איסוף יומנים של Trend Micro Deep Security

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Trend Micro Deep Security ב-Google Security Operations באמצעות Bindplane. ‫Trend Micro Deep Security היא פלטפורמת אבטחה לשרתים שמספקת הגנה מפני תוכנות זדוניות, IPS, חומת אש, מעקב אחר תקינות, בדיקת יומנים ובקרת אפליקציות לעומסי עבודה פיזיים, וירטואליים ובענן. ‫Deep Security עוברת איחוד במסגרת פלטפורמת Trend Vision One, אבל Deep Security Manager ממשיך ליצור אירועי syslog לכל מודולי ההגנה.

מידע נוסף זמין במאמר איסוף יומנים של Trend Micro Deep Security.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מופע של Google SecOps.
• מארח Windows 2016 ואילך או Linux עם systemd.
• אם אתם מפעילים את הסוכן מאחורי שרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה מורשית למסוף האינטרנט של Trend Micro Deep Security Manager עם תפקיד אדמין או ניהול כללים לביקורת.
• ‫Deep Security Manager בגרסה 20.0 ואילך.

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות עבור Chronicle API (מומלץ)

1. נכנסים אל Google Cloud המסוף ובוחרים את Google Cloud הפרויקט שמקושר למופע של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על יצירת חשבון שירות.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את כלי הייצוא.

הערה: מפתח JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות SIEM > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן מעבר לאפשרות 1 לפני התאריך הזה.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings (הגדרות SIEM) > Profile (פרופיל).
3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

מקורות מידע נוספים להתקנה

• אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את גרסה 1.106.0 ומעלה של Bindplane collector. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, צריך לשדרג את הכלי לאיסוף נתונים לפני שמשנים את ההגדרה.

הגדרת סוכן Bindplane להטמעת Syslog ושליחה ל-Google SecOps

הערה: ב-Trend Micro Deep Security נעשה שימוש ב-TCP להעברת syslog כדי להבטיח העברה אמינה של אירועי אבטחה. צריך להגדיר את סוכן Bindplane עם tcplogמקלט

.

1. ניגשים לקובץ התצורה:

   • מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /opt/observiq-otel-collector/config.yaml ב-Linux או בספריית ההתקנה ב-Windows.
   • פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או Notepad).

2. עורכים את הקובץ config.yaml באופן הבא:

   receivers:
     tcplog:
       listen_address: "0.0.0.0:1514"
   
   exporters:
     chronicle/trendmicro_ds:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<CUSTOMER_ID>'
       endpoint: chronicle.googleapis.com
       log_type: TRENDMICRO_DEEP_SECURITY
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/trendmicro_ds_to_chronicle:
         receivers:
           - tcplog
         exporters:
           - chronicle/trendmicro_ds
   

• מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית שלכם.
• מחליפים את <LOCATION> באזור של מכונת Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). הערך הזה יתווסף לתחילת השם של קובץ הייצוא chronicle.googleapis.com.
• מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
• מחליפים את <CUSTOMER_ID> במספר הלקוח בפועל.
• מעדכנים את /path/to/ingestion-authentication-file.json לנתיב שבו נשמר קובץ המפתח של חשבון השירות (אפשרות 1).

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב לקובץ האימות של ההעברה, ואם המופע שלכם נמצא מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/trendmicro_ds:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: TRENDMICRO_DEEP_SECURITY
      raw_log_field: body
      ingestion_labels:
  

הערה: הכלי הזה לייצוא יפסיק לפעול כשתמיכת ה-API להעברת נתונים תופסק ב-20 ביולי 2027.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

1. כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

הגדרת העברת syslog ב-Trend Micro Deep Security

הגדרת syslog ב-Deep Security Manager

1. נכנסים למסוף האינטרנט של Trend Micro Deep Security Manager.
2. עוברים אל Administration(ניהול) > System Settings(הגדרות מערכת) > Event Forwarding (העברת אירועים).
3. בקטע SIEM, בוחרים באפשרות העברת אירועים למחשב מרוחק (באמצעות Syslog).

4. לוחצים על עריכה לצד ההגדרה של syslog.

