איסוף יומנים של Trend Micro Deep Security

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Trend Micro Deep Security ב-Google Security Operations באמצעות Bindplane. ‫Trend Micro Deep Security היא פלטפורמת אבטחת שרתים שמספקת הגנה מפני תוכנות זדוניות, IPS, חומת אש, מעקב אחר שלמות, בדיקת יומנים ובקרת אפליקציות לעומסי עבודה פיזיים, וירטואליים ועומסי עבודה בענן. השירות Deep Security עובר איחוד במסגרת הפלטפורמה Trend Vision One, אבל Deep Security Manager ממשיך ליצור אירועי syslog לכל מודולי ההגנה.

מידע נוסף זמין במאמר בנושא איסוף יומנים של Trend Micro Deep Security.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps.
• מארח Windows 2016 ואילך או Linux עם systemd.
• אם מריצים את הסוכן מאחורי שרת proxy, צריך לוודא שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה עם הרשאות ל-Trend Micro Deep Security Manager web console עם תפקיד אדמין או בודק.
• ‫Deep Security Manager 20.0 ואילך.

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings (הגדרות SIEM) > Collection Agent (סוכן איסוף).
3. מורידים את קובץ האימות להטמעת נתונים.
   • שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings (הגדרות SIEM) > Profile (פרופיל).
3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

מקורות מידע נוספים להתקנה

• אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הגדרה של סוכן Bindplane להטמעה של Syslog ושליחה אל Google SecOps

הערה: ב-Trend Micro Deep Security נעשה שימוש ב-TCP להעברת syslog כדי להבטיח מסירה אמינה של אירועי אבטחה. צריך להגדיר את סוכן Bindplane עם tcplogמקלט

.

1. ניגשים לקובץ התצורה:

   • מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /opt/observiq-otel-collector/config.yaml ב-Linux או בספריית ההתקנה ב-Windows.
   • פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או Notepad).

2. עורכים את הקובץ config.yaml באופן הבא:

   receivers:
       tcplog:
           listen_address: "0.0.0.0:1514"
   
   exporters:
       chronicle/trendmicro_ds:
           compression: gzip
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           customer_id: '<CUSTOMER_ID>'
           endpoint: malachiteingestion-pa.googleapis.com
           log_type: TRENDMICRO_DEEP_SECURITY
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/trendmicro_ds_to_chronicle:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/trendmicro_ds
   

• מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית.
• מחליפים את <CUSTOMER_ID> במזהה הלקוח בפועל.
• מעדכנים את /path/to/ingestion-authentication-file.json לנתיב שבו נשמר קובץ האימות.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

1. כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. כדי להפעיל מחדש את סוכן Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

הגדרת העברת syslog ב-Trend Micro Deep Security

הגדרת syslog ב-Deep Security Manager

1. נכנסים למסוף האינטרנט של Trend Micro Deep Security Manager.
2. עוברים אל ניהול > הגדרות מערכת > העברת אירועים.
3. בקטע SIEM, בוחרים באפשרות העברת אירועים למחשב מרוחק (דרך Syslog).

4. לוחצים על עריכה לצד ההגדרה של syslog.

5. מספקים את פרטי ההגדרה הבאים:

   • שם השרת: מזינים את כתובת ה-IP של המארח של סוכן Bindplane.
   • יציאת השרת: מזינים 1514 (או את היציאה שהגדרתם).
   • העברה: בוחרים באפשרות TCP.
   • פורמט האירוע: בוחרים באפשרות Common Event Format (CEF) (פורמט אירועים נפוץ).
   הערה: מומלץ להשתמש בפורמט CEF כדי להשיג ניתוח אופטימלי באמצעות Google SecOps.

6. לוחצים על OK כדי לשמור את ההגדרה של שרת syslog.

