Trend Micro Deep Security のログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane を使用して Trend Micro Deep Security ログを Google Security Operations に取り込む方法について説明します。Trend Micro Deep Security は、物理ワークロード、仮想ワークロード、クラウド ワークロードに対して、マルウェア対策、IPS、ファイアウォール、整合性モニタリング、ログ検査、アプリケーション制御を提供するサーバー セキュリティ プラットフォームです。Deep Security は Trend Vision One プラットフォームに統合されていますが、Deep Security Manager はすべての保護モジュールに対して syslog イベントを生成し続けます。

詳細については、Trend Micro Deep Security ログを収集するをご覧ください。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス。
  • Windows 2016 以降、または systemd を使用する Linux ホスト。
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • 管理者または監査役の役割を持つ Trend Micro Deep Security Manager ウェブ コンソールへの特権アクセス。
  • Deep Security Manager 20.0 以降。

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM Settings] > [Collection Agent] に移動します。
  3. 取り込み認証ファイル をダウンロードします。
    • Bindplane をインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。
  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

  1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

その他のインストール リソース

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

  1. 構成ファイルにアクセスします。

    • config.yaml ファイルを見つけます。通常、Linux では /opt/observiq-otel-collector/config.yaml ディレクトリに、Windows ではインストール ディレクトリにあります。
    • テキスト エディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

  2. config.yaml ファイルを次のように編集します。

    receivers:
    tcplog:
        listen_address: "0.0.0.0:1514"

exporters:
    chronicle/trendmicro_ds:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: '<CUSTOMER_ID>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: TRENDMICRO_DEEP_SECURITY
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/trendmicro_ds_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/trendmicro_ds
  • 自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。
  • <CUSTOMER_ID> は、実際の顧客 ID に置き換えます。
  • /path/to/ingestion-authentication-file.json の値を、認証ファイルを保存したパスに更新します。

Bindplane エージェントを再起動して変更を適用する

  1. Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

  2. Windows で Bindplane エージェントを再起動するには、Services コンソールを使用するか、次のコマンドを入力します。

    net stop observiq-otel-collector && net start observiq-otel-collector

Trend Micro Deep Security で syslog 転送を構成する

Deep Security Manager で syslog 設定を構成する

  1. Trend Micro Deep Security Manager のウェブ コンソールにログインします。
  2. [Administration] > [System Settings] > [Event Forwarding] に移動します。
  3. [SIEM] セクションで、[Forward Events to a remote computer (via Syslog)] を選択します。

  4. syslog 構成の横にある [編集] をクリックします。

  5. 次の構成情報を提供してください。

    • サーバー名: Bindplane エージェント ホストの IP アドレスを入力します。
    • サーバー ポート: 1514（または構成済みのポート）を入力します。
    • [Transport]: [TCP] を選択します。
    • イベントの形式: [Common Event Format（CEF）] を選択します。

  6. [OK] をクリックして、Syslog サーバーの構成を保存します。

転送するイベントタイプを選択する

  1. [イベント転送] タブで、転送するイベントの種類を構成します。

    • マルウェア対策イベント: [マルウェア対策イベントを Syslog に転送する] を選択します。
    • Web Reputation Events: [Forward Web Reputation Events to Syslog] を選択します。
    • ファイアウォール イベント: [ファイアウォール イベントを Syslog に転送] を選択します。
    • 侵入防止イベント: [侵入防止イベントを Syslog に転送する] を選択します。
    • 整合性モニタリング イベント: [整合性モニタリング イベントを Syslog に転送する] を選択します。
    • ログ検査イベント: [ログ検査イベントを Syslog に転送] を選択します。
    • アプリケーション制御イベント: [アプリケーション制御イベントを Syslog に転送する] を選択します。
    • システム イベント: [システム イベントを Syslog に転送する] を選択します。

  2. [保存] をクリックします。

ポリシーレベルの syslog を構成する（省略可）

特定のポリシーの syslog 転送を構成する必要がある場合:

  1. [ポリシー] に移動します。
  2. 構成するポリシーをダブルクリックします。

  3. [Settings] > [Event Forwarding] に移動します。

  4. 保護モジュールごとに、グローバル syslog 設定をオーバーライドできます。

    • グローバル設定を使用するには、[継承] を選択します。
    • [はい] を選択して、特定のポリシーの syslog 転送を有効にします。
    • [いいえ] を選択して、特定のポリシーの syslog 転送を無効にします。

