Coletar registros do Trend Micro Deep Security

Compatível com:

Este documento explica como ingerir registros do Trend Micro Deep Security no Google Security Operations usando o Bindplane. O Trend Micro Deep Security é uma plataforma de segurança de servidores que oferece proteção antimalware, IPS, firewall, monitoramento de integridade, inspeção de registros e controle de aplicativos para cargas de trabalho físicas, virtuais e na nuvem. O Deep Security está sendo consolidado na plataforma Trend Vision One, mas o Deep Security Manager continua gerando eventos syslog para todos os módulos de proteção.

Para mais informações, consulte Coletar registros do Trend Micro Deep Security.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Uma instância do Google SecOps.
  • Um host Windows 2016 ou mais recente ou Linux com systemd.
  • Se você estiver executando um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
  • Acesso privilegiado ao console da Web do Trend Micro Deep Security Manager com função de administrador ou auditor.
  • Deep Security Manager 20.0 ou mais recente.

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agente de coleta.
  3. Baixe o arquivo de autenticação de ingestão.
    • Salve o arquivo com segurança no sistema em que o Bindplane será instalado.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.
  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o prompt de comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

Outros recursos de instalação

  • Para outras opções de instalação, consulte este guia.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

  1. Acesse o arquivo de configuração:

    • Localize o arquivo config.yaml. Normalmente, ele fica no diretório /opt/observiq-otel-collector/config.yaml no Linux ou no diretório de instalação no Windows.
    • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

  2. Edite o arquivo config.yaml da seguinte forma:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:1514"

exporters:
    chronicle/trendmicro_ds:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: '<CUSTOMER_ID>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: TRENDMICRO_DEEP_SECURITY
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/trendmicro_ds_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/trendmicro_ds
  • Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
  • Substitua <CUSTOMER_ID> pelo ID do cliente real.
  • Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo.

Reinicie o agente do Bindplane para aplicar as mudanças.

  1. Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

    sudo systemctl restart observiq-otel-collector

  2. Para reiniciar o agente do Bindplane no Windows, use o console Serviços ou insira o seguinte comando:

    net stop observiq-otel-collector && net start observiq-otel-collector

Configurar o encaminhamento do syslog no Trend Micro Deep Security

Configurar as definições do syslog no Deep Security Manager

  1. Faça login no console da Web do Trend Micro Deep Security Manager.
  2. Acesse Administração > Configurações do sistema > Encaminhamento de eventos.
  3. Na seção SIEM, selecione Encaminhar eventos para um computador remoto (via Syslog).

  4. Clique em Editar ao lado da configuração do syslog.

  5. Informe os seguintes detalhes de configuração:

    • Nome do servidor: insira o endereço IP do host do agente do Bindplane.
    • Porta do servidor: insira 1514 (ou a porta configurada).
    • Transporte: selecione TCP.
    • Formato do evento: selecione Formato de evento comum (CEF).

  6. Clique em OK para salvar a configuração do servidor syslog.

Selecionar os tipos de evento para encaminhar

  1. Na guia Encaminhamento de eventos, configure quais tipos de eventos encaminhar:

    • Eventos antimalware: selecione Encaminhar eventos antimalware para o Syslog.
    • Eventos de reputação na Web: selecione Encaminhar eventos de reputação na Web para o Syslog.
    • Eventos de firewall: selecione Encaminhar eventos de firewall para o Syslog.
    • Eventos de prevenção de invasões: selecione Encaminhar eventos de prevenção de invasões para o Syslog.
    • Eventos de monitoramento de integridade: selecione Encaminhar eventos de monitoramento de integridade para o Syslog.
    • Eventos de inspeção de registros: selecione Encaminhar eventos de inspeção de registros para o Syslog.
    • Eventos de controle de aplicativos: selecione Encaminhar eventos de controle de aplicativos para o Syslog.
    • Eventos do sistema: selecione Encaminhar eventos do sistema para o Syslog.

  2. Clique em Salvar.

Configurar o Syslog no nível da política (opcional)

Se você precisar configurar o encaminhamento de syslog para políticas específicas:

  1. Acesse Políticas.
  2. Clique duas vezes na política que você quer configurar.

  3. Acesse Configurações > Encaminhamento de eventos.

  4. Para cada módulo de proteção, é possível substituir as configurações globais do syslog:

    • Selecione Herdar para usar a configuração global.
    • Selecione Sim para ativar o encaminhamento de syslog na política específica.
    • Selecione Não para desativar o encaminhamento de syslog para a política específica.

  5. Clique em Salvar.

Verificar o encaminhamento de syslog

  1. No Deep Security Manager, acesse Eventos e relatórios > Eventos.
  2. Verifique se os eventos de segurança estão sendo gerados.

  3. Verifique os registros do agente Bindplane para confirmar se as mensagens syslog estão sendo recebidas no listener TCP:

    sudo journalctl -u observiq-otel-collector -f

Para mais informações, consulte a documentação do syslog do Trend Micro Deep Security.

