Trend Micro Cloud One-Logs erfassen

Unterstützt in:

Dieser Parser verarbeitet Syslog- und JSON-formatierte Logs von Trend Micro Cloud One. Er extrahiert Schlüssel/Wert-Paare aus LEEF-formatierten Nachrichten, normalisiert Schweregradwerte, identifiziert Haupt- und Zielentitäten (IP, Hostname, Nutzer) und ordnet die Daten dem UDM-Schema zu. Wenn das LEEF-Format nicht erkannt wird, versucht der Parser, die Eingabe als JSON zu verarbeiten und die entsprechenden Felder zu extrahieren.

Hinweis

  • Prüfen Sie, ob Sie eine Google SecOps-Instanz haben.
  • Prüfen Sie, ob Sie privilegierten Zugriff auf Trend Micro Cloud One haben.
  • Prüfen Sie, ob Sie einen Windows 2012 SP2- oder Linux-Host mit systemd haben.
  • Wenn Sie einen Proxy verwenden, prüfen Sie, ob die Firewall-Ports geöffnet sind.

Google SecOps-Anmeldedaten für den Bindplane-Agent abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agent bei Google SecOps zu authentifizieren:

  • Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
  • Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Aufnahme (Option 2), bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml so, dass er mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
  12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporterkonfiguration.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie SIEM-Einstellungen > Erfassungs-Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profil auf.
  3. Kopieren und speichern Sie die Kundennummer aus dem Abschnitt Organisationsdetails.

Bindplane-Agent installieren

  1. Führen Sie für die Windows-Installation das folgende Skript aus: msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet.
  2. Führen Sie für die Linux-Installation das folgende Skript aus: sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh.
  3. Weitere Installationsoptionen finden Sie in dieser Installationsanleitung.

Bindplane-Agent für die Aufnahme von Syslog-Daten und das Senden an Google SecOps konfigurieren

  1. Greifen Sie auf den Computer mit dem Bindplane-Agent zu.

  2. Bearbeiten Sie die Datei config.yaml so:

    receivers:
  udplog:
    # Replace the below port <5514> and IP (0.0.0.0) with your specific values
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you saved in Step 1
    creds: '{ json file for creds }'
    # Replace <customer_id> below with your actual ID that you copied
    customer_id: <customer_id>
    endpoint: chronicle.googleapis.com
    # You can apply ingestion labels below as preferred
    ingestion_labels:
    log_type: SYSLOG
    namespace:
    raw_log_field: body
service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
    • Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz, z. B. us, europe oder asia-southeast1. Der Exporter stellt chronicle.googleapis.com diesem Wert voran.
    • Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM und Verwaltung > Einstellungen.
    • Ersetzen Sie <customer_id> durch die tatsächliche Kundennummer.
    • Aktualisieren Sie { json file for creds } auf den Pfad, in dem die Dienstkontoschlüsseldatei (Option 1) gespeichert wurde.

  3. Starten Sie den Bindplane-Agent neu, um die Änderungen mit dem folgenden Befehl zu übernehmen: sudo systemctl bindplane restart

Legacy Ingestion API-Exporter

  • Wenn Sie die Authentifizierungsdatei für die Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie creds auf den Pfad zur Authentifizierungsdatei für die Aufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt, z. B. europe-malachiteingestion-pa.googleapis.com.

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you saved in Step 1
    creds: '{ json file for creds }'
    # Replace <customer_id> below with your actual ID that you copied
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # You can apply ingestion labels below as preferred
    ingestion_labels:
    log_type: SYSLOG
    namespace:
    raw_log_field: body

Syslog von Trend Micro Cloud One konfigurieren

  1. Rufen Sie Richtlinien > Allgemeine Objekte > Sonstiges > Syslog-Konfigurationen auf.
  2. Klicken Sie auf Neu > Neue Konfiguration > Allgemein
  3. Geben Sie Werte für die folgenden Parameter an:
    • Name: Eindeutiger Name, der die Konfiguration identifiziert, z. B. Google SecOps BindPlance server.
    • Servername: Geben Sie die IP-Adresse des Bindplane-Agent ein.
    • Serverport: Geben Sie den Port des Bindplane-Agent ein, z. B. 514.
    • Transport: Wählen Sie UDP aus.
    • Ereignisformat: Wählen Sie Syslog aus.
    • Zeitzone in Ereignisse einschließen: Lassen Sie die Option nicht ausgewählt.
    • Einrichtung: Art des Prozesses, mit dem Ereignisse verknüpft werden.
    • Agents sollten Logs weiterleiten: Wählen Sie den Syslog-Server aus.
    • Klicken Sie auf Speichern.

Systemereignisse in Trend Micro Cloud One exportieren

  1. Rufen Sie Verwaltung > Systemeinstellungen > Ereignisweiterleitung auf.
  2. Wählen Sie unter Systemereignisse an einen Remotecomputer weiterleiten (über Syslog) die im vorherigen Schritt erstellte Konfiguration aus.
  3. Klicken Sie auf Speichern.

