Recopila registros de Trend Micro Cloud One

Compatible con:

Google SecOps SIEM

Este analizador controla los registros con formato JSON y syslog de Trend Micro Cloud One. Extrae pares clave-valor de mensajes con formato LEEF, normaliza los valores de gravedad, identifica las entidades principales y de destino (IP, nombre de host, usuario) y asigna los datos al esquema de UDM. Si no se detecta el formato LEEF, el analizador intenta procesar la entrada como JSON y extraer los campos relevantes en consecuencia.

Antes de comenzar

• Asegúrate de tener una instancia de Google SecOps.
• Asegúrate de tener acceso privilegiado a Trend Micro Cloud One.
• Asegúrate de tener un host de Windows 2012 SP2 o posterior, o de Linux con systemd.
• Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos.

Obtén credenciales de Google SecOps para el agente de Bindplane

Para autenticar el agente de Bindplane en Google SecOps, elige uno de los siguientes métodos:

• Implementaciones nuevas: Usa la API de Chronicle (opción 1).
• Implementaciones heredadas: Continúa usando el archivo de autenticación de transferencia (opción 2) hasta que se descontinúe la API de Ingestion el 20 de julio de 2027.

Opción 1: Crea una cuenta de servicio para la API de Chronicle (recomendada)

1. Accede a la Google Cloud consola y selecciona el Google Cloud proyecto vinculado a tu instancia de Google SecOps.
2. Ve a IAM y administración > Cuentas de servicio.
3. Haz clic en Crear cuenta de servicio.
4. Proporciona los siguientes detalles de configuración:
   • Nombre de la cuenta de servicio: Ingresa un nombre para la cuenta (por ejemplo, bindplane-ingest).
   • Descripción de la cuenta de servicio: Ingresa una descripción (por ejemplo, Bindplane agent log ingestion).
5. Haz clic en Crear y continuar.
6. En la sección Otorga a esta cuenta de servicio acceso al proyecto, haz clic en Seleccionar un rol y selecciona Editor de Chronicle.
7. Haz clic en Continuar y, luego, en Listo.
8. Haz clic en la cuenta de servicio que creaste y, luego, ve a la pestaña Claves.
9. Haz clic en AGREGAR CLAVE > Crear clave nueva.
10. Selecciona JSON y haz clic en Crear. El archivo de claves se descargará en tu computadora.
11. Guarda el archivo de claves como ingestion-auth.json en el directorio del recopilador de Bindplane (/opt/observiq-otel-collector/ingestion-auth.json en Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json en Windows) o actualiza creds_file_path en config.yaml para que coincida con la ruta de acceso en la que lo guardas.
12. Ve a IAM y administración > Configuración y copia el Número de proyecto. Lo necesitarás para la configuración del exportador.

Nota: La clave JSON es una credencial. Restringe el acceso al archivo en el host de Bindplane y rota la clave según la política de tu organización.

Opción 2: Descarga el archivo de autenticación de transferencia (heredado)

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recopilación.
3. Descarga el archivo de autenticación de transferencia.
4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Nota: Este archivo autentica el agente en la API de Ingestion heredada (malachiteingestion-pa.googleapis.com), que Google programó para el final de su ciclo de vida el 20 de julio de 2027. Planifica cambiar a la opción 1 antes de esa fecha.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

1. Para la instalación de Windows, ejecuta la siguiente secuencia de comandos: msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet.
2. Para la instalación de Linux, ejecuta la siguiente secuencia de comandos: sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh.
3. Puedes encontrar opciones de instalación adicionales en esta guía de instalación.

Nota: La configuración del exportador de la API de Chronicle requiere el recopilador de Bindplane v1.106.0 o posterior. Los comandos anteriores instalan la versión más reciente. Si actualizas una instalación existente, actualiza el recopilador antes de cambiar la configuración.

Configura el agente de Bindplane para transferir Syslog y enviarlo a Google SecOps

1. Accede a la máquina con el agente de Bindplane.

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     udplog:
       # Replace the below port <5514> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you saved in Step 1
       creds: '{ json file for creds }'
       # Replace <customer_id> below with your actual ID that you copied
       customer_id: <customer_id>
       endpoint: chronicle.googleapis.com
       # You can apply ingestion labels below as preferred
       ingestion_labels:
       log_type: SYSLOG
       namespace:
       raw_log_field: body
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.
   • Reemplaza <LOCATION> por la región de tu instancia de Google SecOps (por ejemplo, us, europe, o asia-southeast1). El exportador antepone chronicle.googleapis.com con este valor.
   • Reemplaza <PROJECT_NUMBER> por el número de proyecto de IAM y administración > Configuración.
   • Reemplaza <customer_id> por el ID de cliente real.
   • Actualiza { json file for creds } a la ruta de acceso en la que se guardó el archivo de claves de la cuenta de servicio (opción 1).

3. Reinicia el agente de Bindplane para aplicar los cambios con el siguiente comando: sudo systemctl bindplane restart.

Exportador de la API de Ingestion heredada

• Si usas el archivo de autenticación de transferencia de la opción 2, reemplaza el bloque exporters por lo siguiente. Establece creds en la ruta de acceso al archivo de autenticación de transferencia y, si tu instancia está fuera de EE.UU., reemplaza malachiteingestion-pa.googleapis.com por tu extremo regional (por ejemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you saved in Step 1
      creds: '{ json file for creds }'
      # Replace <customer_id> below with your actual ID that you copied
      customer_id: <customer_id>
      endpoint: malachiteingestion-pa.googleapis.com
      # You can apply ingestion labels below as preferred
      ingestion_labels:
      log_type: SYSLOG
      namespace:
      raw_log_field: body
  

Nota: Este exportador dejará de funcionar cuando se descontinúe la API de Ingestion el 20 de julio de 2027.

