Recopila registros de Trend Micro Cloud One

Compatible con:

Google SecOps SIEM

Este analizador controla los registros con formato JSON y syslog de Trend Micro Cloud One. Extrae pares clave-valor de los mensajes con formato LEEF, normaliza los valores de gravedad, identifica las entidades principales y de destino (IP, nombre de host, usuario) y asigna los datos al esquema de UDM. Si no se detecta el formato LEEF, el analizador intenta procesar la entrada como JSON y extraer los campos pertinentes según corresponda.

Antes de comenzar

• Asegúrate de tener una instancia de Google SecOps.
• Asegúrate de tener acceso con privilegios a Trend Micro Cloud One.
• Asegúrate de tener un host de Windows 2012 SP2 o posterior, o de Linux con systemd.
• Si se ejecuta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos.

Obtén credenciales de Google SecOps para el agente de Bindplane

Para autenticar el agente de Bindplane en Google SecOps, elige uno de los siguientes métodos:

• Implementaciones nuevas: Usa la API de Chronicle (opción 1).
• Implementaciones heredadas: Sigue usando el archivo de autenticación de transferencia (opción 2) hasta que se descontinúe la API de Ingestion el 20 de julio de 2027.

Opción 1: Crea una cuenta de servicio para la API de Chronicle (recomendado)

1. Accede a la consola deGoogle Cloud y selecciona el proyecto de Google Cloud que está vinculado a tu instancia de Google SecOps.
2. Ve a IAM y administración > Cuentas de servicio.
3. Haga clic en Crear cuenta de servicio.
4. Proporciona los siguientes detalles de configuración:
   • Nombre de la cuenta de servicio: Ingresa un nombre para la cuenta (por ejemplo, bindplane-ingest).
   • Descripción de la cuenta de servicio: Ingresa una descripción (por ejemplo, Bindplane agent log ingestion).
5. Haz clic en Crear y continuar.
6. En la sección Otorga a esta cuenta de servicio acceso al proyecto, haz clic en Seleccionar un rol y elige Editor de Chronicle.
7. Haz clic en Continuar y, luego, en Listo.
8. Haz clic en la cuenta de servicio que creaste y, luego, ve a la pestaña Claves.
9. Haz clic en Agregar clave > Crear clave nueva.
10. Selecciona JSON y haz clic en Crear. El archivo de claves se descargará en tu computadora.
11. Guarda el archivo de claves como ingestion-auth.json en el directorio del recopilador de Bindplane (/opt/observiq-otel-collector/ingestion-auth.json en Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json en Windows) o actualiza creds_file_path en config.yaml para que coincida con la ruta de acceso en la que lo guardas.
12. Ve a IAM y administración > Configuración y copia el Número de proyecto. Lo necesitarás para la configuración del exportador.

Nota: La clave JSON es una credencial. Restringe el acceso al archivo en el host de Bindplane y rota la clave según la política de tu organización.

Opción 2: Descarga el archivo de autenticación de transferencia (heredado)

1. Accede a la consola de Google SecOps.
2. Ve a Configuración > Administración de datos > Agentes de recopilación. Si estás en una plataforma solo de SIEM, ve a Configuración > Agentes de recopilación.
3. Descarga el archivo de autenticación de transferencia.
4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Nota: Este archivo autentica el agente en la API de Ingestion heredada (malachiteingestion-pa.googleapis.com), que Google programó para que deje de estar disponible el 20 de julio de 2027. Planifica cambiar a la opción 1 antes de esa fecha.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración > Administración > Perfil. Si estás en una plataforma solo de SIEM, ve a Configuración > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

1. Para la instalación en Windows, ejecuta la siguiente secuencia de comandos: msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet.
2. Para la instalación en Linux, ejecuta la siguiente secuencia de comandos: sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh.
3. Puedes encontrar opciones de instalación adicionales en esta guía de instalación.

Nota: La configuración del exportador de la API de Chronicle requiere la versión 1.106.0 o posterior del recopilador de Bindplane. Los comandos anteriores instalan la versión más reciente. Si actualizas una instalación existente, actualiza el recopilador antes de cambiar la configuración.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

1. Accede a la máquina con el agente de Bindplane.

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     udplog:
       # Replace the below port <5514> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you saved in Step 1
       creds: '{ json file for creds }'
       # Replace <customer_id> below with your actual ID that you copied
       customer_id: <customer_id>
       endpoint: chronicle.googleapis.com
       # You can apply ingestion labels below as preferred
       ingestion_labels:
       log_type: SYSLOG
       namespace:
       raw_log_field: body
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.
   • Reemplaza <LOCATION> por la región de tu instancia de Google SecOps (por ejemplo, us, europe o asia-southeast1). El exportador antepone chronicle.googleapis.com con este valor.
   • Reemplaza <PROJECT_NUMBER> por el número de proyecto de IAM y administración > Configuración.
   • Reemplaza <customer_id> por el ID de cliente real.
   • Actualiza { json file for creds } a la ruta de acceso en la que se guardó el archivo de claves de la cuenta de servicio (opción 1).

3. Reinicia el agente de Bindplane para aplicar los cambios con el siguiente comando: sudo systemctl bindplane restart

Exportador de la API de transferencia heredada

• Si usas el archivo de autenticación de transferencia de la opción 2, reemplaza el bloque exporters por lo siguiente. Establece creds en la ruta de acceso al archivo de autenticación de transferencia y, si tu instancia está fuera de EE.UU., reemplaza malachiteingestion-pa.googleapis.com por tu extremo regional (por ejemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you saved in Step 1
      creds: '{ json file for creds }'
      # Replace <customer_id> below with your actual ID that you copied
      customer_id: <customer_id>
      endpoint: malachiteingestion-pa.googleapis.com
      # You can apply ingestion labels below as preferred
      ingestion_labels:
      log_type: SYSLOG
      namespace:
      raw_log_field: body
  

Nota: Este exportador dejará de funcionar cuando se descontinúe la API de Ingestion el 20 de julio de 2027.