  5. [保存] をクリックします。

syslog 転送を確認する

  1. Deep Security Manager で、[Events & Reports] > [Events] に移動します。
  2. セキュリティ イベントが生成されていることを確認します。

  3. Bindplane エージェントのログを調べて、syslog メッセージが TCP リスナーで受信されていることを確認します。

    sudo journalctl -u observiq-otel-collector -f

詳細については、Trend Micro Deep Security の syslog ドキュメントをご覧ください。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
dvc about.ip 統合済み
aggregation_type_label additional.fields 統合済み
cn1Label additional.fields マッピング: Host ID → cn1_label
cn1_label additional.fields 統合済み
fileInCompressedFile_label additional.fields 統合済み
repeat_count_label additional.fields 統合済み
cef_host intermediary.hostname 直接マッピングされます。
hostname intermediary.hostname 直接マッピングされます。
cef_host intermediary.ip 統合済み
hostname intermediary.ip 統合済み
desc metadata.description 直接マッピングされます。
timestamp metadata.event_timestamp ISO8601 として解析
has_principal metadata.event_type マッピング: true → NETWORK_HTTP、true → STATUS_UPDATE
TrendMicroDsTenant metadata.product_deployment_id 直接マッピングされます。
event_id metadata.product_event_type 直接マッピングされます。
log_type metadata.product_name 直接マッピングされます。
product_version metadata.product_version 直接マッピングされます。
organization metadata.vendor_name 直接マッピングされます。
proto network.ip_protocol マッピング: ICMPv6 → ICMP
in network.received_bytes 名前変更済み/マッピング済み
out network.sent_bytes 名前変更済み/マッピング済み
dvchost principal.asset.hostname 直接マッピングされます。
shost principal.asset.hostname 直接マッピングされます。
src principal.asset.ip 統合済み
dvchost principal.hostname 直接マッピングされます。
shost principal.hostname 直接マッピングされます。
src principal.ip 統合済み
smac principal.mac 統合済み
srcMAC principal.mac 統合済み
spt principal.port 直接マッピングされます。
srcPort principal.port 直接マッピングされます。
TrendMicroDsProcessPid principal.process.pid 直接マッピングされます。
suser principal.user.user_display_name 直接マッピングされます。
suid principal.user.userid 直接マッピングされます。
usrName principal.user.userid 直接マッピングされます。
action security_result.action 統合済み
act security_result.action_details 直接マッピングされます。
result security_result.action_details 直接マッピングされます。
cat security_result.category_details 統合済み
msg security_result.description 直接マッピングされます。
TrendMicroDsPacketData_label security_result.detection_fields 統合済み
behaviour_type_field security_result.detection_fields 統合済み
cn3_label security_result.detection_fields 統合済み
count_label security_result.detection_fields 統合済み
cs1_label security_result.detection_fields 統合済み
cs2_label security_result.detection_fields 統合済み
cs3_label security_result.detection_fields 統合済み
cs4_label security_result.detection_fields 統合済み
cs5_label security_result.detection_fields 統合済み
cs6_label security_result.detection_fields 統合済み
cs7_label security_result.detection_fields 統合済み
frame_type_field security_result.detection_fields 統合済み
malware_target security_result.detection_fields 統合済み
process_label security_result.detection_fields 統合済み
target_type security_result.detection_fields 統合済み
tenant_field security_result.detection_fields 統合済み
tenant_id_field security_result.detection_fields 統合済み
sev security_result.severity マッピング: "0", "1", "2", "3", "LOW" → LOW、"4", "5", "6", "MEDIUM" → MEDIUM、`"7", "8"...
sev security_result.severity_details 直接マッピングされます。
name security_result.summary 直接マッピングされます。
result security_result.summary 直接マッピングされます。
event_name security_result.threat_name 直接マッピングされます。
organization target.administrative_domain 直接マッピングされます。
cef_host target.asset.hostname 直接マッピングされます。
hostname target.asset.hostname 直接マッピングされます。
target target.asset.hostname 直接マッピングされます。
dst target.asset.ip 統合済み
filePath target.file.full_path 直接マッピングされます。
cs3 target.file.md5 直接マッピングされます。
TrendMicroDsFileSHA1 target.file.sha1 直接マッピングされます。
cs2 target.file.sha1 直接マッピングされます。
fileHash target.file.sha256 直接マッピングされます。
cn2 target.file.size 名前変更済み/マッピング済み
fsize target.file.size 名前変更済み/マッピング済み
cef_host target.hostname 直接マッピングされます。
hostname target.hostname 直接マッピングされます。
target target.hostname 直接マッピングされます。
dst target.ip 統合済み
dmac target.mac 統合済み
dstMAC target.mac 統合済み
dpt target.port 直接マッピングされます。
dstPort target.port 直接マッピングされます。
duser target.user.user_display_name 直接マッピングされます。
なし metadata.event_type 定数: NETWORK_HTTP
なし network.ip_protocol 定数: ICMP
なし security_result.severity 定数: LOW
cs4" , "TrendMicroDsPacketData" and "cn3 security_result.detection_fields 変更履歴からマッピング
cn1 principal.asset_id 変更履歴からマッピング
security_result.action BLOCK 変更履歴からマッピング
cef_host" and "hostname intermediary.ip 変更履歴からマッピング
TrendMicroDsMalwareTarget","TrendMicroDsProcess", "TrendMicroDsMalwareTargetCount","TrendMicroDsMalwareTargetType" and "TrendMicroDsBehaviorType security_result.detection_fields 変更履歴からマッピング

変更履歴

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。