Configura Syslog desde Trend Micro Cloud One

1. Ve a Policies > Common Objects > Other > Syslog Configurations.
2. Haz clic en New > New Configuration > General.
3. Especifica valores para los siguientes parámetros:
   • Nombre: Nombre único que identifica la configuración (por ejemplo, Google SecOps BindPlance server).
   • Nombre del servidor: Ingresa la dirección IP del agente de Bindplane.
   • Puerto del servidor: Ingresa el puerto del agente de Bindplane (por ejemplo, 514).
   • Transport: Selecciona UDP.
   • Formato de evento: Selecciona Syslog.
   • Incluir zona horaria en eventos: Mantén la opción sin seleccionar.
   • Facility: Tipo de proceso con el que se asociarán los eventos.
   • Los agentes deben reenviar registros: Selecciona el servidor Syslog.
   • Haz clic en Guardar.

Exporta eventos del sistema en Trend Micro Cloud One

1. Ve a Administration > System Settings > Event Forwarding.
2. Reenviar eventos del sistema a una computadora remota (a través de Syslog) con la configuración, selecciona la configuración creada en el paso anterior.
3. Haz clic en Guardar.

Exporta eventos de seguridad en Trend Micro Cloud One

1. Ve a Policies.
2. Haz clic en la política que usan las computadoras.
3. Ve a Settings > Event Forwarding.
4. Event Forwarding Frequency (from the Agent/Appliance): Elige Period between sending of events y selecciona la frecuencia con la que se reenviarán los eventos de seguridad.
5. Configuración de reenvío de eventos (desde el agente/dispositivo): elige Configuración de Syslog de antimalware y selecciona la configuración creada en el paso anterior.
6. Haz clic en Guardar.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
act	security_result.action	Si act es "deny" o "block" (no distingue mayúsculas de minúsculas), entonces BLOCK. Si act es "pass" o "allow" (no distingue mayúsculas de minúsculas), entonces ALLOW. Si act es "update" o "rename" (no distingue mayúsculas de minúsculas), entonces ALLOW_WITH_MODIFICATION. Si act es "quarantine" (no distingue mayúsculas de minúsculas), entonces QUARANTINE. De lo contrario, UNKNOWN_ACTION.
act	security_result.action_details	Se asigna directamente.
cat	security_result.category_details	Se asigna directamente.
cn1	target.asset_id	Se le antepone "Host Id:" si cn1Label es "Host ID".
desc	metadata.description	Se asigna directamente.
dvchost	target.asset.hostname	Se asigna directamente.
dvchost	target.hostname	Se asigna directamente.
log_type	metadata.product_name	Se asigna directamente.
msg	security_result.description	Se asigna directamente.
name	security_result.summary	Se asigna directamente.
organization	target.administrative_domain	Se asigna directamente.
proto	additional.fields.key	Se establece en "Protocol" si el campo proto no se puede convertir en un número entero.
proto	additional.fields.value.string_value	Se asigna directamente si el campo proto no se puede convertir en un número entero.
proto	network.ip_protocol	Se asigna con la lógica parse_ip_protocol.include, que convierte el número de protocolo en su nombre correspondiente (p.ej., "6" se convierte en "TCP").
product_version	metadata.product_version	Se asigna directamente.
sev	security_result.severity	Si sev es "0", "1", "2", "3" o "low" (no distingue mayúsculas de minúsculas), entonces LOW. Si sev es "4", "5", "6" o "medium" (no distingue mayúsculas de minúsculas), entonces MEDIUM. Si sev es "7", "8" o "high" (no distingue mayúsculas de minúsculas), entonces HIGH. Si sev es "9", "10" o "very high" (no distingue mayúsculas de minúsculas), entonces CRITICAL.
sev	security_result.severity_details	Se asigna directamente.
src	principal.asset.hostname	Se asigna directamente si no es una dirección IP válida.
src	principal.asset.ip	Se asigna directamente si es una dirección IP válida.
src	principal.hostname	Se asigna directamente si no es una dirección IP válida.
src	principal.ip	Se asigna directamente si es una dirección IP válida.
TrendMicroDsTenant	security_result.detection_fields.key	Se establece en "TrendMicroDsTenant".
TrendMicroDsTenant	security_result.detection_fields.value	Se asigna directamente.
TrendMicroDsTenantId	security_result.detection_fields.key	Se establece en "TrendMicroDsTenantId".
TrendMicroDsTenantId	security_result.detection_fields.value	Se asigna directamente.
usrName	principal.user.userid	Se asigna directamente. Si has_principal es verdadero y has_target es verdadero, entonces NETWORK_CONNECTION. De lo contrario, si has_principal es verdadero, entonces STATUS_UPDATE. De lo contrario, si has_target es verdadero y has_principal es falso, entonces USER_UNCATEGORIZED. De lo contrario, GENERIC_EVENT. Se establece en AUTHTYPE_UNSPECIFIED si event_type es USER_UNCATEGORIZED. Se establece en "true" si se extrae una IP, un nombre de host o una dirección MAC principal. De lo contrario, se inicializa en "false". Se establece en "true" si se extrae una IP, un nombre de host o una dirección MAC de destino. De lo contrario, se inicializa en "false". Es igual que la marca de tiempo del evento de nivel superior. Se establece en "Trend Micro".

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.