machine_ip_address principal.asset.ip 已合併
sourceIP principal.asset.ip 已合併
src_ip principal.asset.ip 已合併
SourceMAC principal.asset.mac 已合併
machine_raw_mac_address principal.asset.mac 已合併
AutoGUID principal.asset.product_object_id 直接對應
autoguid principal.asset.product_object_id 直接對應
SiteName principal.hostname 直接對應
SourceHostName principal.hostname 直接對應
TargetHostName principal.hostname 直接對應
analyzer_host_name principal.hostname 直接對應
host principal.hostname 直接對應
machine_name principal.hostname 直接對應
prin_host principal.hostname 直接對應
principal_asset_hostname principal.hostname 直接對應
principal_machine_name principal.hostname 直接對應
source_host_name principal.hostname 直接對應
sourcehostname principal.hostname 直接對應
machine_ip_address principal.ip 已合併
normalized_ip_address principal.ip 已合併
prin_ip principal.ip 已合併
sourceIP principal.ip 已合併
source_ip principal.ip 已合併
sourceipv4 principal.ip 已合併
src_ip principal.ip 已合併
srcip principal.ip 已合併
SourceMAC principal.mac 已合併
machine_raw_mac_address principal.mac 已合併
normalized_mac_address principal.mac 已合併
sourcemac principal.mac 已合併
source_port principal.port 直接對應
cmd_line principal.process.command_line 直接對應
eventCommandLine principal.process.command_line 直接對應
source_process_cmd principal.process.command_line 直接對應
SourceFilePath principal.process.file.full_path 直接對應
SourceProcessName principal.process.file.full_path 直接對應
eventProgramName principal.process.file.full_path 直接對應
process_name principal.process.file.full_path 直接對應
prog_name principal.process.file.full_path 直接對應
sourceprocessname principal.process.file.full_path 直接對應
SourceProcessHash principal.process.file.md5 直接對應
Source_FileSize principal.process.file.size 直接對應
parent_process_name principal.process.parent_process.file.full_path 直接對應
source_parent_process_id principal.process.parent_process.pid 直接對應
process_id principal.process.pid 直接對應
source_process_id principal.process.pid 直接對應
source_device_sn principal.resource.id 直接對應
source_product_name principal.resource.name 直接對應
SourceURL principal.url 直接對應
sourceurl principal.url 直接對應
subject principal.user.group_identifiers 已合併
machine_user_name principal.user.user_display_name 直接對應
source_user_name principal.user.user_display_name 直接對應
username principal.user.user_display_name 直接對應
SourceUserName principal.user.userid 直接對應
clientId principal.user.userid 直接對應
eventProgramUser principal.user.userid 直接對應
sourceusername principal.user.userid 直接對應
sec_res security_result 已合併
security_result security_result 已合併
security_result_token security_result 已合併
virus_type_label security_result.about.resource.attribute.labels 已合併
action security_result.action 已合併
security_action security_result.action 已合併
action_taken security_result.action_details 直接對應
security_action_details security_result.action_details 直接對應
threat_action_taken security_result.action_details 直接對應
category security_result.category 已合併
security_category security_result.category 已合併
ThreatCategory security_result.category_details 已合併
category_details security_result.category_details 已合併
security_category_details security_result.category_details 已合併
threatcategory security_result.category_details 已合併
Data security_result.description 直接對應
natural_lang_description security_result.description 直接對應
security_description security_result.description 直接對應
Access_Requested_label security_result.detection_fields 已合併
Analyzer_ContentVersion_label security_result.detection_fields 已合併
_field security_result.detection_fields 已合併
analyzer_dat_version_label security_result.detection_fields 已合併
analyzer_detection_method_label security_result.detection_fields 已合併
analyzerdatversion_label security_result.detection_fields 已合併
analyzerdetectionmethod_label security_result.detection_fields 已合併
command_executed_label security_result.detection_fields 已合併
label_agent_guid security_result.detection_fields 已合併
label_task_name security_result.detection_fields 已合併
labels0 security_result.detection_fields 已合併
return_code_label security_result.detection_fields 已合併
seq_no_label security_result.detection_fields 已合併
server_id_label security_result.detection_fields 已合併
task_id_label security_result.detection_fields 已合併
task_name_label security_result.detection_fields 已合併
threat_event_id_label security_result.detection_fields 已合併
threat_handled_label security_result.detection_fields 已合併
threat_type_label security_result.detection_fields 已合併
threateventid_label security_result.detection_fields 已合併
threathandled_label security_result.detection_fields 已合併
threattype_label security_result.detection_fields 已合併
total_chunks_label security_result.detection_fields 已合併
transaction_id_label security_result.detection_fields 已合併
TVDEventID security_result.rule_id 直接對應
event_id security_result.rule_id 直接對應
