Logs von Trellix Endpoint Security HX (früher FireEye HX) erfassen

Parserversion:30.0

Unterstützt in:

Google SecOps SIEM

In diesem Leitfaden wird beschrieben, wie Sie Trellix Endpoint Security HX-Logs (früher FireEye HX) mit Google Cloud Storage V2 in Google Security Operations aufnehmen. Trellix Endpoint Security HX ist eine EDR-Plattform (Endpoint Detection and Response), die erweiterte Funktionen zur Erkennung, Untersuchung und Eindämmung von Bedrohungen bietet. Es nutzt intelligente Schutzmaßnahmen und Echtzeit-Bedrohungsindikatoren, um ausgeklügelte Angriffe auf Endpunkte zu erkennen und darauf zu reagieren.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz.
• Ein GCP-Projekt mit aktivierter Cloud Storage API.
• Berechtigungen zum Erstellen und Verwalten von GCS-Buckets und IAM-Richtlinien.
• Berechtigungen zum Erstellen von Cloud Run-Diensten, Pub/Sub-Themen und Cloud Scheduler-Jobs.
• Privilegierter Zugriff auf die Trellix Endpoint Security HX-Konsole mit aktiviertem API-Zugriff.
• Ein Trellix HX API-Nutzerkonto mit mindestens der Rolle „Analyst“.

Google Cloud Storage-Bucket erstellen

1. Gehen Sie zur Google Cloud Console.
2. Wählen Sie Ihr Projekt aus.
3. Rufen Sie im Navigationsmenü Cloud Storage > Buckets auf.
4. Klicken Sie auf Bucket erstellen.

5. Geben Sie die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Bucket benennen	Geben Sie einen global eindeutigen Namen ein, z. B. fireeye-hx-logs.
   Standorttyp	Wählen Sie die Option aus, die am besten zu Ihren Anforderungen passt (Region, Dual-Region, Multi-Region).
   Standort	Wählen Sie den Standort aus, der Ihrer Google SecOps-Instanz am nächsten ist.
   Speicherklasse	Standard (empfohlen für Logs, auf die häufig zugegriffen wird)
   Zugriffskontrolle	Einheitlich (empfohlen)
   Schutztools	Optional: Objektversionierung oder Aufbewahrungsrichtlinie aktivieren

6. Klicken Sie auf Erstellen.

Trellix Endpoint Security HX-API-Anmeldedaten erfassen

HX-Konsolen-URL abrufen

1. Melden Sie sich in der Webkonsole von Trellix Endpoint Security HX an.
2. Notieren Sie sich die Console-URL aus der Adressleiste des Browsers (Format: https://<hx-hostname>:<port>).

API-Nutzerkonto erstellen oder bestätigen

1. Melden Sie sich mit einem Administratorkonto in der Trellix HX-Konsole an.
2. Klicken Sie auf Verwaltung > Nutzerkonten.
3. Erstellen Sie einen neuen Nutzer oder wählen Sie einen vorhandenen Nutzer für den API-Zugriff aus.
4. Der Nutzer muss die Rolle api_analyst oder api_admin haben.
5. Notieren Sie sich den Nutzernamen und das Passwort für den API-Zugriff.

API-Zugriff prüfen

• Testen Sie Ihre Anmeldedaten, bevor Sie mit der Integration fortfahren:

  HX_HOST="[https://hx-console.example.com:3000](https://hx-console.example.com:3000)"
  HX_USER="api_user"
  HX_PASS="api_password"
  
  # Authenticate and get token
  curl -k -X POST "$HX_HOST/hx/api/v3/token" \
      -u "$HX_USER:$HX_PASS"
  

Hinweis :Bei einer erfolgreichen Antwort wird der HTTP-Statuscode 204 mit einem X-FeApi-Token-Header zurückgegeben, der das API-Token enthält.

Dienstkonto für Cloud Run-Funktion erstellen

Für die Cloud Run-Funktion ist ein Dienstkonto mit Berechtigungen zum Schreiben in den GCS-Bucket und zum Aufrufen durch Pub/Sub erforderlich.

Dienstkonto erstellen

1. Wechseln Sie in der GCP Console zu IAM und Verwaltung > Dienstkonten.
2. Klicken Sie auf Dienstkonto erstellen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: fireeye-hx-collector-sa
   • Beschreibung des Dienstkontos: Service account for Cloud Run function to collect Trellix HX logs
4. Klicken Sie auf Erstellen und fortfahren.
5. Fügen Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen die folgenden Rollen hinzu:
   1. Storage-Objekt-Administrator
   2. Cloud Run-Aufrufer
   3. Cloud Functions-Invoker
6. Klicken Sie auf Weiter und dann auf Fertig.

