‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של Trend Micro Cloud One

נתמך ב:

Google SecOps SIEM

הכלי הזה מנתח יומנים בפורמט JSON ויומני syslog מ-Trend Micro Cloud One. הוא מחלץ צמדי מפתח/ערך מהודעות בפורמט LEEF, מבצע נרמול של ערכי חומרה, מזהה ישויות ראשיות וישויות יעד (IP, שם מארח, משתמש) וממפה את הנתונים לסכימת UDM. אם לא מזוהה פורמט LEEF, מנתח התוכן מנסה לעבד את הקלט כ-JSON ולחלץ את השדות הרלוונטיים בהתאם.

לפני שמתחילים

מוודאים שיש לכם מכונת Google SecOps.
מוודאים שיש לכם גישת הרשאה ל-Trend Micro Cloud One.
מוודאים שיש לכם מארח Windows 2012 SP2 ואילך או מארח Linux עם systemd.
אם מריצים מאחורי שרת proxy, מוודאים שהיציאות בחומת האש פתוחות.

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings (הגדרות SIEM) > Collection Agents (סוכני איסוף).
מורידים את קובץ האימות להטמעת נתונים.

איך מוצאים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings (הגדרות SIEM) > Profile (פרופיל).
מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת Bindplane Agent

כדי להתקין ב-Windows, מריצים את הסקריפט הבא: msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet.
כדי להתקין ב-Linux, מריצים את הסקריפט הבא: sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh.
אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הגדרה של Bindplane Agent להטמעה של Syslog ושליחה ל-Google SecOps

ניגשים למכונה באמצעות Bindplane Agent.

עורכים את הקובץ config.yaml באופן הבא:

receivers:
  udplog:
    # Replace the below port <5514> and IP (0.0.0.0) with your specific values
    listen_address: "0.0.0.0:514" 

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the creds location below according the placement of the credentials file you downloaded
        creds: '{ json file for creds }'
        # Replace <customer_id> below with your actual ID that you copied
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # You can apply ingestion labels below as preferred
        ingestion_labels:
        log_type: SYSLOG
        namespace: 
        raw_log_field: body
service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

מפעילים מחדש את Bindplane Agent כדי להחיל את השינויים באמצעות הפקודה הבאה: sudo systemctl bindplane restart

הגדרת Syslog מ-Trend Micro Cloud One

עוברים אל Policies (מדיניות) > Common Objects (אובייקטים משותפים) > Other (אחר) > Syslog Configurations (הגדרות של Syslog).
לוחצים על חדש > הגדרה חדשה > כללי.
מציינים ערכים לפרמטרים הבאים:
- שם: שם ייחודי שמזהה את ההגדרה (לדוגמה, Google SecOps BindPlance server).
- שם השרת: מזינים את כתובת ה-IP של Bindplane Agent.
- יציאת השרת: מזינים את היציאה של Bindplane Agent (לדוגמה, 514).
- העברה: בוחרים באפשרות UDP.
- פורמט האירוע: בוחרים באפשרות Syslog.
- הוספת אזור זמן לאירועים: לא מסומן.
- מתקן: סוג התהליך שאליו ישויכו האירועים.
- הסוכנים צריכים להעביר יומנים: בוחרים בשרת Syslog.
- לוחצים על Save.

ייצוא אירועי מערכת ב-Trend Micro Cloud One

עוברים אל ניהול > הגדרות מערכת > העברת אירועים.
העברת אירועי מערכת למחשב מרוחק (באמצעות Syslog) באמצעות הגדרה, בוחרים את ההגדרה שנוצרה בשלב הקודם.
לוחצים על Save.

