Coletar registros do Trend Micro Deep Security

Compatível com:

Google SecOps SIEM

Neste documento, explicamos como ingerir registros do Trend Micro Deep Security no Google Security Operations usando o Bindplane. O Trend Micro Deep Security é uma plataforma de segurança de servidores que oferece antimalware, IPS, firewall, monitoramento de integridade, inspeção de registros e controle de aplicativos para cargas de trabalho físicas, virtuais e em nuvem. O Deep Security está sendo consolidado na plataforma Trend Vision One, mas o Deep Security Manager continua gerando eventos syslog para todos os módulos de proteção.

Para mais informações, consulte Coletar registros do Trend Micro Deep Security.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps.
• Um host Windows 2016 ou posterior ou Linux com systemd.
• Se estiver em execução atrás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
• Acesso privilegiado ao console da Web do Trend Micro Deep Security Manager com o papel de administrador ou auditor.
• Deep Security Manager 20.0 ou mais recente.

Receber credenciais do Google SecOps para o agente do BindPlane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

• Novas implantações: use a API Chronicle (opção 1).
• Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja desativada em 20 de julho de 2027.

Opção 1: criar uma conta de serviço para a API Chronicle (recomendado)

1. Faça login no console doGoogle Cloud e selecione o projeto do Google Cloud vinculado à sua instância do Google SecOps.
2. Acesse IAM e administrador > Contas de serviço.
3. Clique em Criar conta de serviço.
4. Informe os seguintes detalhes de configuração:
   • Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
   • Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
5. Clique em Criar e continuar.
6. Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar uma função e escolha Editor do Chronicle.
7. Clique em Continuar e depois em Concluído.
8. Clique na conta de serviço que você criou e acesse a guia Chaves.
9. Clique em Adicionar chave > Criar nova chave.
10. Selecione JSON e clique em Criar. O arquivo de chave é baixado para o computador.
11. Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do Bindplane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
12. Acesse IAM e administrador > Configurações e copie o número do projeto. Você vai precisar dele para configurar o exportador.

Observação: a chave JSON é uma credencial. Restrinja o acesso ao arquivo no host do BindPlane e alterne a chave de acordo com a política da sua organização.

Opção 2: fazer o download do arquivo de autenticação de ingestão (legado)

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Faça o download do arquivo de autenticação de ingestão.
4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Observação: esse arquivo autentica o agente na API Ingestion legada (malachiteingestion-pa.googleapis.com), que o Google programou para ser desativada em 20 de julho de 2027. Planeje a mudança para a Opção 1 antes dessa data.

Receber o ID de cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.
3. Copie e salve o ID de cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

1. Abra o prompt de comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de root ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

Outros recursos de instalação

• Para outras opções de instalação, consulte este guia.

Observação: a configuração do exportador da API Chronicle requer o coletor do Bindplane v1.106.0 ou mais recente. Os comandos anteriores instalam a versão mais recente. Se você estiver atualizando uma instalação, faça upgrade do coletor antes de mudar a configuração.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

Observação: o Trend Micro Deep Security usa TCP para encaminhamento de syslog para garantir a entrega confiável de ocorrências de segurança. O agente do Bindplane precisa ser configurado com um receptor tcplog.

1. Acesse o arquivo de configuração:

   • Localize o arquivo config.yaml. Normalmente, ele fica no diretório /opt/observiq-otel-collector/config.yaml no Linux ou no diretório de instalação no Windows.
   • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

2. Edite o arquivo config.yaml da seguinte forma:

   receivers:
     tcplog:
       listen_address: "0.0.0.0:1514"
   
   exporters:
     chronicle/trendmicro_ds:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<CUSTOMER_ID>'
       endpoint: chronicle.googleapis.com
       log_type: TRENDMICRO_DEEP_SECURITY
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/trendmicro_ds_to_chronicle:
         receivers:
           - tcplog
         exporters:
           - chronicle/trendmicro_ds
   

• Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
• Substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador prefixa chronicle.googleapis.com com esse valor.
• Substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.
• Substitua <CUSTOMER_ID> pelo ID de cliente real.
• Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de chave da conta de serviço (opção 1) foi salvo.

Exportador da API de ingestão legada

• Se você usar o arquivo de autenticação de ingestão da Opção 2, substitua o bloco exporters pelo seguinte. Defina creds_file_path como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/trendmicro_ds:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: TRENDMICRO_DEEP_SECURITY
      raw_log_field: body
      ingestion_labels:
  

Observação: esse exportador vai parar de funcionar quando a API Ingestion for descontinuada em 20 de julho de 2027.

