Trend Micro Deep Security のログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane を使用して Trend Micro Deep Security ログを Google Security Operations に取り込む方法について説明します。Trend Micro Deep Security は、物理、仮想、クラウドのワークロードに対してマルウェア対策、IPS、ファイアウォール、完全性モニタリング、ログ検査、アプリケーション制御を提供するサーバー セキュリティ プラットフォームです。Deep Security は Trend Vision One プラットフォームに統合されていますが、Deep Security Manager は引き続きすべての保護モジュールの syslog イベントを生成します。

詳細については、Trend Micro Deep Security ログを収集するをご覧ください。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス。
• Windows 2016 以降、または systemd を使用する Linux ホスト。
• プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
• 管理者または監査者のロールを持つ Trend Micro Deep Security Manager ウェブコンソールへの特権アクセス。
• Deep Security Manager 20.0 以降。

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

• 新規デプロイ: Chronicle API を使用します（オプション 1）。
• 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。

オプション 1: Chronicle API のサービス アカウントを作成する（推奨）

1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
2. [IAM と管理] > [サービス アカウント] に移動します。
3. [サービス アカウントを作成] をクリックします。
4. 次の構成情報を指定します。
   • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
   • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
5. [作成して続行] をクリックします。
6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
7. [続行] をクリックして [完了] をクリックします。
8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
10. [JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
11. 鍵ファイルを ingestion-auth.json として Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yaml の creds_file_path を更新して、保存先のパスと一致させます。
12. [IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。これはエクスポータの構成に必要です。

注: JSON キーは認証情報です。Bindplane ホスト上のファイルへのアクセスを制限し、組織のポリシーに従って鍵をローテーションします。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [収集エージェント] に移動します。
3. 取り込み認証ファイルをダウンロードします。
4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

注: このファイルは、エージェントを以前の Ingestion API（malachiteingestion-pa.googleapis.com）に対して認証します。この API は、2027 年 7 月 20 日にサポートが終了する予定です。その日までにオプション 1 に移行するよう計画してください。

Google SecOps のお客様 ID を取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [プロファイル] に移動します。
3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows へのインストール

1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

2. 次のコマンドを実行します。

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Linux へのインストール

1. root 権限または sudo 権限でターミナルを開きます。

2. 次のコマンドを実行します。

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

その他のインストール リソース

• その他のインストール オプションについては、こちらのインストール ガイドをご覧ください。

注: Chronicle API エクスポータの構成には、Bindplane コレクタ v1.106.0 以降が必要です。上記のコマンドは、最新リリースをインストールします。既存のインストールを更新する場合は、構成を変更する前にコレクタをアップグレードします。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

注: Trend Micro Deep Security は、syslog 転送に TCP を使用して、セキュリティ イベントの信頼性の高い配信を保証します。Bindplane エージェントは tcplog レシーバーで構成する必要があります。

1. 構成ファイルにアクセスします。

   • config.yaml ファイルを見つけます。通常は、Linux の場合は /opt/observiq-otel-collector/config.yaml ディレクトリに、Windows の場合はインストール ディレクトリにあります。
   • テキスト エディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

2. config.yaml ファイルを次のように編集します。

   receivers:
     tcplog:
       listen_address: "0.0.0.0:1514"
   
   exporters:
     chronicle/trendmicro_ds:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<CUSTOMER_ID>'
       endpoint: chronicle.googleapis.com
       log_type: TRENDMICRO_DEEP_SECURITY
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/trendmicro_ds_to_chronicle:
         receivers:
           - tcplog
         exporters:
           - chronicle/trendmicro_ds
   

• 自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。
• <LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポータは、chronicle.googleapis.com の先頭にこの値を付加します。
• <PROJECT_NUMBER> は、[IAM と管理] > [設定] のプロジェクト番号に置き換えます。
• <CUSTOMER_ID> は、実際のお客様 ID に置き換えます。
• /path/to/ingestion-authentication-file.json を、サービス アカウント キーファイル（オプション 1）が保存されたパスに更新します。

以前の Ingestion API エクスポータ

• オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（europe-malachiteingestion-pa.googleapis.com など）に置き換えます。

  exporters:
    chronicle/trendmicro_ds:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: TRENDMICRO_DEEP_SECURITY
      raw_log_field: body
      ingestion_labels:
  

