Collecter les journaux Skyhigh Secure Web Gateway (anciennement McAfee Web Gateway)

Ce document explique comment ingérer les journaux Skyhigh Secure Web Gateway (anciennement McAfee Web Gateway) dans Google Security Operations à l'aide de Bindplane.

Skyhigh Secure Web Gateway est un dispositif de proxy Web sur site qui protège les entreprises contre les menaces Web en inspectant le trafic HTTP, HTTPS et FTP. Il offre des fonctionnalités de filtrage des URL, d'analyse antimalware, d'inspection SSL, de protection contre la perte de données et de contrôle des applications. L'appliance applique les règles d'accès au Web et fournit une journalisation détaillée de toute l'activité Web pour la conformité et la surveillance de la sécurité.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Une instance Google SecOps.
• Un hôte Windows 2016 ou version ultérieure, ou un hôte Linux avec systemd.
• Si vous exécutez le programme derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts.
• Accès privilégié à la console de gestion Skyhigh Secure Web Gateway.

Obtenir le fichier d'authentification d'ingestion Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM > Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM > Profil.
3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de fenêtres

1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

2. Exécutez la commande suivante :

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installation de Linux

1. Ouvrez un terminal avec les droits root ou sudo.

2. Exécutez la commande suivante :

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Ressources d'installation supplémentaires

Pour plus d'options d'installation, consultez le guide d'installation.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

1. Accédez au fichier de configuration :

   • Trouvez le fichier config.yaml. Il se trouve généralement dans le répertoire /observiq-otel-collector/ sous Linux ou dans le répertoire d'installation sous Windows.
   • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou le Bloc-notes).

2. Modifiez le fichier config.yaml comme suit :

   receivers:
     tcplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/mcafee_webproxy:
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<customer_id>'
       endpoint: malachiteingestion-pa.googleapis.com
       log_type: 'MCAFEE_WEBPROXY'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/mcafee_webproxy_to_chronicle:
         receivers:
           - tcplog
         exporters:
           - chronicle/mcafee_webproxy
   

• Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
• Remplacez <customer_id> par le numéro client réel.
• Mettez à jour /path/to/ingestion-authentication-file.json avec le chemin d'accès où le fichier d'authentification a été enregistré dans la section Obtenir le fichier d'authentification pour l'ingestion Google SecOps.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent Bindplane sous Linux :

1. Exécutez la commande suivante :

   sudo systemctl restart observiq-otel-collector
   

2. Vérifiez que le service est en cours d'exécution :

   sudo systemctl status observiq-otel-collector
   

3. Recherchez les erreurs dans les journaux :

   sudo journalctl -u observiq-otel-collector -f
   

Pour redémarrer l'agent Bindplane sous Windows :

1. Choisissez l'une des options suivantes :

   • Invite de commande ou PowerShell en tant qu'administrateur :

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Console Services :
     1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
     2. Localisez le collecteur observIQ OpenTelemetry.
     3. Effectuez un clic droit, puis sélectionnez Redémarrer.

2. Vérifiez que le service est en cours d'exécution :

   sc query observiq-otel-collector
   

3. Recherchez les erreurs dans les journaux :

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Configurer le transfert syslog sur Skyhigh Secure Web Gateway

1. Connectez-vous à la console de gestion Skyhigh Secure Web Gateway.
2. Accédez à Règle > Paramètres > Journalisation > Syslog.
3. Cliquez sur Ajouter pour créer une destination syslog.
4. Fournissez les informations de configuration suivantes :
   • Serveur Syslog : saisissez l'adresse IP de l'agent Bindplane (par exemple, 192.168.1.100).
   • Port : saisissez 514.
   • Protocole : sélectionnez TCP.
   • Niveau de journalisation : sélectionnez le niveau de journalisation souhaité (par exemple, Informationnel ou supérieur).
   • Format : sélectionnez Journal d'accès aux bonnes pratiques ou le format de journal souhaité.
5. Sélectionnez les types de journaux à transférer :
   • Journal des accès : enregistre tout le trafic Web transitant par la passerelle.
   • Journal des blocages : enregistre les requêtes bloquées.
   • Journal d'analyse : enregistre les résultats des analyses anti-malware.
6. Cliquez sur Enregistrer les modifications.

7. Accédez à Dépannage > Confirmer les modifications, puis cliquez sur Enregistrer les modifications pour appliquer la configuration.

Table de mappage UDM

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.