Reinicie o agente do Bindplane para aplicar as mudanças.

1. Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

   sudo systemctl restart observiq-otel-collector
   

2. Para reiniciar o agente do Bindplane no Windows, use o console Serviços ou digite o seguinte comando:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Configurar o encaminhamento do syslog no Trend Micro Deep Security

Definir as configurações do syslog no Deep Security Manager

1. Faça login no console da Web do Trend Micro Deep Security Manager.
2. Acesse Administração > Configurações do sistema > Encaminhamento de eventos.
3. Na seção SIEM, selecione Encaminhar eventos para um computador remoto (via Syslog).

4. Clique em Editar ao lado da configuração do syslog.

5. Informe os seguintes detalhes de configuração:

   • Nome do servidor: insira o endereço IP do host do agente do BindPlane.
   • Porta do servidor: insira 1514 (ou a porta configurada).
   • Transporte: selecione TCP.
   • Formato do evento: selecione Formato de evento comum (CEF).
   Observação: o formato CEF é recomendado para uma análise ideal com o Google SecOps.

6. Clique em OK para salvar a configuração do servidor syslog.

Selecione os tipos de evento para encaminhar

1. Na guia Encaminhamento de eventos, configure quais tipos de eventos encaminhar:

   • Eventos antimalware: selecione Encaminhar eventos antimalware para o Syslog.
   • Eventos de reputação na Web: selecione Encaminhar eventos de reputação na Web para o Syslog.
   • Eventos de firewall: selecione Encaminhar eventos de firewall para o Syslog.
   • Eventos de prevenção de invasões: selecione Encaminhar eventos de prevenção de invasões para o Syslog.
   • Eventos de monitoramento de integridade: selecione Encaminhar eventos de monitoramento de integridade para o Syslog.
   • Eventos de inspeção de registro: selecione Encaminhar eventos de inspeção de registro para o Syslog.
   • Eventos de controle de aplicativos: selecione Encaminhar eventos de controle de aplicativos para o Syslog.
   • Eventos do sistema: selecione Encaminhar eventos do sistema para o Syslog.

2. Clique em Salvar.

Configurar o syslog no nível da política (opcional)

Se você precisar configurar o encaminhamento de syslog para políticas específicas:

1. Acesse Políticas.
2. Clique duas vezes na política que você quer configurar.

3. Acesse Configurações > Encaminhamento de eventos.

4. Para cada módulo de proteção, é possível substituir as configurações globais do syslog:

   • Selecione Herdar para usar a configuração global.
   • Selecione Sim para ativar o encaminhamento de syslog para a política específica.
   • Selecione Não para desativar o encaminhamento de syslog para a política específica.

5. Clique em Salvar.

Verificar o encaminhamento de syslog

1. No Deep Security Manager, acesse Eventos e relatórios > Eventos.
2. Verifique se os eventos de segurança estão sendo gerados.

3. Verifique os registros do agente do Bindplane para confirmar se as mensagens do syslog estão sendo recebidas no listener TCP:

   sudo journalctl -u observiq-otel-collector -f
   

Para mais informações, consulte a documentação do syslog do Trend Micro Deep Security.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento de UDM	Lógica
dvc	about.ip	Mesclado
aggregation_type_label	additional.fields	Mesclado
cn1Label	additional.fields	Mapeado: Host ID → cn1_label
cn1_label	additional.fields	Mesclado
fileInCompressedFile_label	additional.fields	Mesclado
repeat_count_label	additional.fields	Mesclado
cef_host	intermediary.hostname	Mapeado diretamente
hostname	intermediary.hostname	Mapeado diretamente
cef_host	intermediary.ip	Mesclado
hostname	intermediary.ip	Mesclado
desc	metadata.description	Mapeado diretamente
timestamp	metadata.event_timestamp	Analisado como ISO8601
has_principal	metadata.event_type	Mapeado: true → NETWORK_HTTP, true → STATUS_UPDATE
TrendMicroDsTenant	metadata.product_deployment_id	Mapeado diretamente
event_id	metadata.product_event_type	Mapeado diretamente
log_type	metadata.product_name	Mapeado diretamente
product_version	metadata.product_version	Mapeado diretamente
organization	metadata.vendor_name	Mapeado diretamente
proto	network.ip_protocol	Mapeado: ICMPv6 → ICMP
in	network.received_bytes	Renomeado/mapeado
out	network.sent_bytes	Renomeado/mapeado
dvchost	principal.asset.hostname	Mapeado diretamente
shost	principal.asset.hostname	Mapeado diretamente
src	principal.asset.ip	Mesclado
dvchost	principal.hostname	Mapeado diretamente
shost	principal.hostname	Mapeado diretamente
src	principal.ip	Mesclado
smac	principal.mac	Mesclado
srcMAC	principal.mac	Mesclado
spt	principal.port	Mapeado diretamente
srcPort	principal.port	Mapeado diretamente
TrendMicroDsProcessPid	principal.process.pid	Mapeado diretamente
suser	principal.user.user_display_name	Mapeado diretamente
suid	principal.user.userid	Mapeado diretamente
usrName	principal.user.userid	Mapeado diretamente
action	security_result.action	Mesclado
act	security_result.action_details	Mapeado diretamente
result	security_result.action_details	Mapeado diretamente
cat	security_result.category_details	Mesclado
msg	security_result.description	Mapeado diretamente
TrendMicroDsPacketData_label	security_result.detection_fields	Mesclado
behaviour_type_field	security_result.detection_fields	Mesclado
cn3_label	security_result.detection_fields	Mesclado
count_label	security_result.detection_fields	Mesclado
cs1_label	security_result.detection_fields	Mesclado
cs2_label	security_result.detection_fields	Mesclado
cs3_label	security_result.detection_fields	Mesclado
cs4_label	security_result.detection_fields	Mesclado
cs5_label	security_result.detection_fields	Mesclado
cs6_label	security_result.detection_fields	Mesclado
cs7_label	security_result.detection_fields	Mesclado
frame_type_field	security_result.detection_fields	Mesclado
malware_target	security_result.detection_fields	Mesclado
process_label	security_result.detection_fields	Mesclado
target_type	security_result.detection_fields	Mesclado
tenant_field	security_result.detection_fields	Mesclado
tenant_id_field	security_result.detection_fields	Mesclado
sev	security_result.severity	Mapeado: "0", "1", "2", "3", "LOW" → LOW, "4", "5", "6", "MEDIUM" → MEDIUM, `"7", "8"...
sev	security_result.severity_details	Mapeado diretamente
name	security_result.summary	Mapeado diretamente
result	security_result.summary	Mapeado diretamente
event_name	security_result.threat_name	Mapeado diretamente
organization	target.administrative_domain	Mapeado diretamente
cef_host	target.asset.hostname	Mapeado diretamente
hostname	target.asset.hostname	Mapeado diretamente
target	target.asset.hostname	Mapeado diretamente
dst	target.asset.ip	Mesclado
filePath	target.file.full_path	Mapeado diretamente
cs3	target.file.md5	Mapeado diretamente
TrendMicroDsFileSHA1	target.file.sha1	Mapeado diretamente
cs2	target.file.sha1	Mapeado diretamente
fileHash	target.file.sha256	Mapeado diretamente
cn2	target.file.size	Renomeado/mapeado
fsize	target.file.size	Renomeado/mapeado
cef_host	target.hostname	Mapeado diretamente
hostname	target.hostname	Mapeado diretamente
target	target.hostname	Mapeado diretamente
dst	target.ip	Mesclado
dmac	target.mac	Mesclado
dstMAC	target.mac	Mesclado
dpt	target.port	Mapeado diretamente
dstPort	target.port	Mapeado diretamente
duser	target.user.user_display_name	Mapeado diretamente
N/A	metadata.event_type	Constante: NETWORK_HTTP
N/A	network.ip_protocol	Constante: ICMP
N/A	security_result.severity	Constante: LOW
cs4" , "TrendMicroDsPacketData" and "cn3	security_result.detection_fields	Mapeado do registro de mudanças
cn1	principal.asset_id	Mapeado do registro de mudanças
security_result.action	BLOCK	Mapeado do registro de mudanças
cef_host" and "hostname	intermediary.ip	Mapeado do registro de mudanças
TrendMicroDsMalwareTarget","TrendMicroDsProcess", "TrendMicroDsMalwareTargetCount","TrendMicroDsMalwareTargetType" and "TrendMicroDsBehaviorType	security_result.detection_fields	Mapeado do registro de alterações

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.