收集 Trend Micro Apex One 日志

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 代理将 Trend Micro Apex One 日志注入到 Google Security Operations。

Trend Micro Apex One 是一种端点安全平台，可针对恶意软件检测、入侵防御事件、可疑文件活动、网站信誉判定和设备控制事件生成 CEF 格式的 syslog 消息。解析器会从 CEF 格式的日志中提取字段，并将其映射到统一数据模型 (UDM)。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
• Bindplane 代理与 Trend Micro Apex Central 服务器之间的网络连接
• 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开
• 管理员对 Apex Central 控制台的访问权限

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。

3. 下载数据注入身份验证文件。将该文件安全地保存在将要安装 Bindplane 的系统上。

   注意： 此 JSON 文件包含用于向 Google SecOps 验证 Bindplane 代理身份的凭据。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。

3. 复制并保存组织详细信息部分中的客户 ID。

   注意： 配置 Bindplane 代理导出器时需要客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sc query observiq-otel-collector
   

   该服务应显示为 正在运行。

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sudo systemctl status observiq-otel-collector
   

   该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

• Linux：

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows：

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

修改配置文件

• 将 config.yaml 的全部内容替换为以下配置：

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/trendmicro_apex_one:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: TRENDMICRO_APEX_ONE
          raw_log_field: body
  
  service:
      pipelines:
          logs/trendmicro_apex_one_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/trendmicro_apex_one
  

配置参数

替换以下占位符：

• 接收器配置：

  • listen_address：要监听的 IP 地址和端口：
    • 0.0.0.0 侦听所有接口（推荐）
    • 端口 514 是标准 syslog 端口（在 Linux 上需要 root 权限；对于非 root 用户，请使用 1514）

• 导出器配置：

  • creds_file_path：提取身份验证文件的完整路径：
    • Linux：/etc/bindplane-agent/ingestion-auth.json
    • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id：从 Google SecOps 控制台复制的客户 ID
  • endpoint：区域端点网址：
    • 美国：malachiteingestion-pa.googleapis.com
    • 欧洲：europe-malachiteingestion-pa.googleapis.com
    • 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
    • 如需查看完整列表，请参阅区域级端点

保存配置文件

• 修改后，保存文件：
  • Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
  • Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

• 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

  sudo systemctl restart observiq-otel-collector
  

  1. 验证服务是否正在运行：

     sudo systemctl status observiq-otel-collector
     

  2. 检查日志是否存在错误：

     sudo journalctl -u observiq-otel-collector -f
     

• 如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：

  • 以管理员身份运行命令提示符或 PowerShell：

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • 服务控制台：

    1. 按 Win+R，输入 services.msc，然后按 Enter 键。
    2. 找到 observIQ OpenTelemetry 收集器。
    3. 右键点击并选择重新启动。

    4. 验证服务是否正在运行：

       sc query observiq-otel-collector
       

    5. 检查日志是否存在错误：

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

在 Trend Micro Apex One 中配置 syslog 转发

1. 使用管理员凭据登录 Apex Central 控制台。
2. 依次前往管理 > 设置 > Syslog 设置。
3. 选中标有启用 syslog 转发的复选框。
4. 配置 Syslog 服务器详细信息：
   • 服务器地址：输入 Bindplane 代理的 IP 地址或 FQDN。
   • 端口：输入 Bindplane 代理端口号（例如，514 表示 UDP）。
   • 协议：选择 UDP 作为传输协议。
5. 可选：配置代理设置 - 选中使用 SOCKS 代理服务器（确保已在管理 > 设置 > 代理设置下配置代理设置）。
6. 日志格式：选择 CEF。
7. 频率：定义日志转发到 Syslog 服务器的频率。
8. 日志类型：选择安全日志和产品信息。
9. 点击测试连接，确保 Apex Central 可以与 Syslog 服务器通信。
10. 点击保存以应用设置。

