Coletar registros do Trend Micro Cloud One

Disponível em:

Google SecOps SIEM

Esse analisador processa registros formatados em syslog e JSON do Trend Micro Cloud One. Ele extrai pares de chave-valor de mensagens formatadas em LEEF, normaliza valores de gravidade, identifica entidades principais e de destino (IP, nome do host, usuário) e mapeia os dados para o esquema UDM. Se o formato LEEF não for detectado, o analisador tentará processar a entrada como JSON e extrair os campos relevantes de acordo com ela.

Antes de começar

• Verifique se você tem uma instância do Google SecOps.
• Verifique se você tem acesso privilegiado ao Trend Micro Cloud One.
• Verifique se você tem um host Windows 2012 SP2 ou mais recente ou Linux com systemd.
• Se você estiver executando em um proxy, verifique se as portas do firewall estão abertas.

Receber credenciais do Google SecOps para o agente do Bindplane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

• Novas implantações: use a API Chronicle (opção 1).
• Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja descontinuada em 20 de julho de 2027.

Opção 1: criar uma conta de serviço para a API Chronicle (recomendado)

1. Faça login no Google Cloud console e selecione o Google Cloud projeto vinculado à sua instância do Google SecOps.
2. Acesse IAM e administrador > Contas de serviço.
3. Clique em Criar conta de serviço.
4. Informe os seguintes detalhes de configuração:
   • Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
   • Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
5. Clique em Criar e continuar.
6. Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar uma função e escolha Editor do Chronicle.
7. Clique em Continuar e depois em Concluído.
8. Clique na conta de serviço criada e acesse a guia Chaves.
9. Selecione Adicionar chave > Criar nova chave.
10. Selecione JSON e clique em Criar. O arquivo de chave é baixado para o computador.
11. Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do Bindplane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salva.
12. Acesse IAM e administrador > Configurações e copie o Número do projeto. Você vai precisar dele para a configuração do exportador.

Observação: a chave JSON é uma credencial. Restrinja o acesso ao arquivo no host do Bindplane e gire a chave de acordo com a política da sua organização.

Opção 2: baixar o arquivo de autenticação de ingestão (legado)

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Baixe o arquivo de autenticação de ingestão.
4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Observação: esse arquivo autentica o agente na API Ingestion legada (malachiteingestion-pa.googleapis.com), que o Google programou para o fim da vida útil em 20 de julho de 2027. Planeje mudar para a opção 1 antes dessa data.

Receber o ID de cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.
3. Copie e salve o ID de cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

1. Para instalação do Windows, execute o seguinte script: msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet.
2. Para instalação do Linux, execute o seguinte script: sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh.
3. Outras opções de instalação podem ser encontradas neste guia de instalação.

Observação: a configuração do exportador da API Chronicle requer o coletor do Bindplane v1.106.0 ou mais recente. Os comandos anteriores instalam a versão mais recente. Se você estiver atualizando uma instalação atual, faça upgrade do coletor antes de mudar a configuração.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

1. Acesse a máquina com o agente do Bindplane.

2. Edite o arquivo config.yaml da seguinte forma:

   receivers:
     udplog:
       # Replace the below port <5514> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you saved in Step 1
       creds: '{ json file for creds }'
       # Replace <customer_id> below with your actual ID that you copied
       customer_id: <customer_id>
       endpoint: chronicle.googleapis.com
       # You can apply ingestion labels below as preferred
       ingestion_labels:
       log_type: SYSLOG
       namespace:
       raw_log_field: body
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
   • Substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe, ou asia-southeast1). O exportador prefixa chronicle.googleapis.com com esse valor.
   • Substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.
   • Substitua <customer_id> pelo ID de cliente real.
   • Atualize { json file for creds } para o caminho em que o arquivo de chave da conta de serviço (opção 1) foi salvo.

3. Reinicie o agente do Bindplane para aplicar as mudanças usando o seguinte comando: sudo systemctl bindplane restart

Exportador da API Ingestion legada

• Se você usar o arquivo de autenticação de ingestão da opção 2, substitua o bloco exporters pelo seguinte. Defina creds como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo seu endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you saved in Step 1
      creds: '{ json file for creds }'
      # Replace <customer_id> below with your actual ID that you copied
      customer_id: <customer_id>
      endpoint: malachiteingestion-pa.googleapis.com
      # You can apply ingestion labels below as preferred
      ingestion_labels:
      log_type: SYSLOG
      namespace:
      raw_log_field: body
  

Observação: esse exportador vai parar de funcionar quando a API Ingestion for descontinuada em 20 de julho de 2027.

Configurar o Syslog do Trend Micro Cloud One

1. Acesse Políticas > Objetos comuns > Outros > Configurações do Syslog.
2. Clique em Novo > Nova configuração > Geral
3. Especifique valores para os seguintes parâmetros:
   • Nome: nome exclusivo que identifica a configuração (por exemplo, servidor do Google SecOps BindPlance).
   • Nome do servidor: insira o endereço IP do agente do Bindplane.
   • Porta do servidor: insira a porta do agente do Bindplane (por exemplo, 514).
   • Transporte: selecione UDP.
   • Formato do evento: selecione Syslog.
   • Incluir fuso horário em eventos: mantenha desmarcado.
   • Instalação: tipo de processo ao qual os eventos serão associados.
   • Os agentes precisam encaminhar registros: selecione o servidor Syslog.
   • Clique em Salvar.