בחירת סוגי האירועים להעברה

1. בכרטיסייה העברת אירועים, מגדירים אילו סוגי אירועים להעביר:

   • אירועים שקשורים לתוכנות זדוניות: בוחרים באפשרות העברת אירועים שקשורים לתוכנות זדוניות אל Syslog.
   • אירועים של מוניטין אתרים: בוחרים באפשרות העברת אירועים של מוניטין אתרים אל Syslog.
   • אירועים בחומת האש: בוחרים באפשרות העברת אירועים בחומת האש אל Syslog.
   • אירועים של מניעת חדירות: בוחרים באפשרות העברת אירועים של מניעת חדירות אל Syslog.
   • אירועים של מעקב אחר תקינות: בוחרים באפשרות העברת אירועים של מעקב אחר תקינות אל Syslog.
   • אירועים של בדיקת יומן: בוחרים באפשרות העברת אירועים של בדיקת יומן אל Syslog.
   • אירועים של בקרת אפליקציות: בוחרים באפשרות העברת אירועים של בקרת אפליקציות אל Syslog.
   • אירועי מערכת: בוחרים באפשרות העברת אירועי מערכת אל Syslog.

2. לוחצים על Save.

הגדרה של syslog ברמת המדיניות (אופציונלי)

אם אתם צריכים להגדיר העברה של syslog למדיניות ספציפית:

1. עוברים אל מדיניות.
2. לוחצים לחיצה כפולה על המדיניות שרוצים להגדיר.

3. עוברים אל הגדרות > העברת אירועים.

4. בכל מודול הגנה אפשר לבטל את ההגדרות הגלובליות של syslog:

   • בוחרים באפשרות העברה בירושה כדי להשתמש בהגדרה הגלובלית.
   • לוחצים על כן כדי להפעיל העברה של syslog למדיניות הספציפית.
   • בוחרים באפשרות לא כדי להשבית את העברת syslog למדיניות הספציפית.

5. לוחצים על Save.

אימות של העברת syslog

1. ב-Deep Security Manager, עוברים אל Events & Reports > Events (אירועים ודוחות > אירועים).
2. מוודאים שאירועי אבטחה נוצרים.

3. בודקים את היומנים של סוכן Bindplane כדי לוודא שהודעות syslog מתקבלות ב-TCP listener:

   sudo journalctl -u observiq-otel-collector -f
   

מידע נוסף זמין במסמכי העזרה של Trend Micro Deep Security בנושא syslog.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
dvc	about.ip	ממוזג
aggregation_type_label	additional.fields	ממוזג
cn1Label	additional.fields	מיפוי: Host ID → cn1_label
cn1_label	additional.fields	ממוזג
fileInCompressedFile_label	additional.fields	ממוזג
repeat_count_label	additional.fields	ממוזג
cef_host	intermediary.hostname	מיפוי ישיר
hostname	intermediary.hostname	מיפוי ישיר
cef_host	intermediary.ip	ממוזג
hostname	intermediary.ip	ממוזג
desc	metadata.description	מיפוי ישיר
timestamp	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
has_principal	metadata.event_type	מיפוי: true ← NETWORK_HTTP, ‏ true ← STATUS_UPDATE
TrendMicroDsTenant	metadata.product_deployment_id	מיפוי ישיר
event_id	metadata.product_event_type	מיפוי ישיר
log_type	metadata.product_name	מיפוי ישיר
product_version	metadata.product_version	מיפוי ישיר
organization	metadata.vendor_name	מיפוי ישיר
proto	network.ip_protocol	מיפוי: ICMPv6 → ICMP
in	network.received_bytes	שם שונה/מיפוי
out	network.sent_bytes	שם שונה/מיפוי
dvchost	principal.asset.hostname	מיפוי ישיר
shost	principal.asset.hostname	מיפוי ישיר
src	principal.asset.ip	ממוזג
dvchost	principal.hostname	מיפוי ישיר
shost	principal.hostname	מיפוי ישיר
src	principal.ip	ממוזג
smac	principal.mac	ממוזג
srcMAC	principal.mac	ממוזג
spt	principal.port	מיפוי ישיר
srcPort	principal.port	מיפוי ישיר
TrendMicroDsProcessPid	principal.process.pid	מיפוי ישיר
suser	principal.user.user_display_name	מיפוי ישיר
suid	principal.user.userid	מיפוי ישיר
usrName	principal.user.userid	מיפוי ישיר
action	security_result.action	ממוזג
act	security_result.action_details	מיפוי ישיר
result	security_result.action_details	מיפוי ישיר
cat	security_result.category_details	ממוזג
msg	security_result.description	מיפוי ישיר
TrendMicroDsPacketData_label	security_result.detection_fields	ממוזג
behaviour_type_field	security_result.detection_fields	ממוזג
cn3_label	security_result.detection_fields	ממוזג
count_label	security_result.detection_fields	ממוזג
cs1_label	security_result.detection_fields	ממוזג
cs2_label	security_result.detection_fields	ממוזג
cs3_label	security_result.detection_fields	ממוזג
cs4_label	security_result.detection_fields	ממוזג
cs5_label	security_result.detection_fields	ממוזג
cs6_label	security_result.detection_fields	ממוזג
cs7_label	security_result.detection_fields	ממוזג
frame_type_field	security_result.detection_fields	ממוזג
malware_target	security_result.detection_fields	ממוזג
process_label	security_result.detection_fields	ממוזג
target_type	security_result.detection_fields	ממוזג
tenant_field	security_result.detection_fields	ממוזג
tenant_id_field	security_result.detection_fields	ממוזג
sev	security_result.severity	מיפוי: "0", "1", "2", "3", "LOW" ← LOW, ‏ "4", "5", "6", "MEDIUM" ← MEDIUM, ‏ ‎`"7", "8"...
sev	security_result.severity_details	מיפוי ישיר
name	security_result.summary	מיפוי ישיר
result	security_result.summary	מיפוי ישיר
event_name	security_result.threat_name	מיפוי ישיר
organization	target.administrative_domain	מיפוי ישיר
cef_host	target.asset.hostname	מיפוי ישיר
hostname	target.asset.hostname	מיפוי ישיר
target	target.asset.hostname	מיפוי ישיר
dst	target.asset.ip	ממוזג
filePath	target.file.full_path	מיפוי ישיר
cs3	target.file.md5	מיפוי ישיר
TrendMicroDsFileSHA1	target.file.sha1	מיפוי ישיר
cs2	target.file.sha1	מיפוי ישיר
fileHash	target.file.sha256	מיפוי ישיר
cn2	target.file.size	שם שונה/מיפוי
fsize	target.file.size	שם שונה/מיפוי
cef_host	target.hostname	מיפוי ישיר
hostname	target.hostname	מיפוי ישיר
target	target.hostname	מיפוי ישיר
dst	target.ip	ממוזג
dmac	target.mac	ממוזג
dstMAC	target.mac	ממוזג
dpt	target.port	מיפוי ישיר
dstPort	target.port	מיפוי ישיר
duser	target.user.user_display_name	מיפוי ישיר
לא רלוונטי	metadata.event_type	קבוע: NETWORK_HTTP
לא רלוונטי	network.ip_protocol	קבוע: ICMP
לא רלוונטי	security_result.severity	קבוע: LOW
cs4" , "TrendMicroDsPacketData" and "cn3	security_result.detection_fields	מופה מיומן השינויים
cn1	principal.asset_id	מופה מיומן השינויים
security_result.action	BLOCK	מופה מיומן השינויים
cef_host" and "hostname	intermediary.ip	מופה מיומן השינויים
TrendMicroDsMalwareTarget","TrendMicroDsProcess", "TrendMicroDsMalwareTargetCount","TrendMicroDsMalwareTargetType" and "TrendMicroDsBehaviorType	security_result.detection_fields	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.