Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Trend Micro Cloud One 記錄

支援：

Google SecOps SIEM

這個剖析器會處理 Trend Micro Cloud One 的 syslog 和 JSON 格式記錄。這個剖析器會從 LEEF 格式的訊息中擷取鍵/值組合、正規化嚴重性值、識別主體和目標實體 (IP、主機名稱、使用者)，並將資料對應至 UDM 結構定義。如果未偵測到 LEEF 格式，剖析器會嘗試將輸入內容視為 JSON 處理，並據此擷取相關欄位。

事前準備

確認您擁有 Google SecOps 執行個體。
確認您具備 Trend Micro Cloud One 的特殊存取權。
確認您有 Windows 2012 SP2 以上版本，或搭載 systemd 的 Linux 主機。
如果是在 Proxy 後方執行，請確認防火牆通訊埠已開啟。

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

新部署作業：使用 Chronicle API (選項 1)。
舊版部署作業：在 2027 年 7 月 20 日停用 Ingestion API 前，請繼續使用擷取驗證檔案 (選項 2)。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

登入 Google Cloud 控制台，然後選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
按一下「建立服務帳戶」。
提供下列設定詳細資料：
- 服務帳戶名稱：輸入帳戶名稱 (例如 bindplane-ingest)。
- 服務帳戶說明：輸入說明 (例如 Bindplane agent log ingestion)。
點按「Create and continue」(建立並繼續)。
在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
依序點選「繼續」和「完成」。
按一下您建立的服務帳戶，然後前往「金鑰」分頁。
依序點選「新增金鑰」>「建立新的金鑰」。
選取「JSON」，然後按一下「建立」。金鑰檔案會下載到電腦。
將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 為 /opt/observiq-otel-collector/ingestion-auth.json，Windows 為 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存檔案的路徑相符。
依序前往「IAM 與管理」>「設定」，然後複製「專案編號」。匯出工具設定時會用到。

方法 2：下載擷取驗證檔案 (舊版)

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM Settings」(SIEM 設定) >「Profile」(設定檔)。
複製並儲存「機構詳細資料」專區中的「客戶 ID」。

安裝 Bindplane 代理程式

如要安裝 Windows，請執行下列指令碼：msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet。
如要安裝 Linux，請執行下列指令碼：sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh。
如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理，擷取 Syslog 並傳送至 Google SecOps

使用 Bindplane 代理程式存取機器。

按照下列方式編輯 config.yaml 檔案：

receivers:
  udplog:
    # Replace the below port <5514> and IP (0.0.0.0) with your specific values
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you saved in Step 1
    creds: '{ json file for creds }'
    # Replace <customer_id> below with your actual ID that you copied
    customer_id: <customer_id>
    endpoint: chronicle.googleapis.com
    # You can apply ingestion labels below as preferred
    ingestion_labels:
    log_type: SYSLOG
    namespace:
    raw_log_field: body
service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

視基礎架構需求更換連接埠和 IP 位址。
將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。
將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。
將 <customer_id> 替換為實際的客戶 ID。
將 { json file for creds } 更新為服務帳戶金鑰檔案 (選項 1) 的儲存路徑。

使用下列指令重新啟動 Bindplane 代理程式，套用變更： sudo systemctl bindplane restart

舊版 Ingestion API 匯出工具

如果您使用方式 2 的擷取驗證檔案，請將 exporters 區塊替換成下列內容。將 creds 設為擷取驗證檔案的路徑，如果您的執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you saved in Step 1
    creds: '{ json file for creds }'
    # Replace <customer_id> below with your actual ID that you copied
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # You can apply ingestion labels below as preferred
    ingestion_labels:
    log_type: SYSLOG
    namespace:
    raw_log_field: body

設定 Trend Micro Cloud One 的 Syslog

依序前往「Policies」>「Common Objects」>「Other」>「Syslog Configurations」。
依序點選「New」>「New Configuration」>「General」
為下列參數指定值：
- 名稱：設定的專屬名稱，例如 Google SecOps BindPlance 伺服器。
- 伺服器名稱：輸入 Bindplane 代理程式的 IP 位址。
- 「伺服器通訊埠」：輸入 Bindplane 代理程式的通訊埠 (例如 514)。
- 傳輸：選取「UDP」。
- Event Format：選取「Syslog」。
- 在活動中加入時區：保持未選取。
- Facility：與事件相關聯的程序類型。
- Agents should forward logs：選取「Syslog」伺服器。
- 按一下 [儲存]。