Exportar eventos do sistema no Trend Micro Cloud One

1. Acesse Administração > Configurações do sistema > Encaminhamento de eventos.
2. Encaminhar eventos do sistema para um computador remoto (via Syslog) usando a configuração criada na etapa anterior.
3. Clique em Salvar.

Exportar ocorrências de segurança no Trend Micro Cloud One

1. Acesse Políticas.
2. Clique na política usada pelos computadores.
3. Acesse Configurações > Encaminhamento de eventos.
4. Frequência de encaminhamento de eventos (do agente/dispositivo): escolha Período entre o envio de eventos e selecione a frequência com que as ocorrências de segurança serão encaminhadas.
5. Configuração de encaminhamento de eventos (do agente/dispositivo): escolha Configuração do Syslog antimalware e selecione a configuração criada na etapa anterior.
6. Clique em Salvar.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento de UDM	Lógica
act	security_result.action	Se act for "deny" ou "block" (não diferencia maiúsculas de minúsculas), então BLOCK. Se act for "pass" ou "allow" (não diferencia maiúsculas de minúsculas), então ALLOW. Se act for "update" ou "rename" (não diferencia maiúsculas de minúsculas), então ALLOW_WITH_MODIFICATION. Se act for "quarantine" (sem diferenciar maiúsculas de minúsculas), então QUARANTINE. Caso contrário, UNKNOWN_ACTION.
act	security_result.action_details	Mapeado diretamente.
cat	security_result.category_details	Mapeado diretamente.
cn1	target.asset_id	Prefixo com "Host Id:" se cn1Label for "Host ID".
desc	metadata.description	Mapeado diretamente.
dvchost	target.asset.hostname	Mapeado diretamente.
dvchost	target.hostname	Mapeado diretamente.
log_type	metadata.product_name	Mapeado diretamente.
msg	security_result.description	Mapeado diretamente.
name	security_result.summary	Mapeado diretamente.
organization	target.administrative_domain	Mapeado diretamente.
proto	additional.fields.key	Definido como "Protocol" se o campo proto não puder ser convertido em um número inteiro.
proto	additional.fields.value.string_value	Mapeado diretamente se o campo proto não puder ser convertido em um número inteiro.
proto	network.ip_protocol	Mapeado usando a lógica parse_ip_protocol.include, que converte o número do protocolo para o nome correspondente (por exemplo, "6" se torna "TCP").
product_version	metadata.product_version	Mapeado diretamente.
sev	security_result.severity	Se sev for "0", "1", "2", "3" ou "low" (não diferencia maiúsculas de minúsculas), então LOW. Se sev for "4", "5", "6" ou "medium" (sem diferenciar maiúsculas de minúsculas), então MEDIUM. Se sev for "7", "8" ou "high" (não diferencia maiúsculas de minúsculas), então HIGH. Se sev for "9", "10" ou "very high" (não diferencia maiúsculas de minúsculas), então CRITICAL.
sev	security_result.severity_details	Mapeado diretamente.
src	principal.asset.hostname	Mapeado diretamente se não for um endereço IP válido.
src	principal.asset.ip	Mapeado diretamente se for um endereço IP válido.
src	principal.hostname	Mapeado diretamente se não for um endereço IP válido.
src	principal.ip	Mapeado diretamente se for um endereço IP válido.
TrendMicroDsTenant	security_result.detection_fields.key	Definido como "TrendMicroDsTenant".
TrendMicroDsTenant	security_result.detection_fields.value	Mapeado diretamente.
TrendMicroDsTenantId	security_result.detection_fields.key	Definido como "TrendMicroDsTenantId".
TrendMicroDsTenantId	security_result.detection_fields.value	Mapeado diretamente.
usrName	principal.user.userid	Mapeado diretamente. Se has_principal for verdadeiro e has_target for verdadeiro, então NETWORK_CONNECTION. Caso contrário, se has_principal for verdadeiro, então STATUS_UPDATE. Caso contrário, se has_target for verdadeiro e has_principal for falso, então USER_UNCATEGORIZED. Caso contrário, GENERIC_EVENT. Definido como AUTHTYPE_UNSPECIFIED se event_type for USER_UNCATEGORIZED. Definido como "verdadeiro" se um IP principal, nome do host ou endereço MAC for extraído. Caso contrário, inicializado como "falso". Definido como "verdadeiro" se um IP de destino, nome do host ou endereço MAC for extraído. Caso contrário, inicializado como "falso". Igual ao carimbo de data/hora do evento de nível superior. Definido como "Trend Micro".

Registro de alterações

Consulte o registro de alterações desse analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.