收集趨勢科技 Deep Security 記錄

支援的服務：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 Trend Micro Deep Security 記錄檔擷取至 Google Security Operations。Trend Micro Deep Security 是一種伺服器安全平台，可為實體、虛擬和雲端工作負載提供惡意軟體防護、IPS、防火牆、完整性監控、記錄檢查和應用程式控制功能。Deep Security 正在整合至 Trend Vision One 平台，但 Deep Security Manager 會繼續為所有防護模組產生系統記錄事件。

詳情請參閱「收集 Trend Micro Deep Security 記錄」。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體。
• Windows 2016 以上版本或 Linux 主機 (含 systemd)。
• 如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式需求開啟。
• 以管理員或稽核人員角色，取得 Trend Micro Deep Security Manager 網頁版控制台的特殊存取權。
• Deep Security Manager 20.0 以上版本。

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

• 新部署作業：使用 Chronicle API (選項 1)。
• 舊版部署作業：在 2027 年 7 月 20 日停用 Ingestion API 前，請繼續使用擷取驗證檔案 (選項 2)。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

1. 登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
2. 依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
3. 按一下「建立服務帳戶」。
4. 提供下列設定詳細資料：
   • 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如 bindplane-ingest)。
   • 「服務帳戶說明」：輸入說明 (例如 Bindplane agent log ingestion)。
5. 點按「Create and continue」(建立並繼續)。
6. 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
7. 依序點選「繼續」和「完成」。
8. 按一下您建立的服務帳戶，然後前往「金鑰」分頁。
9. 依序點選「新增金鑰」>「建立新的金鑰」。
10. 選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
11. 將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
12. 依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。匯出工具設定時會用到。

注意： JSON 金鑰是憑證。請限制 Bindplane 主機上的檔案存取權，並依據貴組織的政策輪替金鑰。

方法 2：下載擷取驗證檔案 (舊版)

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 下載擷取驗證檔案。
4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

注意： 這個檔案會向舊版 Ingestion API (malachiteingestion-pa.googleapis.com) 驗證代理程式，Google 預計在 2027 年 7 月 20 日終止支援該 API。請務必在此日期前改用選項 1。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM Settings」(SIEM 設定) >「Profile」(設定檔)。
3. 複製並儲存「機構詳細資料」部分的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以管理員身分開啟命令提示字元或 PowerShell。

2. 執行下列指令：

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Linux 安裝

1. 開啟具有根層級或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

其他安裝資源

• 如需其他安裝選項，請參閱這份安裝指南。

注意： Chronicle API 匯出器設定需要 Bindplane 收集器 1.106.0 以上版本。先前的指令會安裝最新版本。如要更新現有安裝項目，請先升級收集器，再變更設定。

設定 Bindplane 代理程式，擷取系統記錄並傳送至 Google SecOps

注意： Trend Micro Deep Security 使用 TCP 轉送系統記錄，確保能可靠地傳送安全性事件。Bindplane 代理程式必須設定 tcplog 接收器。

1. 存取設定檔：

   • 找出 config.yaml 檔案。通常位於 Linux 的 /opt/observiq-otel-collector/config.yaml 目錄，或 Windows 的安裝目錄。
   • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

2. 按照下列方式編輯 config.yaml 檔案：

   receivers:
     tcplog:
       listen_address: "0.0.0.0:1514"
   
   exporters:
     chronicle/trendmicro_ds:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<CUSTOMER_ID>'
       endpoint: chronicle.googleapis.com
       log_type: TRENDMICRO_DEEP_SECURITY
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/trendmicro_ds_to_chronicle:
         receivers:
           - tcplog
         exporters:
           - chronicle/trendmicro_ds
   

• 視基礎架構需求更換連接埠和 IP 位址。
• 將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會以這個值做為 chronicle.googleapis.com 的前置字元。
• 將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。
• 將 <CUSTOMER_ID> 替換為實際的客戶 ID。
• 將 /path/to/ingestion-authentication-file.json 更新為服務帳戶金鑰檔案 (選項 1) 的儲存路徑。

