Overview

Pack cung cấp khả năng giám sát data loss prevention từ GTB Central Console (GTB CC), bao gồm:

• Parser — chuẩn hóa log CEF của GTB CC sang ECS, hỗ trợ 4 loại violation: Contract, File Type, I/O Logged, Mislabelled file
• 5 streaming rules — phát hiện upload tài liệu nhạy cảm qua HTTPS, upload file bị cấm, truy cập file trên network share, copy dữ liệu ra thiết bị rời, gửi file gán nhãn sai qua webmail
• 2 correlation rules — insider exfiltration (nhiều violation từ cùng user), repeated web exfiltration
• 1 dashboard — 11 chart giám sát SOC insider risk
• 1 report template — 10 chart kèm mapping PCI DSS / ISO 27001

Yêu cầu trước khi cài đặt

Định dạng log bắt buộc

{
  "message": "<raw syslog line chứa CEF:0|GTB|...>",
  "timestamp": "2026-07-21T10:44:08.522Z",
  "host": "192.0.2.10"
}

⚠️ Parser đọc field timestamp với format cố định %Y-%m-%dT%H:%M:%S%.3fZ (ISO 8601, đúng 3 chữ số millisecond, hậu tố Z). Sai format → event bị drop hoàn toàn. message phải chứa nguyên chuỗi CEF (parser tự strip \r\n).

Ví dụ log hợp lệ

Contract Violation — upload tài liệu nhạy cảm qua HTTPS (Zalo):

{"host":"192.0.2.10","message":"<149>Jul 21 17:44:03 gtbcc journal: GTB CC: CEF:0|GTB|WKS-FIN-014.corp.example.local|16.4.0.52061.TCP|Contract|Contract Violation|3|proto=HTTPS act=Logged dhost=files.example-share.net shost=CORP\\an.nv spt=443 dvc=WKS-FIN-014 externalId=1014138 cs1=User Pattern cs1Label=Algorithm cs5=CORP\\an.nv cs5Label=Login name cs7=10.10.20.50 cs7Label=IP Address cs8=Zalo.exe cs8Label=Application cs9=Contract-Appendix.docx cs9Label=File name cs16=HTTPS cs16Label=Channel\r\n","timestamp":"2026-07-21T10:44:08.522Z"}

File Type Violation — upload file bị cấm lên OneDrive:

{"host":"192.0.2.10","message":"<149>Jul 21 17:35:52 gtbcc journal: GTB CC: CEF:0|GTB|LTP-SALES-233.corp.example.local|16.4.0.52061.TCP|File Type|File Type Violation|1|proto=HTTPS act=Blocked dhost=my.microsoftpersonalcontent.com shost=CORP\\binh.tt spt=443 dvc=LTP-SALES-233 externalId=1014136 cs2=Prohibited HTTPS Site cs2Label=ACL Rule cs5=CORP\\binh.tt cs5Label=Login name cs8=OneDrive.exe cs8Label=Application cs16=HTTPS cs16Label=Channel\r\n","timestamp":"2026-07-21T10:35:57.491Z"}

I/O Logged Violation — truy cập file trên network share:

{"host":"192.0.2.10","message":"<149>Jul 21 17:39:27 gtbcc journal: GTB CC: CEF:0|GTB|WKS-HR-021.corp.example.local|16.4.0.52061.TCP|I/O Logged|I/O Logged Violation|1|user= operation=Open on NetworkShare act=Blocked dest=\\\\DC-RODC-02.corp.example.local\\SysVol\\install.bat src= file= externalId=1014137 cs8=cmd.exe cs8Label=Application cs12=\\\\DC-RODC-02.corp.example.local\\SysVol\\install.bat cs12Label=File Path cs16=File Share cs16Label=Channel\r\n","timestamp":"2026-07-21T10:39:32.408Z"}

I/O Logged Violation — copy dữ liệu ra iPhone (MTP):