IAM-Berechtigungen für GCS-Bucket erteilen

1. Rufen Sie Cloud Storage > Buckets auf.
2. Klicken Sie auf den Bucket-Namen (fireeye-hx-logs).
3. Wechseln Sie zum Tab Berechtigungen.
4. Klicken Sie auf Zugriff erlauben.
5. Hauptkonten hinzufügen: Geben Sie die E-Mail-Adresse des Dienstkontos ein.
6. Rollen zuweisen: Wählen Sie Storage Object Admin aus.
7. Klicken Sie auf Speichern.

Pub/Sub-Thema erstellen

Erstellen Sie ein Thema, in dem Cloud Scheduler veröffentlicht und das von der Cloud Run-Funktion abonniert wird.

1. Rufen Sie in der GCP Console Pub/Sub > Themen auf.
2. Klicken Sie auf Thema erstellen.
3. Themen-ID: fireeye-hx-logs-trigger.
4. Klicken Sie auf Erstellen.

Cloud Run-Funktion zum Erfassen von Logs erstellen

1. Rufen Sie in der GCP Console Cloud Run auf.
2. Klicken Sie auf Dienst erstellen.
3. Wählen Sie Funktion aus.

4. Geben Sie im Abschnitt Konfigurieren die folgenden Details an:

   Einstellung	Wert
   Dienstname	fireeye-hx-collector
   Region	Region auswählen, die Ihrem GCS-Bucket entspricht
   Laufzeit	Python 3.12 oder höher

5. Im Abschnitt Trigger:

   1. Klicken Sie auf + Trigger hinzufügen.
   2. Wählen Sie Cloud Pub/Sub aus.
   3. Wählen Sie unter Cloud Pub/Sub-Thema auswählen die Option fireeye-hx-logs-trigger aus.
   4. Klicken Sie auf Speichern.

6. Wählen Sie im Bereich Authentifizierung die Option Authentifizierung erforderlich aus und setzen Sie ein Häkchen bei Identity and Access Management (IAM).

7. Scrollen Sie nach unten zu Container, Netzwerk, Sicherheit.

8. Wählen Sie auf dem Tab Sicherheit das Dienstkonto fireeye-hx-collector-sa aus.

9. Klicken Sie auf dem Tab Container auf Variablen und Secrets und fügen Sie Folgendes hinzu:

   Variablenname	Beispielwert	Beschreibung
   GCS_BUCKET	fireeye-hx-logs	Name des GCS-Buckets
   GCS_PREFIX	hx-alerts	Präfix für Logdateien
   STATE_KEY	hx-alerts/state.json	Pfad der Statusdatei
   HX_HOST	https://hx-console.example.com:3000	HX Console-URL
   HX_USER	api_user	API-Nutzername
   HX_PASS	api_password	API-Passwort
   MAX_RECORDS	1000	Maximale Anzahl von Datensätzen pro Ausführung
   PAGE_SIZE	100	Einträge pro Seite
   LOOKBACK_HOURS	24	Anfänglicher Rückschauzeitraum

10. Legen Sie unter Anfragen für Zeitlimit für Anfragen 600 Sekunden fest.

11. Klicken Sie auf Erstellen. Nachdem der Dienst erstellt wurde, wird der Inline-Code-Editor geöffnet.

Funktionscode hinzufügen

1. Geben Sie main in das Feld Einstiegspunkt ein.

2. Erstellen Sie die folgenden Dateien im Inline-Editor:

   • main.py:

   import functions_framework
   from google.cloud import storage
   import json
   import os
   import urllib3
   from datetime import datetime, timezone, timedelta
   import time
   
   # Disable SSL warnings for self-signed certs
   urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)
   
   # Initialize HTTP client with timeouts
   http = urllib3.PoolManager(
       timeout=urllib3.Timeout(connect=5.0, read=30.0),
       retries=False,
       cert_reqs='CERT_NONE',
   )
   
