收集 Skyhigh Secure Web Gateway（以前称为 McAfee Web Gateway）日志

本文档介绍了如何使用 Bindplane 将 Skyhigh Secure Web Gateway（以前称为 McAfee Web Gateway）日志注入到 Google Security Operations。

Skyhigh Secure Web Gateway 是一种本地 Web 代理设备，可通过检查 HTTP、HTTPS 和 FTP 流量来保护组织免受基于 Web 的威胁。它提供网址过滤、反恶意软件扫描、SSL 检查、数据泄露防护和应用控制功能。该设备会强制执行 Web 访问政策，并提供所有 Web 活动的详细日志记录，以便进行合规性和安全监控。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例。
• Windows 2016 或更高版本，或者具有 systemd 的 Linux 主机。
• 如果通过代理运行，请确保防火墙端口处于开放状态。
• 对 Skyhigh Secure Web Gateway 管理控制台的特权访问权限。

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载数据注入身份验证文件。将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安装资源

如需了解其他安装选项，请参阅安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

1. 访问配置文件：

   • 找到 config.yaml 文件。通常，它位于 Linux 上的 /observiq-otel-collector/ 目录中或 Windows 上的安装目录中。
   • 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

2. 按如下方式修改 config.yaml 文件：

   receivers:
     tcplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/mcafee_webproxy:
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<customer_id>'
       endpoint: malachiteingestion-pa.googleapis.com
       log_type: 'MCAFEE_WEBPROXY'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/mcafee_webproxy_to_chronicle:
         receivers:
           - tcplog
         exporters:
           - chronicle/mcafee_webproxy
   

• 根据基础架构的需要替换端口和 IP 地址。
• 将 <customer_id> 替换为实际的客户 ID。
• 将 /path/to/ingestion-authentication-file.json 更新为获取 Google SecOps 注入身份验证文件部分中保存身份验证文件的路径。

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

1. 运行以下命令：

   sudo systemctl restart observiq-otel-collector
   

2. 验证服务是否正在运行：

   sudo systemctl status observiq-otel-collector
   

3. 检查日志是否存在错误：

   sudo journalctl -u observiq-otel-collector -f
   

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

1. 请从下列选项中选择一项：

   • 以管理员身份运行命令提示符或 PowerShell：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • 服务控制台：
     1. 按 Win+R，输入 services.msc，然后按 Enter 键。
     2. 找到 observIQ OpenTelemetry 收集器。
     3. 右键点击并选择重新启动。

2. 验证服务是否正在运行：

   sc query observiq-otel-collector
   

3. 检查日志是否存在错误：

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

在 Skyhigh Secure Web Gateway 上配置 syslog 转发

1. 登录 Skyhigh Secure Web Gateway 管理控制台。
2. 依次前往政策 > 设置 > 日志记录 > Syslog。
3. 点击添加以创建新的 syslog 目标。
4. 提供以下配置详细信息：
   • Syslog 服务器：输入 Bindplane 代理 IP 地址（例如 192.168.1.100）。
   • 端口：输入 514。
   • 协议：选择 TCP。
   • Log Level：选择所需的日志级别（例如 Informational 或更高级别）。
   • 格式：选择最佳实践访问日志或所需的日志格式。
5. 选择要转发的日志类型：
   • 访问日志 - 记录通过网关的所有 Web 流量。
   • 屏蔽日志 - 记录被屏蔽的请求。
   • 扫描日志 - 记录反恶意软件扫描结果。
6. 点击保存更改。

7. 依次前往问题排查 > 确认更改，然后点击保存更改以应用配置。

UDM 映射表

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。