{"host":"192.0.2.10","message":"<149>Jul 21 17:34:51 gtbcc journal: GTB CC: CEF:0|GTB|WKS-ENG-107.corp.example.local|16.4.0.52061.TCP|I/O Logged|I/O Logged Violation|1|user=CORP\\cuong.pv operation=Open on MTP/PTP act=Blocked dest=Apple iPhone src=CORP\\cuong.pv externalId=1014135 cs5=cuong.pv cs5Label=Login name cs8=explorer.exe cs8Label=Application cs16=MTP Device cs16Label=Channel\r\n","timestamp":"2026-07-21T10:34:56.112Z"}

Mislabelled file Violation — gửi file gán nhãn sai qua webmail:

{"host":"192.0.2.10","message":"<149>Jul 21 17:00:35 gtbcc journal: GTB CC: CEF:0|GTB|WKS-SEC-006|16.5.0.58835.TCP|Mislabelled file|Mislabelled file Violation|3|act=Logged externalId=1014133 dest=outlook.cloud.microsoft src=CORP\\dung.lh cs4=xl/worksheets/sheet2.xml cs4Label=File Name cs11=chrome.exe cs11Label=Application cs14=Mislabelled file cs14Label=Classification cs16=WEBMAIL cs16Label=Channel cs17=10.10.50.159 cs17Label=Computer IP\r\n","timestamp":"2026-07-21T10:00:40.518Z"}

Lưu ý: GTB đánh số csN không cố định giữa các loại violation (ví dụ Application là cs8 ở Contract nhưng cs11 ở Mislabelled file). Parser vì vậy khớp theo nhãn csNLabel=<tên> chứ không theo số thứ tự — không cần chỉnh mapping khi GTB đổi thứ tự field.

Cài đặt

1. Vào Marketplace → tìm "GTB DLP" → Install
2. Kiểm tra Parsers → gtb-dlp-parser đang active
3. Kiểm tra Detection Rules → filter tag gtb → 7 rules đang enabled
4. Mở Dashboards → GTB DLP Security Overview

Parser — Các trường ECS chính

Context bổ sung trong labels (hiển thị/triage, không dùng để viết rule): violation_type, violation_name, channel, action, algorithm, comment, trigger_data, operation, classification, mtp_device, gtb_version.

Phân biệt network share và thiết bị rời: cả hai đều là io_logged_violation. Parser đưa UNC path vào file.path, còn tên thiết bị MTP vào labels.mtp_device. Rule dùng file.path|startswith: "\\" để tách 2 kịch bản.

Detection Rules

Streaming Rules (5 rules — real-time)

Correlation Rules (2 rules — pattern)

Dashboard — GTB DLP Security Overview

SOC Triage nhanh:

1. Metrics 2–5 → so Blocked với Total: tỷ lệ chặn thấp nghĩa là policy đang ở chế độ monitor
2. Chart 6 → một user chiếm đa số → mở điều tra insider risk cho user đó
3. Chart 8 → app lạ (không phải OneDrive/Chrome quen thuộc) → shadow IT
4. Chart 10 → domain lạ ngoài whitelist → nghi ngờ exfiltration
5. Table 11 → xác nhận file cụ thể và endpoint bị ảnh hưởng

Report — GTB DLP Security Report

10 chart phục vụ review insider risk định kỳ và compliance: violation trend, tổng/blocked/unique-user metrics, phân bố theo loại và kênh, top user / application / destination domain, bảng violation gần nhất.

Mapping compliance sẵn có: PCI DSS 10.2.1 · 10.2.4 · 10.2.5 · 10.2.7 — ISO 27001 A.8.12 (Data leakage prevention) · A.12.4.1 (Event logging).

Troubleshooting

Checklist parser:

• Tag vendor = gtb + service = dlp
• JSON có đủ message, timestamp (ISO 8601 + .000Z), host
• message chứa chuỗi CEF:0|GTB|
• gtb-dlp-parser.yaml đang active trong Parsers

Hỗ trợ

• Lỗi platform/Góp ý pack: Dùng tính năng feedback trên trang Marketplace

Last updated: 2026-07-30 · Vendor: GTB Technologies · Author: secops-team