UDM 映射表

日志字段	UDM 映射	逻辑
act	security_result.action_details	直接从 act 字段映射。
ApexCentralHost	about.asset.asset_id	用作 asset_id 生成逻辑的一部分。“Trend Micro.Apex Central:”值会附加到 deviceExternalId 字段的前面。
app	target.port	直接从 app 字段映射。
cat	security_result.category_details	直接从 cat 字段映射。
cn1	additional.fields[4].value.string_value	直接从 cn1 字段映射。密钥派生自 cn1Label。
cn1Label	additional.fields[4].key	直接从 cn1Label 字段映射。
cn2	additional.fields[6].value.string_value	直接从 cn2 字段映射。密钥派生自 cn2Label。
cn2Label	additional.fields[6].key	直接从 cn2Label 字段映射。
cn3	additional.fields[2].value.string_value	直接从 cn3 字段映射。密钥派生自 cn3Label。
cn3Label	additional.fields[2].key	直接从 cn3Label 字段映射。
cs1	additional.fields[0].value.string_value	直接从 cs1 字段映射。密钥派生自 cs1Label。
cs1Label	additional.fields[0].key	直接从 cs1Label 字段映射。
cs2	additional.fields[1].value.string_value	直接从 cs2 字段映射。密钥派生自 cs2Label。
cs2Label	additional.fields[1].key	直接从 cs2Label 字段映射。
cs3	additional.fields[5].value.string_value	直接从 cs3 字段映射。密钥派生自 cs3Label。
cs3Label	additional.fields[5].key	直接从 cs3Label 字段映射。
cs4	additional.fields[0].value.string_value	直接从 cs4 字段映射。密钥派生自 cs4Label。
cs4Label	additional.fields[0].key	直接从 cs4Label 字段映射。
cs5	additional.fields[2].value.string_value	直接从 cs5 字段映射。密钥派生自 cs5Label。
cs5Label	additional.fields[2].key	直接从 cs5Label 字段映射。
cs6	additional.fields[7].value.string_value	直接从 cs6 字段映射。密钥派生自 cs6Label。
cs6Label	additional.fields[7].key	直接从 cs6Label 字段映射。
deviceExternalId	about.asset.asset_id	用作 asset_id 生成逻辑的一部分。此字段会添加“Trend Micro.Apex Central:”值作为前缀。
deviceNtDomain	about.administrative_domain	直接从 deviceNtDomain 字段映射。
devicePayloadId	additional.fields[3].value.string_value	直接从 devicePayloadId 字段映射。键硬编码为“devicePayloadId”。
deviceProcessName	about.process.command_line	直接从 deviceProcessName 字段映射。
dhost	target.hostname	直接从 dhost 字段映射。
dntdom	target.administrative_domain	直接从 dntdom 字段映射。
dst	target.ip	直接从 dst 字段映射。
duser	target.user.userid，target.user.user_display_name	直接从 duser 字段映射。
dvchost	about.hostname	直接从 dvchost 字段映射。
fileHash	about.file.full_path	直接从 fileHash 字段映射。
fname	additional.fields[9].value.string_value	直接从 fname 字段映射。键硬编码为“fname”。
message	metadata.product_event_type	从消息字段中提取 CEF 标头。
request	target.url	直接从 request 字段映射。
rt	metadata.event_timestamp	直接从 rt 字段映射。
shost	principal.hostname	直接从 shost 字段映射。
src	principal.ip	直接从 src 字段映射。
TMCMdevicePlatform	principal.platform	根据解析器中的逻辑进行映射。值已归一化为“WINDOWS”“MAC”或“LINUX”。
TMCMLogDetectedHost	principal.hostname	直接从 TMCMLogDetectedHost 字段映射。
TMCMLogDetectedIP	principal.ip	直接从 TMCMLogDetectedIP 字段映射。根据是否存在其他字段，从解析器逻辑派生而来。可能的值为“USER_UNCATEGORIZED”“STATUS_UPDATE”或“GENERIC_EVENT”。硬编码为“TRENDMICRO_APEX_ONE”。硬编码为“TRENDMICRO_APEX_ONE”。从 message 字段中的 CEF 标头提取。硬编码为“LOW”。
TMCMdevicePlatform	event.idm.read_only_udm.principal.platform_version	从变更日志映射
filePath	event.idm.read_only_udm.target.file.full_path	从变更日志映射
cnt	event.idm.read_only_udm.additional.fields	从变更日志映射
ihost	event.idm.read_only_udm.intermediary.hostname	从变更日志映射
ihost	event.idm.read_only_udm.intermediary.asset.hostname	从变更日志映射
deviceFacility	event.idm.read_only_udm.additional.fields	从变更日志映射
ApexCentralHost	event.idm.read_only_udm.observer.hostname	从变更日志映射
ApexCentralHost	event.idm.read_only_udm.observer.asset.hostname	从变更日志映射
cs2	event.idm.read_only_udm.principal.ip	从变更日志映射
cs2	event.idm.read_only_udm.principal.asset.ip	从变更日志映射
suser	event.idm.read_only_udm.target.user.userid	从变更日志映射
fname	event.idm.read_only_udm.about.file.full_path	从变更日志映射
priority	event.idm.read_only_udm.additional.fields	从变更日志映射
inter_ip	intermediary.ip和intermediary.asset.ip之间	从变更日志映射
intermediary	event.idm.read_only_udm.intermediary	从变更日志映射
fileHash	event.idm.read_only_udm.target.file.sha1	从变更日志映射
cs5	event.idm.read_only_udm.security_result.action_details	从变更日志映射

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。