Sicherheitsereignisse in Trend Micro Cloud One exportieren

  1. Rufen Sie Richtlinien auf.
  2. Klicken Sie auf die Richtlinie, die von den Computern verwendet wird.
  3. Rufen Sie Einstellungen > Ereignisweiterleitung auf.
  4. Häufigkeit der Ereignisweiterleitung (vom Agent/von der Appliance): Wählen Sie unter Zeitraum zwischen dem Senden von Ereignissen die Option aus und legen Sie fest, wie oft die Sicherheitsereignisse weitergeleitet werden sollen.
  5. Wählen Sie unter Konfiguration der Ereignisweiterleitung (vom Agent/von der Appliance) die Option Anti-Malware-Syslog-Konfiguration aus und wählen Sie die im vorherigen Schritt erstellte Konfiguration aus.
  6. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
act security_result.action Wenn act „deny“ oder „block“ ist (Groß-/Kleinschreibung wird nicht berücksichtigt), dann BLOCK. Wenn act „pass“ oder „allow“ ist (Groß-/Kleinschreibung wird nicht berücksichtigt), dann ALLOW. Wenn act „update“ oder „rename“ ist (Groß-/Kleinschreibung wird nicht berücksichtigt), dann ALLOW_WITH_MODIFICATION. Wenn act „quarantine“ ist (Groß-/Kleinschreibung wird nicht berücksichtigt), dann QUARANTINE. Andernfalls UNKNOWN_ACTION.
act security_result.action_details Direkt zugeordnet.
cat security_result.category_details Direkt zugeordnet.
cn1 target.asset_id Mit dem Präfix „Host Id:“ versehen, wenn cn1Label „Host ID“ ist.
desc metadata.description Direkt zugeordnet.
dvchost target.asset.hostname Direkt zugeordnet.
dvchost target.hostname Direkt zugeordnet.
log_type metadata.product_name Direkt zugeordnet.
msg security_result.description Direkt zugeordnet.
name security_result.summary Direkt zugeordnet.
organization target.administrative_domain Direkt zugeordnet.
proto additional.fields.key Auf „Protocol“ festgelegt, wenn das Feld proto nicht in eine Ganzzahl konvertiert werden kann.
proto additional.fields.value.string_value Direkt zugeordnet, wenn das Feld proto nicht in eine Ganzzahl konvertiert werden kann.
proto network.ip_protocol Mit der Logik parse_ip_protocol.include zugeordnet, die die Protokollnummer in den entsprechenden Namen konvertiert (z.B. wird „6“ zu „TCP“).
product_version metadata.product_version Direkt zugeordnet.
sev security_result.severity Wenn sev „0“, „1“, „2“, „3“ oder „low“ ist (Groß-/Kleinschreibung wird nicht berücksichtigt), dann LOW. Wenn sev „4“, „5“, „6“ oder „medium“ ist (Groß-/Kleinschreibung wird nicht berücksichtigt), dann MEDIUM. Wenn sev „7“, „8“ oder „high“ ist (Groß-/Kleinschreibung wird nicht berücksichtigt), dann HIGH. Wenn sev „9“, „10“ oder „very high“ ist (Groß-/Kleinschreibung wird nicht berücksichtigt), dann CRITICAL.
sev security_result.severity_details Direkt zugeordnet.
src principal.asset.hostname Direkt zugeordnet, wenn es sich nicht um eine gültige IP-Adresse handelt.
src principal.asset.ip Direkt zugeordnet, wenn es sich um eine gültige IP-Adresse handelt.
src principal.hostname Direkt zugeordnet, wenn es sich nicht um eine gültige IP-Adresse handelt.
src principal.ip Direkt zugeordnet, wenn es sich um eine gültige IP-Adresse handelt.
TrendMicroDsTenant security_result.detection_fields.key Auf „TrendMicroDsTenant“ festgelegt.
TrendMicroDsTenant security_result.detection_fields.value Direkt zugeordnet.
TrendMicroDsTenantId security_result.detection_fields.key Auf „TrendMicroDsTenantId“ festgelegt.
TrendMicroDsTenantId security_result.detection_fields.value Direkt zugeordnet.
usrName principal.user.userid Direkt zugeordnet. Wenn has_principal und has_target „true“ sind, dann NETWORK_CONNECTION. Wenn has_principal „true“ ist, dann STATUS_UPDATE. Wenn has_target „true“ und has_principal „false“ ist, dann USER_UNCATEGORIZED. Andernfalls GENERIC_EVENT. Auf AUTHTYPE_UNSPECIFIED festgelegt, wenn event_type USER_UNCATEGORIZED ist. Auf „true“ festgelegt, wenn eine Haupt-IP-Adresse, ein Hostname oder eine MAC-Adresse extrahiert wird. Andernfalls auf „false“ initialisiert. Auf „true“ festgelegt, wenn eine Ziel-IP-Adresse, ein Hostname oder eine MAC-Adresse extrahiert wird. Andernfalls auf „false“ initialisiert. Identisch mit dem Zeitstempel des Ereignisses auf oberster Ebene. Auf „Trend Micro“ festgelegt.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten