Mengumpulkan log Trend Micro Cloud One

Didukung di:

Google SecOps SIEM

Parser ini menangani log berformat JSON dan syslog dari Trend Micro Cloud One. Plugin ini mengekstrak key-value pair dari pesan berformat LEEF, menormalisasi nilai tingkat keparahan, mengidentifikasi entitas utama dan target (IP, nama host, pengguna), serta memetakan data ke dalam skema UDM. Jika format LEEF tidak terdeteksi, parser akan mencoba memproses input sebagai JSON dan mengekstrak kolom yang relevan.

Sebelum memulai

• Pastikan Anda memiliki instance Google SecOps.
• Pastikan Anda memiliki akses istimewa ke Trend Micro Cloud One.
• Pastikan Anda memiliki host Windows 2012 SP2 atau yang lebih baru atau Linux dengan systemd.
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka.

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal Agen Bindplane

1. Untuk penginstalan Windows, jalankan skrip berikut: msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet.
2. Untuk penginstalan Linux, jalankan skrip berikut: sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh.
3. Opsi penginstalan tambahan dapat ditemukan di panduan penginstalan ini.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan kolektor Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade pengumpul sebelum mengubah konfigurasi.

Mengonfigurasi Agen Bindplane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

1. Akses mesin dengan Bindplane Agent.

2. Edit file config.yaml sebagai berikut:

   receivers:
     udplog:
       # Replace the below port <5514> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you saved in Step 1
       creds: '{ json file for creds }'
       # Replace <customer_id> below with your actual ID that you copied
       customer_id: <customer_id>
       endpoint: chronicle.googleapis.com
       # You can apply ingestion labels below as preferred
       ingestion_labels:
       log_type: SYSLOG
       namespace:
       raw_log_field: body
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
   • Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan mengawali chronicle.googleapis.com dengan nilai ini.
   • Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
   • Ganti <customer_id> dengan ID pelanggan sebenarnya.
   • Ganti { json file for creds } dengan jalur tempat file kunci akun layanan (Opsi 1) disimpan.

3. Mulai ulang Bindplane Agent untuk menerapkan perubahan menggunakan perintah berikut: sudo systemctl bindplane restart

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you saved in Step 1
      creds: '{ json file for creds }'
      # Replace <customer_id> below with your actual ID that you copied
      customer_id: <customer_id>
      endpoint: malachiteingestion-pa.googleapis.com
      # You can apply ingestion labels below as preferred
      ingestion_labels:
      log_type: SYSLOG
      namespace:
      raw_log_field: body
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Mengonfigurasi Syslog dari Trend Micro Cloud One

1. Buka Policies > Common Objects > Other > Syslog Configurations.
2. Klik New > New Configuration > General
3. Tentukan nilai untuk parameter berikut:
   • Name: Nama unik yang mengidentifikasi konfigurasi (misalnya, Google SecOps BindPlance server).
   • Nama Server: Masukkan alamat IP Bindplane Agent.
   • Port Server: Masukkan port Agen Bindplane (misalnya, 514).
   • Transport: Pilih UDP.
   • Event Format: Pilih Syslog.
   • Sertakan zona waktu dalam acara: Biarkan tidak dicentang.
   • Fasilitas: Jenis proses yang akan dikaitkan dengan peristiwa.
   • Agents should forward logs: Pilih server Syslog.
   • Klik Simpan.

Mengekspor peristiwa sistem di Trend Micro Cloud One

1. Buka Administration > System Settings > Event Forwarding.
2. Teruskan Peristiwa Sistem ke komputer jarak jauh (melalui Syslog) menggunakan konfigurasi, pilih konfigurasi yang dibuat pada langkah sebelumnya.
3. Klik Simpan.

Mengekspor peristiwa keamanan di Trend Micro Cloud One

1. Buka Kebijakan.
2. Klik kebijakan yang digunakan oleh komputer.
3. Buka Setelan > Penerusan Peristiwa.
4. Frekuensi Penerusan Peristiwa (dari Agen/Perangkat): pilih Periode antara pengiriman peristiwa dan pilih seberapa sering peristiwa keamanan akan diteruskan.
5. Konfigurasi Penerusan Peristiwa (dari Agen/Peralatan): pilih Konfigurasi Syslog Anti-Malware dan pilih konfigurasi yang dibuat pada langkah sebelumnya.
6. Klik Simpan.