policy_name security_result.rule_name 直接對應
rule_name security_result.rule_name 直接對應
TVDSeverity security_result.severity_details 直接對應
ThreatSeverity security_result.severity_details 直接對應
threat_severity security_result.severity_details 直接對應
threatseverity security_result.severity_details 直接對應
ThreatActionTaken security_result.summary 直接對應
ThreatType security_result.summary 直接對應
detection_message security_result.summary 直接對應
security_result.severity security_result.summary 直接對應
security_summary security_result.summary 直接對應
threat_type security_result.threat_id 直接對應
ThreatName security_result.threat_name 直接對應
threat_name security_result.threat_name 直接對應
threatname security_result.threat_name 直接對應
src_token src 已重新命名/對應
src_domain src.administrative_domain 直接對應
source_ip src.ip 已合併
source_port src.port 直接對應
src_user src.user.userid 直接對應
target_token target 已重新命名/對應
ProductCode target.application 直接對應
tar_app target.application 直接對應
serverid target.asset.asset_id 直接對應
token_new target.asset.attribute.labels 已合併
HostName target.asset.hostname 直接對應
TargetHostName target.asset.hostname 直接對應
target_hostname target.asset.hostname 直接對應
targetIP target.asset.ip 已合併
TargetMAC target.asset.mac 已合併
AgentGUID target.asset_id 直接對應
TargetFileName target.file.full_path 直接對應
target_file_name target.file.full_path 直接對應
targetfilename target.file.full_path 直接對應
target_file_size target.file.size 已重新命名/對應
HostName target.hostname 直接對應
TargetHostName target.hostname 直接對應
machine_name target.hostname 直接對應
target_asset_hostname target.hostname 直接對應
target_host_name target.hostname 直接對應
targethostname target.hostname 直接對應
dstip target.ip 已合併
normalized_ip_address target.ip 已合併
targetIP target.ip 已合併
target_ip target.ip 已合併
target_ipv4 target.ip 直接對應
targetipv4_val target.ip 已合併
TargetMAC target.mac 已合併
normalized_mac_address target.mac 已合併
targetmac target.mac 已合併
TenantId target.namespace 直接對應
tenantid target.namespace 直接對應
TargetPort target.port 直接對應
target_port target.port 直接對應
targetport target.port 直接對應
TargetProcessName target.process.file.full_path 直接對應
eventObject target.process.file.full_path 直接對應
file_name target.process.file.full_path 直接對應
process_name target.process.file.full_path 直接對應
target_file_name target.process.file.full_path 直接對應
target_name target.process.file.full_path 直接對應
targetprocessname target.process.file.full_path 直接對應
value_data target.process.file.full_path 直接對應
hash target.process.file.md5 直接對應
md5 target.process.file.md5 直接對應
target_hash target.process.file.md5 直接對應
sha1 target.process.file.sha1 直接對應
target_sha target.process.file.sha1 直接對應
sha256 target.process.file.sha256 直接對應
file_size target.process.file.size 直接對應
target_parent_file_name target.process.parent_process.file.full_path 直接對應
LogonSessionID target.process.pid 直接對應
tar_pid target.process.pid 直接對應
key_name target.registry.registry_key 直接對應
ThreatName target.resource.name 直接對應
source_url target.url 直接對應
nodeid_label target.user.attribute.labels 已合併
version_label target.user.attribute.labels 已合併
targetuseremail target.user.email_addresses 已合併
machine_user_name target.user.user_display_name 直接對應
target_user_name target.user.user_display_name 直接對應
value target.user.user_display_name 直接對應
TargetUserName target.user.userid 直接對應
UserName target.user.userid 直接對應
UserSID target.user.windows_sid 直接對應
不適用 about 常數：about_token
不適用 additional.fields 常數：eventType_label
不適用 intermediary 常數：intermediary1
不適用 intermediary.asset.mac 常數：AnalyzerMAC
不適用 intermediary.ip 常數：analyzeripv4
不適用 intermediary.mac 常數：AnalyzerMAC
不適用 metadata.description 常數：No raw event available
不適用 metadata.event_type 常數：GENERIC_EVENT
不適用 metadata.product_name 常數：McAfee EPO
不適用 metadata.vendor_name 常數：McAfee
不適用 observer.ip 常數：sys_ip
不適用 principal.asset.attribute.labels 常數：token_new
不適用 principal.asset.ip 常數：src_ip
不適用 principal.asset.mac 常數：SourceMAC
不適用 principal.ip 常數：src_ip
不適用 principal.mac 常數：SourceMAC
不適用 principal.platform 常數：WINDOWS
不適用 principal.process.file.size 常數：uinteger
不適用 principal.user.group_identifiers 常數：subject
不適用 security_result 常數：sec_res
不適用 security_result.about.resource.attribute.labels 常數：virus_type_label
不適用 security_result.action 常數：action
不適用 security_result.category 常數：category
不適用 security_result.category_details 常數：ThreatCategory
不適用 security_result.detection_fields 常數：threat_event_id_label
不適用 security_result.severity 常數：HIGH
不適用 src.ip 常數：source_ip
不適用 target.asset.attribute.labels 常數：token_new
不適用 target.asset.ip 常數：targetIP
不適用 target.asset.mac 常數：TargetMAC
不適用 target.ip 常數：targetIP
不適用 target.mac 常數：TargetMAC
不適用 target.process.file.size 常數：uinteger
不適用 target.user.attribute.labels 常數：version_label
不適用 target.user.email_addresses 常數：targetuseremail

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。