ייצוא אירועי אבטחה ב-Trend Micro Cloud One

עוברים אל מדיניות.
לוחצים על המדיניות שבה נעשה שימוש במחשבים.
עוברים אל הגדרות > העברת אירועים.
תדירות העברת האירועים (מהסוכן או מהמכשיר): בוחרים באפשרות תקופה בין שליחת האירועים ומגדירים את תדירות העברת אירועי האבטחה.
Event Forwarding Configuration (from the Agent/Appliance) (הגדרת העברת אירועים (מהסוכן או מהמכשיר)): בוחרים באפשרות Anti-Malware Syslog Configuration (הגדרת Syslog של תוכנה נגד תוכנות זדוניות) ובוחרים את ההגדרה שנוצרה בשלב הקודם.
לוחצים על Save.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
לפעול	`security_result.action`	אם `act` הוא deny או block (לא תלוי-רישיות), אז `BLOCK`. אם `act` הוא pass או allow (לא תלוי באותיות רישיות), אז `ALLOW`. אם `act` הוא update או rename (לא תלוי באותיות רישיות), אז `ALLOW_WITH_MODIFICATION`. אם `act` הוא quarantine (לא תלוי-רישיות), אז `QUARANTINE`. אחרת, `UNKNOWN_ACTION`.
לפעול	`security_result.action_details`	ממופים ישירות.
cat	`security_result.category_details`	ממופים ישירות.
cn1	`target.asset_id`	עם הקידומת Host Id:‎ אם `cn1Label` הוא Host ID.
desc	`metadata.description`	ממופים ישירות.
dvchost	`target.asset.hostname`	ממופים ישירות.
dvchost	`target.hostname`	ממופים ישירות.
log_type	`metadata.product_name`	ממופים ישירות.
msg	`security_result.description`	ממופים ישירות.
name	`security_result.summary`	ממופים ישירות.
ארגון	`target.administrative_domain`	ממופים ישירות.
proto	`additional.fields.key`	אם אי אפשר להמיר את השדה `proto` למספר שלם, צריך להגדיר את הערך שלו כ-Protocol.
proto	`additional.fields.value.string_value`	ממופה ישירות אם אי אפשר להמיר את השדה `proto` למספר שלם.
proto	`network.ip_protocol`	המיפוי מתבצע באמצעות הלוגיקה `parse_ip_protocol.include`, שממירה את מספר הפרוטוקול לשם המתאים (לדוגמה, 6 הופך ל-TCP).
product_version	`metadata.product_version`	ממופים ישירות.
sev	`security_result.severity`	אם `sev` הוא 0, 1, 2, 3 או low (לא תלוי באותיות רישיות), אז `LOW`. אם `sev` הוא 4, 5, 6 או medium (לא תלוי באותיות רישיות), אז `MEDIUM`. אם `sev` הוא 7, 8 או high (לא תלוי אותיות רישיות), אז `HIGH`. אם הערך של `sev` הוא 9,‏ 10 או very high (לא תלוי באותיות רישיות), אז `CRITICAL`.
sev	`security_result.severity_details`	ממופים ישירות.
src	`principal.asset.hostname`	ממופה ישירות אם זו לא כתובת IP תקינה.
src	`principal.asset.ip`	אם זו כתובת IP תקינה, היא ממופה ישירות.
src	`principal.hostname`	ממופה ישירות אם זו לא כתובת IP תקינה.
src	`principal.ip`	אם זו כתובת IP תקינה, היא ממופה ישירות.
TrendMicroDsTenant	`security_result.detection_fields.key`	ההגדרה היא TrendMicroDsTenant.
TrendMicroDsTenant	`security_result.detection_fields.value`	ממופים ישירות.
TrendMicroDsTenantId	`security_result.detection_fields.key`	מגדירים את הערך TrendMicroDsTenantId.
TrendMicroDsTenantId	`security_result.detection_fields.value`	ממופים ישירות.
usrName	`principal.user.userid`	ממופים ישירות. אם `has_principal` נכון ו-`has_target` נכון, אז `NETWORK_CONNECTION`. ‫Else if `has_principal` is true, then `STATUS_UPDATE`. אחרת, אם `has_target` נכון ו-`has_principal` לא נכון, אז `USER_UNCATEGORIZED`. אחרת, `GENERIC_EVENT`. מגדירים את הערך `AUTHTYPE_UNSPECIFIED` אם הערך של `event_type` הוא `USER_UNCATEGORIZED`. הערך צריך להיות true אם כתובת IP, שם מארח או כתובת MAC של גורם מרכזי חולצו. אחרת, הערך שמוגדר הוא false. הערך צריך להיות true אם כתובת IP, שם מארח או כתובת MAC של יעד חולצו. אחרת, הערך שמוגדר הוא false. זהה לחותמת הזמן של האירוע ברמה העליונה. מגדירים את האפשרות Trend Micro.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.