Tabela de mapeamento de UDM

Campo de registro Mapeamento do UDM Lógica
dvc about.ip Mesclado
aggregation_type_label additional.fields Mesclado
cn1Label additional.fields Mapeado: Host ID → cn1_label
cn1_label additional.fields Mesclado
fileInCompressedFile_label additional.fields Mesclado
repeat_count_label additional.fields Mesclado
cef_host intermediary.hostname Mapeado diretamente
hostname intermediary.hostname Mapeado diretamente
cef_host intermediary.ip Mesclado
hostname intermediary.ip Mesclado
desc metadata.description Mapeado diretamente
timestamp metadata.event_timestamp Analisado como ISO8601
has_principal metadata.event_type Mapeado: true → NETWORK_HTTP, true → STATUS_UPDATE
TrendMicroDsTenant metadata.product_deployment_id Mapeado diretamente
event_id metadata.product_event_type Mapeado diretamente
log_type metadata.product_name Mapeado diretamente
product_version metadata.product_version Mapeado diretamente
organization metadata.vendor_name Mapeado diretamente
proto network.ip_protocol Mapeado: ICMPv6 → ICMP
in network.received_bytes Renomeado/mapeado
out network.sent_bytes Renomeado/mapeado
dvchost principal.asset.hostname Mapeado diretamente
shost principal.asset.hostname Mapeado diretamente
src principal.asset.ip Mesclado
dvchost principal.hostname Mapeado diretamente
shost principal.hostname Mapeado diretamente
src principal.ip Mesclado
smac principal.mac Mesclado
srcMAC principal.mac Mesclado
spt principal.port Mapeado diretamente
srcPort principal.port Mapeado diretamente
TrendMicroDsProcessPid principal.process.pid Mapeado diretamente
suser principal.user.user_display_name Mapeado diretamente
suid principal.user.userid Mapeado diretamente
usrName principal.user.userid Mapeado diretamente
action security_result.action Mesclado
act security_result.action_details Mapeado diretamente
result security_result.action_details Mapeado diretamente
cat security_result.category_details Mesclado
msg security_result.description Mapeado diretamente
TrendMicroDsPacketData_label security_result.detection_fields Mesclado
behaviour_type_field security_result.detection_fields Mesclado
cn3_label security_result.detection_fields Mesclado
count_label security_result.detection_fields Mesclado
cs1_label security_result.detection_fields Mesclado
cs2_label security_result.detection_fields Mesclado
cs3_label security_result.detection_fields Mesclado
cs4_label security_result.detection_fields Mesclado
cs5_label security_result.detection_fields Mesclado
cs6_label security_result.detection_fields Mesclado
cs7_label security_result.detection_fields Mesclado
frame_type_field security_result.detection_fields Mesclado
malware_target security_result.detection_fields Mesclado
process_label security_result.detection_fields Mesclado
target_type security_result.detection_fields Mesclado
tenant_field security_result.detection_fields Mesclado
tenant_id_field security_result.detection_fields Mesclado
sev security_result.severity Mapeado: "0", "1", "2", "3", "LOW" → LOW, "4", "5", "6", "MEDIUM" → MEDIUM, "7", "8"...
sev security_result.severity_details Mapeado diretamente
name security_result.summary Mapeado diretamente
result security_result.summary Mapeado diretamente
event_name security_result.threat_name Mapeado diretamente
organization target.administrative_domain Mapeado diretamente
cef_host target.asset.hostname Mapeado diretamente
hostname target.asset.hostname Mapeado diretamente
target target.asset.hostname Mapeado diretamente
dst target.asset.ip Mesclado
filePath target.file.full_path Mapeado diretamente
cs3 target.file.md5 Mapeado diretamente
TrendMicroDsFileSHA1 target.file.sha1 Mapeado diretamente
cs2 target.file.sha1 Mapeado diretamente
fileHash target.file.sha256 Mapeado diretamente
cn2 target.file.size Renomeado/mapeado
fsize target.file.size Renomeado/mapeado
cef_host target.hostname Mapeado diretamente
hostname target.hostname Mapeado diretamente
target target.hostname Mapeado diretamente
dst target.ip Mesclado
dmac target.mac Mesclado
dstMAC target.mac Mesclado
dpt target.port Mapeado diretamente
dstPort target.port Mapeado diretamente
duser target.user.user_display_name Mapeado diretamente
N/A metadata.event_type Constante: NETWORK_HTTP
N/A network.ip_protocol Constante: ICMP
N/A security_result.severity Constante: LOW
cs4" , "TrendMicroDsPacketData" and "cn3 security_result.detection_fields Mapeado do registro de mudanças
cn1 principal.asset_id Mapeado do registro de mudanças
security_result.action BLOCK Mapeado do registro de mudanças
cef_host" and "hostname intermediary.ip Mapeado do registro de mudanças
TrendMicroDsMalwareTarget","TrendMicroDsProcess", "TrendMicroDsMalwareTargetCount","TrendMicroDsMalwareTargetType" and "TrendMicroDsBehaviorType security_result.detection_fields Mapeado do registro de mudanças

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.