收集 General Dynamics Fidelis XPS 記錄

本文說明如何使用 Google Security Operations 轉送器收集 General Dynamics Fidelis XPS 記錄。

詳情請參閱「將資料擷取至 Google Security Operations 總覽」。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文件中的資訊適用於具有 FIDELIS_NETWORK 攝入標籤的剖析器。

設定 General Dynamics Fidelis XPS

1. 登入 CommandPost，管理 Fidelis XPS 設備。
2. 選取「系統」> 匯出」。
3. 按一下「新增」分頁標籤。
4. 在「Export method」(匯出方法) 清單中，選取「ArcSight」。
5. 在「目的地」欄位中，輸入 Google Security Operations 轉送伺服器的 IP 位址和通訊埠編號，例如 514。
6. 在「匯出快訊」部分，選取「全部」核取方塊。
7. 在「匯出頻率」部分，選取「每次收到快訊時」核取方塊。
8. 在「傳輸」部分中，選取「UDP」或「TCP」核取方塊。
9. 在「另存為」欄位中，輸入匯出設定的名稱。

10. 在「資料欄清單」方塊中移動項目，讓項目依下列順序顯示：

    • 時間

    • 動作

    • ALERTUUID

    • APPLICATION_USER

    • 元件

    • COMPR

    • DSTADDR

    • DSTPORT

    • FILENAME

    • FROM

    • GROUP

    • 惡意軟體名稱

    • 惡意軟體類型

    • MD5

    • 政策

    • PROTO

    • REQUEST_METHOD

    • REQUEST_AGENT

    • REQUEST_URL

    • 規則

    • SENIP

    • 嚴重程度

    • SRCADDR

    • SRCPORT

    • 摘要

    • 目標

    • TO

    • VIOLATION_INFO

    • VLAN_ID

    Fidelis XPS 8.1 版新增了可設定的資料，方便您匯出新資料。新欄位包括 REQUEST_METHOD、REQUEST_AGENT、REQUEST_URL、VIOLATION_INFO 和 VLAN_ID。

    VIOLATION_INFO 包含「快訊詳細資料」頁面「違規資訊」部分的所有資料。這類資料包括產生快訊的相符資料。如果資料相符，也會包含動態饋給資料中的任何額外資訊。VIOLATION_INFO 可能很大。在 Syslog 匯出作業中使用這項功能時，必須啟用 TCP。

11. 依序選取「系統」>「惡意軟體」>「惡意軟體偵測」。

12. 勾選「惡意軟體偵測引擎」和「自動惡意軟體政策」核取方塊。

13. 按一下 [儲存]。

設定 Google Security Operations 轉送器，以便擷取 Fidelis Network 記錄

1. 依序選取「SIEM 設定」>「轉送器」。
2. 按一下「新增轉寄者」。
3. 在「轉寄者名稱」欄位中輸入專屬名稱。
4. 依序點選「提交」和「確認」。轉送器新增完成後，系統會顯示「新增收集器設定」視窗。
5. 在「Collector name」(收集器名稱) 欄位中，輸入收集器的專屬名稱。
6. 選取「Fidelis Network」做為「記錄類型」。
7. 選取「Syslog」做為「收集器類型」。
8. 設定下列輸入參數：
   • 通訊協定：指定收集器用來監聽系統記錄資料的連線通訊協定。
   • 地址：指定收集器所在位置的目標 IP 位址或主機名稱，並監聽系統記錄資料。
   • 通訊埠：指定收集器所在位置的目標通訊埠，並監聽系統記錄檔資料。
9. 按一下「提交」。

如要進一步瞭解 Google Security Operations 轉送器，請參閱「透過 Google Security Operations 使用者介面管理轉送器設定」。

如果在建立轉寄者時遇到問題，請與 Google Security Operations 支援團隊聯絡。

欄位對應參考資料

這個剖析器會處理 SYSLOG、鍵/值組合和 JSON 格式的 Fidelis Network 記錄，並將其轉換為 UDM。並擷取欄位、處理各種記錄結構，以及對應至 UDM 欄位。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。