舊版 Ingestion API 匯出工具

• 如果您使用方式 2 的擷取驗證檔案，請將 exporters 區塊替換成下列內容。將 creds_file_path 設為擷取驗證檔案的路徑，如果您的執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

  exporters:
    chronicle/trendmicro_ds:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: TRENDMICRO_DEEP_SECURITY
      raw_log_field: body
      ingestion_labels:
  

注意： Ingestion API 將於 2027 年 7 月 20 日停用，屆時這個匯出工具也會停止運作。

重新啟動 Bindplane 代理程式，套用變更

1. 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

   sudo systemctl restart observiq-otel-collector
   

2. 如要在 Windows 重新啟動 Bindplane 代理程式，可以使用「服務」控制台，或輸入下列指令：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

在 Trend Micro Deep Security 設定系統記錄轉送

在 Deep Security Manager 中調整系統記錄設定

1. 登入 Trend Micro Deep Security Manager 網頁控制台。
2. 依序前往「Administration」>「System Settings」>「Event Forwarding」。
3. 在「SIEM」部分，選取「將事件轉送至遠端電腦 (透過 Syslog)」。

4. 按一下系統記錄設定旁的「編輯」。

5. 提供下列設定詳細資料：

   • Server Name：輸入 Bindplane 代理程式主機的 IP 位址。
   • 伺服器通訊埠：輸入 1514 (或您設定的通訊埠)。
   • 「Transport」(傳輸)：選取「TCP」。
   • 事件格式：選取「通用事件格式 (CEF)」。
   注意： 建議使用 CEF 格式，以便 Google SecOps 進行最佳剖析。

6. 按一下「OK」，儲存 Syslog 伺服器設定。

選取要轉送的事件類型

1. 在「事件轉送」分頁中，設定要轉送的事件類型：

   • 惡意軟體事件：選取「將惡意軟體事件轉送至系統記錄檔」。
   • Web Reputation Events：選取「Forward Web Reputation Events to Syslog」。
   • 防火牆事件：選取「將防火牆事件轉送至 Syslog」。
   • Intrusion Prevention Events：選取「Forward Intrusion Prevention Events to Syslog」。
   • Integrity Monitoring Events：選取「Forward Integrity Monitoring Events to Syslog」。
   • Log Inspection Events：選取「Forward Log Inspection Events to Syslog」。
   • 應用程式控制事件：選取「將應用程式控制事件轉送至 Syslog」。
   • 系統事件：選取「將系統事件轉送至 Syslog」。

2. 按一下 [儲存]。

設定政策層級系統記錄 (選用)

如要為特定政策設定 syslog 轉送功能，請按照下列步驟操作：

1. 前往「政策」。
2. 按兩下要設定的政策。

3. 依序前往「設定」>「事件轉送」。

4. 您可以針對每個保護模組覆寫全域系統記錄設定：

   • 選取「沿用」即可使用全域設定。
   • 選取「是」，為特定政策啟用系統記錄轉送功能。
   • 選取「否」，即可停用特定政策的系統記錄轉送功能。

5. 按一下 [儲存]。

驗證系統記錄檔轉送

1. 在 Deep Security Manager 中，依序前往 「Events & Reports」(事件與報告) >「Events」(事件)。
2. 確認系統是否產生安全性事件。