Configura Syslog desde Trend Micro Cloud One

1. Ve a Policies > Common Objects > Other > Syslog Configurations.
2. Haz clic en New > New Configuration > General.
3. Especifica valores para los siguientes parámetros:
   • Nombre: Es el nombre único que identifica la configuración (por ejemplo, Servidor de BindPlance de Google SecOps).
   • Nombre del servidor: Ingresa la dirección IP del agente de Bindplane.
   • Puerto del servidor: Ingresa el puerto del agente de Bindplane (por ejemplo, 514).
   • Transporte: Selecciona UDP.
   • Formato del evento: Selecciona Syslog.
   • Incluir la zona horaria en los eventos: Mantén esta opción sin seleccionar.
   • Instalación: Es el tipo de proceso con el que se asociarán los eventos.
   • Los agentes deben reenviar los registros: Selecciona el servidor Syslog.
   • Haz clic en Guardar.

Exporta eventos del sistema en Trend Micro Cloud One

1. Ve a Administración > Configuración del sistema > Reenvío de eventos.
2. Reenvía eventos del sistema a una computadora remota (a través de Syslog) con la configuración. Selecciona la configuración que creaste en el paso anterior.
3. Haz clic en Guardar.

Exporta eventos de seguridad en Trend Micro Cloud One

1. Ve a Políticas.
2. Haz clic en la política que usan las computadoras.
3. Ve a Configuración > Reenvío de eventos.
4. Frecuencia de reenvío de eventos (desde el agente o dispositivo): Elige Período entre el envío de eventos y selecciona la frecuencia con la que se reenviarán los eventos de seguridad.
5. Configuración de reenvío de eventos (desde el agente o dispositivo): elige Configuración de Syslog de antimalware y selecciona la configuración creada en el paso anterior.
6. Haz clic en Guardar.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
act	security_result.action	Si act es "deny" o "block" (no distingue mayúsculas de minúsculas), entonces BLOCK. Si act es "pass" o "allow" (no distingue mayúsculas de minúsculas), entonces ALLOW. Si act es "update" o "rename" (no distingue mayúsculas de minúsculas), entonces ALLOW_WITH_MODIFICATION. Si act es "quarantine" (no distingue mayúsculas de minúsculas), entonces QUARANTINE. De lo contrario, UNKNOWN_ACTION.
act	security_result.action_details	Asignado directamente.
cat	security_result.category_details	Asignado directamente.
cn1	target.asset_id	Tiene el prefijo "ID de host:" si cn1Label es "ID de host".
desc	metadata.description	Asignado directamente.
dvchost	target.asset.hostname	Asignado directamente.
dvchost	target.hostname	Asignado directamente.
log_type	metadata.product_name	Asignado directamente.
msg	security_result.description	Asignado directamente.
nombre	security_result.summary	Asignado directamente.
organización	target.administrative_domain	Asignado directamente.
protocolo	additional.fields.key	Se establece en "Protocol" si el campo proto no se puede convertir en un número entero.
protocolo	additional.fields.value.string_value	Se asigna directamente si el campo proto no se puede convertir en un número entero.
protocolo	network.ip_protocol	Se asigna con la lógica parse_ip_protocol.include, que convierte el número de protocolo en su nombre correspondiente (p.ej., "6" se convierte en "TCP").
product_version	metadata.product_version	Asignado directamente.
sev	security_result.severity	Si sev es "0", "1", "2", "3" o "low" (no distingue mayúsculas de minúsculas), entonces LOW. Si sev es "4", "5", "6" o "medium" (no distingue mayúsculas de minúsculas), entonces MEDIUM. Si sev es "7", "8" o "high" (no distingue mayúsculas de minúsculas), entonces HIGH. Si sev es "9", "10" o "muy alto" (no distingue mayúsculas de minúsculas), entonces CRITICAL.
sev	security_result.severity_details	Asignado directamente.
src	principal.asset.hostname	Se asigna directamente si no es una dirección IP válida.
src	principal.asset.ip	Se asigna directamente si es una dirección IP válida.
src	principal.hostname	Se asigna directamente si no es una dirección IP válida.
src	principal.ip	Se asigna directamente si es una dirección IP válida.
TrendMicroDsTenant	security_result.detection_fields.key	Establece en "TrendMicroDsTenant".
TrendMicroDsTenant	security_result.detection_fields.value	Asignado directamente.
TrendMicroDsTenantId	security_result.detection_fields.key	Establece el valor en "TrendMicroDsTenantId".
TrendMicroDsTenantId	security_result.detection_fields.value	Asignado directamente.
usrName	principal.user.userid	Asignado directamente. Si has_principal es verdadero y has_target es verdadero, entonces NETWORK_CONNECTION. De lo contrario, si has_principal es verdadero, entonces STATUS_UPDATE. De lo contrario, si has_target es verdadero y has_principal es falso, entonces USER_UNCATEGORIZED. De lo contrario, GENERIC_EVENT. Se establece en AUTHTYPE_UNSPECIFIED, si event_type es USER_UNCATEGORIZED. Se establece en "true" si se extrae una IP, un nombre de host o una dirección MAC de la principal. De lo contrario, se inicializa en "false". Se establece en "true" si se extrae una IP, un nombre de host o una dirección MAC de destino. De lo contrario, se inicializa en "false". Es igual que la marca de tiempo del evento de nivel superior. Establécelo en "Trend Micro".

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.