5. ממלאים את פרטי ההגדרה הבאים:

   • שם השרת: מזינים את כתובת ה-IP של המארח של סוכן Bindplane.
   • יציאת השרת: מזינים את הערך 1514 (או את היציאה שהגדרתם).
   • Transport (תעבורה): בוחרים באפשרות TCP.
   • פורמט אירוע: בוחרים באפשרות פורמט אירוע נפוץ (CEF).
   הערה: מומלץ להשתמש בפורמט CEF כדי להשיג ניתוח אופטימלי באמצעות Google SecOps.

6. לוחצים על OK (אישור) כדי לשמור את ההגדרות של שרת ה-syslog.

בחירת סוגי האירועים להעברה

1. בכרטיסייה העברת אירועים, מגדירים אילו סוגי אירועים להעביר:

   • אירועים של תוכנות זדוניות: בוחרים באפשרות העברת אירועים של תוכנות זדוניות ל-Syslog.
   • אירועי מוניטין באינטרנט: בוחרים באפשרות העברת אירועי מוניטין באינטרנט ל-Syslog.
   • אירועים בחומת האש: בוחרים באפשרות העברת אירועים בחומת האש אל Syslog.
   • אירועים של מניעת פריצה: בוחרים באפשרות העברת אירועים של מניעת פריצה ל-Syslog.
   • אירועים של מעקב אחר תקינות: בוחרים באפשרות העברת אירועים של מעקב אחר תקינות אל Syslog.
   • Log Inspection Events: בוחרים באפשרות Forward Log Inspection Events to Syslog.
   • אירועים של בקרת אפליקציות: בוחרים באפשרות העברת אירועים של בקרת אפליקציות ל-Syslog.
   • אירועי מערכת: בוחרים באפשרות העברת אירועי מערכת אל Syslog.

2. לוחצים על Save.

הגדרה של syslog ברמת המדיניות (אופציונלי)

אם אתם צריכים להגדיר העברה של syslog למדיניות ספציפית:

1. עוברים אל כללי מדיניות.
2. לוחצים לחיצה כפולה על המדיניות שרוצים להגדיר.

3. עוברים אל הגדרות > העברת אירועים.

4. בכל מודול הגנה אפשר לבטל את ההגדרות הגלובליות של syslog:

   • בוחרים באפשרות העברה בירושה כדי להשתמש בהגדרה הגלובלית.
   • בוחרים באפשרות כן כדי להפעיל העברת syslog למדיניות הספציפית.
   • בוחרים באפשרות לא כדי להשבית את ההעברה של syslog במדיניות הספציפית.

5. לוחצים על Save.

אימות של העברת syslog

1. ב-Deep Security Manager, עוברים אל Events & Reports > Events.
2. מוודאים שאירועי אבטחה נוצרים.

3. בודקים את יומני הסוכן של Bindplane כדי לוודא שהודעות syslog מתקבלות במאזין ה-TCP:

   sudo journalctl -u observiq-otel-collector -f
   

מידע נוסף זמין במסמכי התיעוד של Trend Micro Deep Security syslog.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
dvc	about.ip	ממוזג
aggregation_type_label	additional.fields	ממוזג
cn1Label	additional.fields	מופה: Host ID ← cn1_label
cn1_label	additional.fields	ממוזג
fileInCompressedFile_label	additional.fields	ממוזג
repeat_count_label	additional.fields	ממוזג
cef_host	intermediary.hostname	מיפוי ישיר
hostname	intermediary.hostname	מיפוי ישיר
cef_host	intermediary.ip	ממוזג
hostname	intermediary.ip	ממוזג
desc	metadata.description	מיפוי ישיר
timestamp	metadata.event_timestamp	נותח בתור ISO8601
has_principal	metadata.event_type	מיפוי: true ← NETWORK_HTTP, true ← STATUS_UPDATE
TrendMicroDsTenant	metadata.product_deployment_id	מיפוי ישיר
event_id	metadata.product_event_type	מיפוי ישיר
log_type	metadata.product_name	מיפוי ישיר
product_version	metadata.product_version	מיפוי ישיר
organization	metadata.vendor_name	מיפוי ישיר
proto	network.ip_protocol	מופה: ICMPv6 ← ICMP
in	network.received_bytes	שם שונה/מיפוי
out	network.sent_bytes	שינוי שם/מיפוי
dvchost	principal.asset.hostname	מיפוי ישיר
shost	principal.asset.hostname	מיפוי ישיר
src	principal.asset.ip	ממוזג
dvchost	principal.hostname	מיפוי ישיר
shost	principal.hostname	מיפוי ישיר
src	principal.ip	ממוזג
smac	principal.mac	ממוזג
srcMAC	principal.mac	ממוזג
spt	principal.port	מיפוי ישיר
srcPort	principal.port	מיפוי ישיר
TrendMicroDsProcessPid	principal.process.pid	מיפוי ישיר
suser	principal.user.user_display_name	מיפוי ישיר
suid	principal.user.userid	מיפוי ישיר
usrName	principal.user.userid	מיפוי ישיר
action	security_result.action	ממוזג
act	security_result.action_details	מיפוי ישיר
result	security_result.action_details	מיפוי ישיר
cat	security_result.category_details	ממוזג
msg	security_result.description	מיפוי ישיר
TrendMicroDsPacketData_label	security_result.detection_fields	ממוזג
behaviour_type_field	security_result.detection_fields	ממוזג
cn3_label	security_result.detection_fields	ממוזג
count_label	security_result.detection_fields	ממוזג
cs1_label	security_result.detection_fields	ממוזג
cs2_label	security_result.detection_fields	ממוזג
cs3_label	security_result.detection_fields	ממוזג
cs4_label	security_result.detection_fields	ממוזג
cs5_label	security_result.detection_fields	ממוזג
cs6_label	security_result.detection_fields	ממוזג
cs7_label	security_result.detection_fields	ממוזג
frame_type_field	security_result.detection_fields	ממוזג
malware_target	security_result.detection_fields	ממוזג
process_label	security_result.detection_fields	ממוזג
target_type	security_result.detection_fields	ממוזג
tenant_field	security_result.detection_fields	ממוזג
tenant_id_field	security_result.detection_fields	ממוזג
sev	security_result.severity	מיפוי: "0", "1", "2", "3", "LOW" ← LOW, "4", "5", "6", "MEDIUM" ← MEDIUM, ‏"7", ‏"8"…
sev	security_result.severity_details	מיפוי ישיר
name	security_result.summary	מיפוי ישיר
result	security_result.summary	מיפוי ישיר
event_name	security_result.threat_name	מיפוי ישיר
organization	target.administrative_domain	מיפוי ישיר
cef_host	target.asset.hostname	מיפוי ישיר
hostname	target.asset.hostname	מיפוי ישיר
target	target.asset.hostname	מיפוי ישיר
dst	target.asset.ip	ממוזג
filePath	target.file.full_path	מיפוי ישיר
cs3	target.file.md5	מיפוי ישיר
TrendMicroDsFileSHA1	target.file.sha1	מיפוי ישיר
cs2	target.file.sha1	מיפוי ישיר
fileHash	target.file.sha256	מיפוי ישיר
cn2	target.file.size	שינוי שם/מיפוי
fsize	target.file.size	שינוי שם/מיפוי
cef_host	target.hostname	מיפוי ישיר
hostname	target.hostname	מיפוי ישיר
target	target.hostname	מיפוי ישיר
dst	target.ip	ממוזג
dmac	target.mac	ממוזג
dstMAC	target.mac	ממוזג
dpt	target.port	מיפוי ישיר
dstPort	target.port	מיפוי ישיר
duser	target.user.user_display_name	מיפוי ישיר
לא רלוונטי	metadata.event_type	קבוע: NETWORK_HTTP
לא רלוונטי	network.ip_protocol	קבוע: ICMP
לא רלוונטי	security_result.severity	קבוע: LOW
cs4" , "TrendMicroDsPacketData" and "cn3	security_result.detection_fields	מופה מיומן השינויים
cn1	principal.asset_id	מופה מיומן השינויים
security_result.action	BLOCK	מופה מיומן השינויים
cef_host" and "hostname	intermediary.ip	מופה מיומן השינויים
TrendMicroDsMalwareTarget","TrendMicroDsProcess", "TrendMicroDsMalwareTargetCount","TrendMicroDsMalwareTargetType" and "TrendMicroDsBehaviorType	security_result.detection_fields	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.