   # Initialize Storage client
   storage_client = storage.Client()
   
   # Environment variables
   GCS_BUCKET = os.environ.get('GCS_BUCKET')
   GCS_PREFIX = os.environ.get('GCS_PREFIX', 'hx-alerts')
   STATE_KEY = os.environ.get('STATE_KEY', 'hx-alerts/state.json')
   HX_HOST = os.environ.get('HX_HOST')
   HX_USER = os.environ.get('HX_USER')
   HX_PASS = os.environ.get('HX_PASS')
   MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '1000'))
   PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '100'))
   LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))
   
   def get_api_token(host, username, password):
       url = f"{host}/hx/api/v3/token"
       auth_string = f"{username}:{password}"
       import base64
       auth_b64 = base64.b64encode(auth_string.encode('utf-8')).decode('utf-8')
       headers = {'Authorization': f'Basic {auth_b64}'}
       response = http.request('POST', url, headers=headers)
       if response.status == 204:
           return response.headers.get('X-FeApi-Token')
       else:
           raise Exception(f"Authentication failed: HTTP {response.status}")
   
   @functions_framework.cloud_event
   def main(cloud_event):
       if not all([GCS_BUCKET, HX_HOST, HX_USER, HX_PASS]):
           print('Error: Missing required environment variables')
           return
       try:
           bucket = storage_client.bucket(GCS_BUCKET)
           state = load_state(bucket, STATE_KEY)
           now = datetime.now(timezone.utc)
           last_time = None
   
           if isinstance(state, dict) and state.get("last_event_time"):
               try:
                   last_time = parse_datetime(state["last_event_time"]) - timedelta(minutes=2)
               except Exception as e:
                   print(f"Warning: Could not parse last_event_time: {e}")
   
           if last_time is None:
               last_time = now - timedelta(hours=LOOKBACK_HOURS)
   
           print(f"Fetching alerts from {last_time.isoformat()} to {now.isoformat()}")
           token = get_api_token(HX_HOST, HX_USER, HX_PASS)
           alerts, newest_time = fetch_alerts(HX_HOST, token, last_time, now, PAGE_SIZE, MAX_RECORDS)
           hosts = fetch_hosts(HX_HOST, token)
           all_records = alerts + hosts
   
           if not all_records:
               print("No new records found.")
               save_state(bucket, STATE_KEY, now.isoformat())
               return
   
           timestamp = now.strftime('%Y%m%d_%H%M%S')
           object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
           ndjson = '\n'.join([json.dumps(record, ensure_ascii=False) for record in all_records]) + '\n'
           bucket.blob(object_key).upload_from_string(ndjson, content_type='application/x-ndjson')
   
           print(f"Wrote {len(all_records)} records to gs://{GCS_BUCKET}/{object_key}")
           save_state(bucket, STATE_KEY, newest_time if newest_time else now.isoformat())
           release_token(HX_HOST, token)
           print(f"Successfully processed {len(all_records)} records")
       except Exception as e:
           print(f'Error processing logs: {str(e)}')
           raise
   
   def parse_datetime(value):
       if value.endswith("Z"):
           value = value[:-1] + "+00:00"
       return datetime.fromisoformat(value)
   
   def load_state(bucket, key):
       try:
           blob = bucket.blob(key)
           if blob.exists():
               return json.loads(blob.download_as_text())
       except Exception as e:
           print(f"Warning: Could not load state: {e}")
       return {}
   
   def save_state(bucket, key, last_event_time_iso):
       try:
           state = {'last_event_time': last_event_time_iso}
           bucket.blob(key).upload_from_string(json.dumps(state, indent=2), content_type='application/json')
       except Exception as e:
           print(f"Warning: Could not save state: {e}")
   
   def fetch_alerts(host, token, start_time, end_time, page_size, max_records):
       endpoint = f"{host}/hx/api/v3/alerts"
       headers = {'X-FeApi-Token': token, 'Accept': 'application/json'}
       records = []; newest_time = None; offset = 0; backoff = 1.0
   
       while True:
           if len(records) >= max_records: break
           start_iso = start_time.strftime('%Y-%m-%dT%H:%M:%S.000Z')
           end_iso = end_time.strftime('%Y-%m-%dT%H:%M:%S.000Z')
           url = f"{endpoint}?sort=reported_at+asc&min_reported_at={start_iso}&max_reported_at={end_iso}&offset={offset}&limit={min(page_size, max_records - len(records))}"
   