注: このエクスポータは、2027 年 7 月 20 日に Ingestion API が廃止されると機能しなくなります。

Bindplane エージェントを再起動して変更を適用する

1. Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

   sudo systemctl restart observiq-otel-collector
   

2. Windows で Bindplane エージェントを再起動するには、Services コンソールを使用するか、次のコマンドを入力します。

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Trend Micro Deep Security で syslog 転送を構成する

Deep Security Manager で syslog 設定を構成する

1. Trend Micro Deep Security Manager ウェブコンソールにログインします。
2. [Administration] > [System Settings] > [Event Forwarding] に移動します。
3. [SIEM] セクションで、[Forward Events to a リモート コンピュータ (via Syslog)] を選択します。

4. syslog 構成の横にある [編集] をクリックします。

5. 次の構成情報を提供してください。

   • サーバー名: Bindplane エージェント ホストの IP アドレスを入力します。
   • サーバーポート: 「1514」（または構成したポート）を入力します。
   • トランスポート: [TCP] を選択します。
   • イベント形式: [共通イベント形式（CEF）] を選択します。
   注: Google SecOps で最適な解析を行うには、CEF 形式をおすすめします。

6. [OK] をクリックして、Syslog サーバーの構成を保存します。

転送するイベントタイプを選択する

1. [Event Forwarding] タブで、転送するイベントタイプを構成します。

   • マルウェア対策イベント: [マルウェア対策イベントを Syslog に転送する] を選択します。
   • Web Reputation Events: [Forward Web Reputation Events to Syslog] を選択します。
   • ファイアウォール イベント: [ファイアウォール イベントを Syslog に転送する] を選択します。
   • 侵入防止イベント: [侵入防止イベントを Syslog に転送する] を選択します。
   • 整合性モニタリング イベント: [整合性モニタリング イベントを Syslog に転送する] を選択します。
   • ログ検査イベント: [ログ検査イベントを Syslog に転送する] を選択します。
   • アプリケーション制御イベント: [アプリケーション制御イベントを Syslog に転送する] を選択します。
   • システム イベント: [システム イベントを Syslog に転送する] を選択します。

2. [保存] をクリックします。

ポリシーレベルの syslog を構成する（省略可）

特定のポリシーに対して syslog 転送を構成する必要がある場合:

1. [ポリシー] に移動します。
2. 設定するポリシーをダブルクリックします。

3. [Settings] > [Event Forwarding] に移動します。

4. 保護モジュールごとに、グローバル syslog 設定をオーバーライドできます。

   • グローバル設定を使用するには、[継承] を選択します。
   • [はい] を選択して、特定のポリシーの syslog 転送を有効にします。
   • 特定のポリシーの syslog 転送を無効にするには、[いいえ] を選択します。