3. 查看 Bindplane 代理記錄，確認 TCP 監聽器是否收到 syslog 訊息：

   sudo journalctl -u observiq-otel-collector -f
   

詳情請參閱 Trend Micro Deep Security syslog 說明文件。

UDM 對應表

記錄欄位	UDM 對應	邏輯
dvc	about.ip	已合併
aggregation_type_label	additional.fields	已合併
cn1Label	additional.fields	對應：Host ID → cn1_label
cn1_label	additional.fields	已合併
fileInCompressedFile_label	additional.fields	已合併
repeat_count_label	additional.fields	已合併
cef_host	intermediary.hostname	直接對應
hostname	intermediary.hostname	直接對應
cef_host	intermediary.ip	已合併
hostname	intermediary.ip	已合併
desc	metadata.description	直接對應
timestamp	metadata.event_timestamp	剖析為 ISO8601
has_principal	metadata.event_type	已對應：true → NETWORK_HTTP、true → STATUS_UPDATE
TrendMicroDsTenant	metadata.product_deployment_id	直接對應
event_id	metadata.product_event_type	直接對應
log_type	metadata.product_name	直接對應
product_version	metadata.product_version	直接對應
organization	metadata.vendor_name	直接對應
proto	network.ip_protocol	對應：ICMPv6 → ICMP
in	network.received_bytes	已重新命名/對應
out	network.sent_bytes	已重新命名/對應
dvchost	principal.asset.hostname	直接對應
shost	principal.asset.hostname	直接對應
src	principal.asset.ip	已合併
dvchost	principal.hostname	直接對應
shost	principal.hostname	直接對應
src	principal.ip	已合併
smac	principal.mac	已合併
srcMAC	principal.mac	已合併
spt	principal.port	直接對應
srcPort	principal.port	直接對應
TrendMicroDsProcessPid	principal.process.pid	直接對應
suser	principal.user.user_display_name	直接對應
suid	principal.user.userid	直接對應
usrName	principal.user.userid	直接對應
action	security_result.action	已合併
act	security_result.action_details	直接對應
result	security_result.action_details	直接對應
cat	security_result.category_details	已合併
msg	security_result.description	直接對應
TrendMicroDsPacketData_label	security_result.detection_fields	已合併
behaviour_type_field	security_result.detection_fields	已合併
cn3_label	security_result.detection_fields	已合併
count_label	security_result.detection_fields	已合併
cs1_label	security_result.detection_fields	已合併
cs2_label	security_result.detection_fields	已合併
cs3_label	security_result.detection_fields	已合併
cs4_label	security_result.detection_fields	已合併
cs5_label	security_result.detection_fields	已合併
cs6_label	security_result.detection_fields	已合併
cs7_label	security_result.detection_fields	已合併
frame_type_field	security_result.detection_fields	已合併
malware_target	security_result.detection_fields	已合併
process_label	security_result.detection_fields	已合併
target_type	security_result.detection_fields	已合併
tenant_field	security_result.detection_fields	已合併
tenant_id_field	security_result.detection_fields	已合併
sev	security_result.severity	對應："0", "1", "2", "3", "LOW" → LOW、"4", "5", "6", "MEDIUM" → MEDIUM、`"7", "8"...
sev	security_result.severity_details	直接對應
name	security_result.summary	直接對應
result	security_result.summary	直接對應
event_name	security_result.threat_name	直接對應
organization	target.administrative_domain	直接對應
cef_host	target.asset.hostname	直接對應
hostname	target.asset.hostname	直接對應
target	target.asset.hostname	直接對應
dst	target.asset.ip	已合併
filePath	target.file.full_path	直接對應
cs3	target.file.md5	直接對應
TrendMicroDsFileSHA1	target.file.sha1	直接對應
cs2	target.file.sha1	直接對應
fileHash	target.file.sha256	直接對應
cn2	target.file.size	已重新命名/對應
fsize	target.file.size	已重新命名/對應
cef_host	target.hostname	直接對應
hostname	target.hostname	直接對應
target	target.hostname	直接對應
dst	target.ip	已合併
dmac	target.mac	已合併
dstMAC	target.mac	已合併
dpt	target.port	直接對應
dstPort	target.port	直接對應
duser	target.user.user_display_name	直接對應
不適用	metadata.event_type	常數：NETWORK_HTTP
不適用	network.ip_protocol	常數：ICMP
不適用	security_result.severity	常數：LOW
cs4" , "TrendMicroDsPacketData" and "cn3	security_result.detection_fields	從變更記錄對應
cn1	principal.asset_id	從變更記錄對應
security_result.action	BLOCK	從變更記錄對應
cef_host" and "hostname	intermediary.ip	從變更記錄對應
TrendMicroDsMalwareTarget","TrendMicroDsProcess", "TrendMicroDsMalwareTargetCount","TrendMicroDsMalwareTargetType" and "TrendMicroDsBehaviorType	security_result.detection_fields	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。