           try:
               response = http.request('GET', url, headers=headers)
               if response.status == 429:
                   time.sleep(int(response.headers.get('Retry-After', str(int(backoff))))); backoff = min(backoff * 2, 30.0); continue
               backoff = 1.0
               if response.status != 200: break
               data = json.loads(response.data.decode('utf-8'))
               page_results = data.get('data', {}).get('entries', [])
               if not page_results: break
               records.extend(page_results)
               for alert in page_results:
                   event_time = alert.get('reported_at')
                   if event_time and (newest_time is None or event_time > newest_time): newest_time = event_time
               offset += len(page_results)
               if offset >= data.get('data', {}).get('total', 0): break
           except Exception: break
       return records, newest_time
   
   def fetch_hosts(host, token):
       endpoint = f"{host}/hx/api/v3/hosts"
       headers = {'X-FeApi-Token': token, 'Accept': 'application/json'}
       try:
           response = http.request('GET', f"{endpoint}?limit=100&offset=0", headers=headers)
           if response.status != 200: return []
           return json.loads(response.data.decode('utf-8')).get('data', {}).get('entries', [])
       except Exception: return []
   
   def release_token(host, token):
       try:
           http.request('DELETE', f"{host}/hx/api/v3/token", headers={'X-FeApi-Token': token})
       except Exception: pass
   

   • requirements.txt:

   functions-framework==3.*
   google-cloud-storage==2.*
   urllib3>=2.0.0
   

3. Klicken Sie auf Bereitstellen, um die Funktion zu speichern und bereitzustellen.

Cloud Scheduler-Job erstellen

1. Rufen Sie in der GCP Console Cloud Scheduler auf.
2. Klicken Sie auf Job erstellen.

3. Geben Sie die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Name	fireeye-hx-collector-hourly
   Region	Dieselbe Region wie die Cloud Run-Funktion auswählen
   Frequenz	0 * * * * (stündlich zur vollen Stunde)
   Zeitzone	Zeitzone auswählen (UTC empfohlen)
   Zieltyp	Pub/Sub
   Thema	fireeye-hx-logs-trigger
   Inhalt der Nachricht	{}

4. Klicken Sie auf Erstellen.

Integration testen

1. Suchen Sie in Cloud Scheduler nach Ihrem Job und klicken Sie auf Ausführung erzwingen.
2. Rufen Sie Cloud Run > Dienste > Logs auf, um den Erfolg zu überprüfen.
3. Prüfen Sie in Cloud Storage, ob im Ordner hx-alerts/ eine neue Datei .ndjson vorhanden ist.

Feed in Google SecOps konfigurieren

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen > Einzelnen Feed konfigurieren.
3. Feed name: Trellix HX Logs.
4. Quelltyp: Google Cloud Storage V2.
5. Logtyp: FireEye HX.
6. Klicken Sie auf Dienstkonto abrufen und kopieren Sie die E-Mail-Adresse (z.B. chronicle-12345678@...).
7. Klicken Sie auf Weiter.
8. Storage-Bucket-URL: gs://fireeye-hx-logs/hx-alerts/ (mit abschließendem Schrägstrich)
9. Option zum Löschen von Quellen: Wählen Sie die gewünschte Option aus.
10. Klicken Sie auf Weiter, prüfen Sie die Angaben und klicken Sie auf Senden.

Dem Dienstkonto IAM-Berechtigungen gewähren

Das Google SecOps-Dienstkonto benötigt die Rolle Storage Object Viewer für Ihren Bucket.