在 Trend Micro Cloud One 中匯出系統事件

依序前往「Administration」>「System Settings」>「Event Forwarding」。
使用設定將系統事件轉送至遠端電腦 (透過 Syslog)，選取上一步建立的設定。
按一下 [儲存]。

匯出 Trend Micro Cloud One 中的安全性事件

前往「政策」。
按一下電腦使用的政策。
依序前往「設定」>「事件轉送」。
事件轉送頻率 (來自代理程式/設備)：選擇「事件傳送間隔時間」，並選取轉送安全事件的頻率。
Event Forwarding Configuration (from the Agent/Appliance)：選擇「Anti-Malware Syslog Configuration」，然後選取上一步建立的設定。
按一下 [儲存]。

UDM 對應表

記錄欄位	UDM 對應	邏輯
act	`security_result.action`	如果 `act` 為「deny」或「block」(不區分大小寫)，則 `BLOCK`。如果 `act` 為「pass」或「allow」(不區分大小寫)，則 `ALLOW`。如果 `act` 為「update」或「rename」(不區分大小寫)，則 `ALLOW_WITH_MODIFICATION`。如果 `act` 為「quarantine」(不區分大小寫)，則 `QUARANTINE`。否則，`UNKNOWN_ACTION`。
act	`security_result.action_details`	直接對應。
cat	`security_result.category_details`	直接對應。
cn1	`target.asset_id`	如果 `cn1Label` 為「Host ID」，則前置字串為「Host Id:」。
遞減	`metadata.description`	直接對應。
dvchost	`target.asset.hostname`	直接對應。
dvchost	`target.hostname`	直接對應。
log_type	`metadata.product_name`	直接對應。
msg	`security_result.description`	直接對應。
名稱	`security_result.summary`	直接對應。
組織	`target.administrative_domain`	直接對應。
proto	`additional.fields.key`	如果 `proto` 欄位無法轉換為整數，請設為「Protocol」。
proto	`additional.fields.value.string_value`	如果 `proto` 欄位無法轉換為整數，則直接對應。
proto	`network.ip_protocol`	使用 `parse_ip_protocol.include` 邏輯對應，將通訊協定編號轉換為對應的名稱 (例如「6」會變成「TCP」)。
product_version	`metadata.product_version`	直接對應。
sev	`security_result.severity`	如果 `sev` 為「0」、「1」、「2」、「3」或「low」(不區分大小寫)，則為 `LOW`。如果 `sev` 是「4」、「5」、「6」或「medium」(不分大小寫)，則為 `MEDIUM`。如果 `sev` 為「7」、「8」或「high」(不區分大小寫)，則為 `HIGH`。如果 `sev` 是「9」、「10」或「very high」(不分大小寫)，則為 `CRITICAL`。
sev	`security_result.severity_details`	直接對應。
src	`principal.asset.hostname`	如果不是有效的 IP 位址，則直接對應。
src	`principal.asset.ip`	如果 IP 位址有效，則直接對應。
src	`principal.hostname`	如果不是有效的 IP 位址，則直接對應。
src	`principal.ip`	如果 IP 位址有效，則直接對應。
TrendMicroDsTenant	`security_result.detection_fields.key`	設為「TrendMicroDsTenant」。
TrendMicroDsTenant	`security_result.detection_fields.value`	直接對應。
TrendMicroDsTenantId	`security_result.detection_fields.key`	設為「TrendMicroDsTenantId」。
TrendMicroDsTenantId	`security_result.detection_fields.value`	直接對應。
usrName	`principal.user.userid`	直接對應。如果 `has_principal` 為 true 且 `has_target` 為 true，則 `NETWORK_CONNECTION`。否則，如果 `has_principal` 為 true，則 `STATUS_UPDATE`。否則，如果 `has_target` 為 true 且 `has_principal` 為 false，則 `USER_UNCATEGORIZED`。否則，`GENERIC_EVENT`。如果 `event_type` 為 `USER_UNCATEGORIZED`，請設為 `AUTHTYPE_UNSPECIFIED`。如果擷取到主體 IP、主機名稱或 MAC 位址，請設為「true」。否則，初始化為「false」。如果擷取到目標 IP、主機名稱或 MAC 位址，請設為「true」。否則，初始化為「false」。與頂層事件時間戳記相同。設為「Trend Micro」。

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。