5. [保存] をクリックします。

syslog 転送を確認する

1. Deep Security Manager で、[Events & Reports] > [Events] に移動します。
2. セキュリティ イベントが生成されていることを確認します。

3. Bindplane エージェント ログをチェックして、TCP リスナーで syslog メッセージが受信されていることを確認します。

   sudo journalctl -u observiq-otel-collector -f
   

詳細については、Trend Micro Deep Security syslog のドキュメントをご覧ください。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
dvc	about.ip	統合済み
aggregation_type_label	additional.fields	統合済み
cn1Label	additional.fields	マッピング: Host ID → cn1_label
cn1_label	additional.fields	統合済み
fileInCompressedFile_label	additional.fields	統合済み
repeat_count_label	additional.fields	統合済み
cef_host	intermediary.hostname	直接マッピングされます。
hostname	intermediary.hostname	直接マッピングされます。
cef_host	intermediary.ip	統合済み
hostname	intermediary.ip	統合済み
desc	metadata.description	直接マッピングされます。
timestamp	metadata.event_timestamp	ISO8601 として解析
has_principal	metadata.event_type	マッピング: true → NETWORK_HTTP、true → STATUS_UPDATE
TrendMicroDsTenant	metadata.product_deployment_id	直接マッピングされます。
event_id	metadata.product_event_type	直接マッピングされます。
log_type	metadata.product_name	直接マッピングされます。
product_version	metadata.product_version	直接マッピングされます。
organization	metadata.vendor_name	直接マッピングされます。
proto	network.ip_protocol	マッピング済み: ICMPv6 → ICMP
in	network.received_bytes	名前変更/マッピング
out	network.sent_bytes	名前変更/マッピング
dvchost	principal.asset.hostname	直接マッピングされます。
shost	principal.asset.hostname	直接マッピングされます。
src	principal.asset.ip	統合済み
dvchost	principal.hostname	直接マッピングされます。
shost	principal.hostname	直接マッピングされます。
src	principal.ip	統合済み
smac	principal.mac	統合済み
srcMAC	principal.mac	統合済み
spt	principal.port	直接マッピングされます。
srcPort	principal.port	直接マッピングされます。
TrendMicroDsProcessPid	principal.process.pid	直接マッピングされます。
suser	principal.user.user_display_name	直接マッピングされます。
suid	principal.user.userid	直接マッピングされます。
usrName	principal.user.userid	直接マッピングされます。
action	security_result.action	統合済み
act	security_result.action_details	直接マッピングされます。
result	security_result.action_details	直接マッピングされます。
cat	security_result.category_details	統合済み
msg	security_result.description	直接マッピングされます。
TrendMicroDsPacketData_label	security_result.detection_fields	統合済み
behaviour_type_field	security_result.detection_fields	統合済み
cn3_label	security_result.detection_fields	統合済み
count_label	security_result.detection_fields	統合済み
cs1_label	security_result.detection_fields	統合済み
cs2_label	security_result.detection_fields	統合済み
cs3_label	security_result.detection_fields	統合済み
cs4_label	security_result.detection_fields	統合済み
cs5_label	security_result.detection_fields	統合済み
cs6_label	security_result.detection_fields	統合済み
cs7_label	security_result.detection_fields	統合済み
frame_type_field	security_result.detection_fields	統合済み
malware_target	security_result.detection_fields	統合済み
process_label	security_result.detection_fields	統合済み
target_type	security_result.detection_fields	統合済み
tenant_field	security_result.detection_fields	統合済み
tenant_id_field	security_result.detection_fields	統合済み
sev	security_result.severity	マッピング: "0", "1", "2", "3", "LOW" → LOW、"4", "5", "6", "MEDIUM" → MEDIUM、`"7", "8"...
sev	security_result.severity_details	直接マッピングされます。
name	security_result.summary	直接マッピングされます。
result	security_result.summary	直接マッピングされます。
event_name	security_result.threat_name	直接マッピングされます。
organization	target.administrative_domain	直接マッピングされます。
cef_host	target.asset.hostname	直接マッピングされます。
hostname	target.asset.hostname	直接マッピングされます。
target	target.asset.hostname	直接マッピングされます。
dst	target.asset.ip	統合済み
filePath	target.file.full_path	直接マッピングされます。
cs3	target.file.md5	直接マッピングされます。
TrendMicroDsFileSHA1	target.file.sha1	直接マッピングされます。
cs2	target.file.sha1	直接マッピングされます。
fileHash	target.file.sha256	直接マッピングされます。
cn2	target.file.size	名前変更/マッピング
fsize	target.file.size	名前変更/マッピング
cef_host	target.hostname	直接マッピングされます。
hostname	target.hostname	直接マッピングされます。
target	target.hostname	直接マッピングされます。
dst	target.ip	統合済み
dmac	target.mac	統合済み
dstMAC	target.mac	統合済み
dpt	target.port	直接マッピングされます。
dstPort	target.port	直接マッピングされます。
duser	target.user.user_display_name	直接マッピングされます。
なし	metadata.event_type	定数: NETWORK_HTTP
なし	network.ip_protocol	定数: ICMP
なし	security_result.severity	定数: LOW
cs4" , "TrendMicroDsPacketData" and "cn3	security_result.detection_fields	変更履歴からマッピング
cn1	principal.asset_id	変更履歴からマッピング
security_result.action	BLOCK	変更履歴からマッピング
cef_host" and "hostname	intermediary.ip	変更履歴からマッピング
TrendMicroDsMalwareTarget","TrendMicroDsProcess", "TrendMicroDsMalwareTargetCount","TrendMicroDsMalwareTargetType" and "TrendMicroDsBehaviorType	security_result.detection_fields	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。