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
act	security_result.action	Jika act adalah "deny" atau "block" (tidak peka huruf besar/kecil), maka BLOCK. Jika act adalah "pass" atau "allow" (tidak peka huruf besar/kecil), maka ALLOW. Jika act adalah "update" atau "rename" (tidak peka huruf besar/kecil), maka ALLOW_WITH_MODIFICATION. Jika act adalah "quarantine" (tidak peka huruf besar/kecil), maka QUARANTINE. Jika tidak, UNKNOWN_ACTION.
act	security_result.action_details	Dipetakan secara langsung.
cat	security_result.category_details	Dipetakan secara langsung.
cn1	target.asset_id	Diawali dengan "ID Host:" jika cn1Label adalah "ID Host".
menurun	metadata.description	Dipetakan secara langsung.
dvchost	target.asset.hostname	Dipetakan secara langsung.
dvchost	target.hostname	Dipetakan secara langsung.
log_type	metadata.product_name	Dipetakan secara langsung.
msg	security_result.description	Dipetakan secara langsung.
nama	security_result.summary	Dipetakan secara langsung.
organisasi	target.administrative_domain	Dipetakan secara langsung.
proto	additional.fields.key	Tetapkan ke "Protocol" jika kolom proto tidak dapat dikonversi menjadi bilangan bulat.
proto	additional.fields.value.string_value	Dipetakan secara langsung jika kolom proto tidak dapat dikonversi menjadi bilangan bulat.
proto	network.ip_protocol	Dipetakan menggunakan logika parse_ip_protocol.include, yang mengonversi nomor protokol ke nama yang sesuai (misalnya, "6" menjadi "TCP").
product_version	metadata.product_version	Dipetakan secara langsung.
sev	security_result.severity	Jika sev adalah "0", "1", "2", "3", atau "low" (tidak peka huruf besar/kecil), maka LOW. Jika sev adalah "4", "5", "6", atau "medium" (tidak peka huruf besar/kecil), maka MEDIUM. Jika sev adalah "7", "8", atau "high" (tidak peka huruf besar/kecil), maka HIGH. Jika sev adalah "9", "10", atau "very high" (tidak peka huruf besar/kecil), maka CRITICAL.
sev	security_result.severity_details	Dipetakan secara langsung.
src	principal.asset.hostname	Dipetakan secara langsung jika bukan alamat IP yang valid.
src	principal.asset.ip	Dipetakan secara langsung jika merupakan alamat IP yang valid.
src	principal.hostname	Dipetakan secara langsung jika bukan alamat IP yang valid.
src	principal.ip	Dipetakan secara langsung jika alamat IP valid.
TrendMicroDsTenant	security_result.detection_fields.key	Tetapkan ke "TrendMicroDsTenant".
TrendMicroDsTenant	security_result.detection_fields.value	Dipetakan secara langsung.
TrendMicroDsTenantId	security_result.detection_fields.key	Disetel ke "TrendMicroDsTenantId".
TrendMicroDsTenantId	security_result.detection_fields.value	Dipetakan secara langsung.
usrName	principal.user.userid	Dipetakan secara langsung. Jika has_principal bernilai benar dan has_target bernilai benar, maka NETWORK_CONNECTION. Jika tidak, jika has_principal benar, maka STATUS_UPDATE. Jika has_target benar dan has_principal salah, maka USER_UNCATEGORIZED. Jika tidak, GENERIC_EVENT. Tetapkan ke AUTHTYPE_UNSPECIFIED jika event_type adalah USER_UNCATEGORIZED. Disetel ke "true" jika IP, nama host, atau alamat MAC utama diekstrak. Jika tidak, diinisialisasi ke "false". Ditetapkan ke "true" jika IP, nama host, atau alamat MAC target diekstrak. Jika tidak, diinisialisasi ke "false". Sama seperti stempel waktu peristiwa tingkat teratas. Tetapkan ke "Trend Micro".

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.