1. Rufen Sie Cloud Storage > Buckets auf.
2. Wählen Sie Ihren Bucket aus und rufen Sie den Tab Berechtigungen auf.
3. Klicken Sie auf Zugriff erlauben.
4. Hauptkonten hinzufügen: Fügen Sie die E‑Mail-Adresse des Google SecOps-Dienstkontos ein.
5. Rollen zuweisen: Wählen Sie Storage Object Viewer aus.
6. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
alert.event_type	metadata.product_event_type	Direkte Zuordnung.
alert.reported_at	metadata.event_timestamp	Als Zeitstempel geparst.
alert.source	principal.hostname	Direkte Zuordnung.
alert.agent._id	principal.asset_id	Direkte Zuordnung.
alert.indicator.display_name	security_result.threat_name	Direkte Zuordnung.
alert.md5values	target.file.md5	Direkte Zuordnung.
–	metadata.vendor_name	Auf Trellix festlegen.
–	metadata.product_name	Auf Endpoint Security HX festgelegt.
–	metadata.log_type	Auf FIREEYE_HX festlegen.
cs12	additional.fields	Aus dem Änderungsprotokoll zugeordnet
cs9	target.process.file.md5	Aus dem Änderungsprotokoll zugeordnet
account_name", "UUID", "Mitre", "host_details.data.sysinfo.url", "host_details.route", "host_details.data.reported_clone", and "host_details.data.timezone	security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
Desc	metadata.description	Aus dem Änderungsprotokoll zugeordnet
Confidence	security_result.confidence	Aus dem Änderungsprotokoll zugeordnet
alert.appliance._id	additional.fields	Aus dem Änderungsprotokoll zugeordnet
host_details.data.stats.acqs", "host_details.data.stats.alerting_conditions", "host_details.data.stats.alerts", "host_details.data.stats.exploit_alerts", "host_details.data.stats.exploit_blocks", and "host_details.data.stats.false_positive_alerts	security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
categoryOutcome", "cs13	additional.fields	Aus dem Änderungsprotokoll zugeordnet
cs6	target.process.file.sha1	Aus dem Änderungsprotokoll zugeordnet
host_details.message	security_result.action_details	Aus dem Änderungsprotokoll zugeordnet
alert.md5values", "alert.resolution", "alert.is_false_positive", and "alert.alert_type	additional.fields	Aus dem Änderungsprotokoll zugeordnet
type.threat_type	security_result.threat_name	Aus dem Änderungsprotokoll zugeordnet
ent.lms_event_id	metadata.product_log_id	Aus dem Änderungsprotokoll zugeordnet
email.smtp.mail_from	network.email.from	Aus dem Änderungsprotokoll zugeordnet
email.headers.subject	network.email.subject	Aus dem Änderungsprotokoll zugeordnet
email.headers.to	network.email.to	Aus dem Änderungsprotokoll zugeordnet
ent.type", "ent.id", "ent.name", "ent.object_source", "ent.binary", and "ent.attributes.scan_id	security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
cs11Label	additional_cs11Label.key	Aus dem Änderungsprotokoll zugeordnet
cs11	additional_cs11.value	Aus dem Änderungsprotokoll zugeordnet
alert.sysinfo.mac_address	principal.mac	Aus dem Änderungsprotokoll zugeordnet
host_details.data.agent_version	metadata.product_version	Aus dem Änderungsprotokoll zugeordnet
alert.url	metadata.url_back_to_product	Aus dem Änderungsprotokoll zugeordnet
description	metadata.description	Aus dem Änderungsprotokoll zugeordnet
alert.agent._id	principal.asset.asset_id	Aus dem Änderungsprotokoll zugeordnet
alert.event_id	metadata.product_log_id	Aus dem Änderungsprotokoll zugeordnet
deviceCustomDate1Label	additional_deviceCustomDate1.key	Aus dem Änderungsprotokoll zugeordnet
deviceCustomDate1	additional_deviceCustomDate1.value	Aus dem Änderungsprotokoll zugeordnet
deviceCustomDate2	additional_deviceCustomDate2.value	Aus dem Änderungsprotokoll zugeordnet
client	principal.ip	Aus dem Änderungsprotokoll zugeordnet
principal_ip	principal.ip	Aus dem Änderungsprotokoll zugeordnet
remoteaddress	principal.ip	Aus dem Änderungsprotokoll zugeordnet
host_	principal.hostname	Aus dem Änderungsprotokoll zugeordnet
line	principal.application	Aus dem Änderungsprotokoll zugeordnet
username	principal.user.userid	Aus dem Änderungsprotokoll zugeordnet
client_app_type	principal.resource.attribute.labels	Aus dem Änderungsprotokoll zugeordnet
upstream	target.url	Aus dem Änderungsprotokoll zugeordnet
role	target.user.role_name	Aus dem Änderungsprotokoll zugeordnet
server	target.resource.attribute.labels	Aus dem Änderungsprotokoll zugeordnet
localusername	target.user.user_display_name	Aus dem Änderungsprotokoll zugeordnet
request	additional.fields	Aus dem Änderungsprotokoll zugeordnet
mlocked	additional.fields	Aus dem Änderungsprotokoll zugeordnet
kernel_stack	additional.fields	Aus dem Änderungsprotokoll zugeordnet
sessionID	network.session_id	Aus dem Änderungsprotokoll zugeordnet
auth_mechanism	extensions.auth.mechanism	Aus dem Änderungsprotokoll zugeordnet
authsubmethod	extensions.auth.auth_details	Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten