Recopila registros de Trend Micro Deep Security

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de Trend Micro Deep Security a Google Security Operations con Bindplane. Trend Micro Deep Security es una plataforma de seguridad de servidores que proporciona protección contra software malicioso, IPS, firewall, supervisión de integridad, inspección de registros y control de aplicaciones para cargas de trabajo físicas, virtuales y en la nube. Deep Security se está consolidando en la plataforma Trend Vision One, pero Deep Security Manager sigue generando eventos de syslog para todos los módulos de protección.

Para obtener más información, consulta Recopila registros de Trend Micro Deep Security.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Es una instancia de Google SecOps.
• Un host de Windows 2016 o posterior, o Linux con systemd
• Si se ejecuta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos según los requisitos del agente de Bindplane.
• Acceso con privilegios a la consola web de Trend Micro Deep Security Manager con el rol de administrador o auditor
• Deep Security Manager 20.0 o una versión posterior

Obtén credenciales de Google SecOps para el agente de Bindplane

Para autenticar el agente de Bindplane en Google SecOps, elige uno de los siguientes métodos:

• Implementaciones nuevas: Usa la API de Chronicle (opción 1).
• Implementaciones heredadas: Sigue usando el archivo de autenticación de la API de Ingestion (opción 2) hasta que se descontinúe la API de Ingestion el 20 de julio de 2027.

Opción 1: Crea una cuenta de servicio para la API de Chronicle (recomendado)

1. Accede a la consola deGoogle Cloud y selecciona el proyecto de Google Cloud que está vinculado a tu instancia de Google SecOps.
2. Ve a IAM y administración > Cuentas de servicio.
3. Haga clic en Crear cuenta de servicio.
4. Proporciona los siguientes detalles de configuración:
   • Nombre de la cuenta de servicio: Ingresa un nombre para la cuenta (por ejemplo, bindplane-ingest).
   • Descripción de la cuenta de servicio: Ingresa una descripción (por ejemplo, Bindplane agent log ingestion).
5. Haz clic en Crear y continuar.
6. En la sección Otorga a esta cuenta de servicio acceso al proyecto, haz clic en Seleccionar un rol y elige Editor de Chronicle.
7. Haz clic en Continuar y, luego, en Listo.
8. Haz clic en la cuenta de servicio que creaste y, luego, ve a la pestaña Claves.
9. Haz clic en Agregar clave > Crear clave nueva.
10. Selecciona JSON y haz clic en Crear. El archivo de claves se descargará en tu computadora.
11. Guarda el archivo de claves como ingestion-auth.json en el directorio del recopilador de Bindplane (/opt/observiq-otel-collector/ingestion-auth.json en Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json en Windows) o actualiza creds_file_path en config.yaml para que coincida con la ruta de acceso en la que lo guardas.
12. Ve a IAM y administración > Configuración y copia el Número de proyecto. Lo necesitarás para la configuración del exportador.

Nota: La clave JSON es una credencial. Restringe el acceso al archivo en el host de Bindplane y rota la clave según la política de tu organización.

Opción 2: Descarga el archivo de autenticación de transferencia (heredado)

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recopilación.
3. Descarga el archivo de autenticación de transferencia.
4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Nota: Este archivo autentica al agente en la API de Ingestion heredada (malachiteingestion-pa.googleapis.com), que Google programó para que finalice el 20 de julio de 2027. Planifica cambiar a la opción 1 antes de esa fecha.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el comando siguiente:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Instalación en Linux

1. Abre una terminal con privilegios de raíz o sudo.

2. Ejecuta el comando siguiente:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

Recursos de instalación adicionales

• Para conocer otras opciones de instalación, consulta esta guía de instalación.

Nota: La configuración del exportador de la API de Chronicle requiere el recopilador de Bindplane v1.106.0 o una versión posterior. Los comandos anteriores instalan la versión más reciente. Si actualizas una instalación existente, actualiza el recopilador antes de cambiar la configuración.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

Nota: Trend Micro Deep Security usa TCP para el reenvío de syslog para garantizar la entrega confiable de eventos de seguridad. El agente de Bindplane debe configurarse con un receptor tcplog.

1. Accede al archivo de configuración:

   • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /opt/observiq-otel-collector/config.yaml en Linux o en el directorio de instalación en Windows.
   • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Notepad).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     tcplog:
       listen_address: "0.0.0.0:1514"
   
   exporters:
     chronicle/trendmicro_ds:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<CUSTOMER_ID>'
       endpoint: chronicle.googleapis.com
       log_type: TRENDMICRO_DEEP_SECURITY
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/trendmicro_ds_to_chronicle:
         receivers:
           - tcplog
         exporters:
           - chronicle/trendmicro_ds
   

• Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.
• Reemplaza <LOCATION> por la región de tu instancia de Google SecOps (por ejemplo, us, europe o asia-southeast1). El exportador antepone chronicle.googleapis.com con este valor.
• Reemplaza <PROJECT_NUMBER> por el número de proyecto de IAM y administración > Configuración.
• Reemplaza <CUSTOMER_ID> por el ID de cliente real.
• Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso en la que se guardó el archivo de claves de la cuenta de servicio (opción 1).

Exportador de la API de transferencia heredada

• Si usas el archivo de autenticación de transferencia de la opción 2, reemplaza el bloque exporters por lo siguiente. Establece creds_file_path en la ruta de acceso al archivo de autenticación de transferencia y, si tu instancia está fuera de EE.UU., reemplaza malachiteingestion-pa.googleapis.com por tu extremo regional (por ejemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/trendmicro_ds:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: TRENDMICRO_DEEP_SECURITY
      raw_log_field: body
      ingestion_labels:
  

Nota: Este exportador dejará de funcionar cuando se descontinúe la API de Ingestion el 20 de julio de 2027.

Reinicia el agente de Bindplane para aplicar los cambios

1. Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

   sudo systemctl restart observiq-otel-collector
   

2. Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Configura el reenvío de syslog en Trend Micro Deep Security

Configura los parámetros de syslog en Deep Security Manager

1. Accede a la consola web de Trend Micro Deep Security Manager.
2. Ve a Administración > Configuración del sistema > Reenvío de eventos.
3. En la sección SIEM, selecciona Reenviar eventos a una computadora remota (a través de Syslog).

4. Haz clic en Editar junto a la configuración de syslog.

5. Proporciona los siguientes detalles de configuración:

   • Nombre del servidor: Ingresa la dirección IP del host del agente de Bindplane.
   • Puerto del servidor: Ingresa 1514 (o el puerto que configuraste).
   • Transporte: Selecciona TCP.
   • Formato del evento: Selecciona Formato de evento común (CEF).
   Nota: Se recomienda el formato CEF para un análisis óptimo con Google SecOps.

6. Haz clic en Aceptar para guardar la configuración del servidor syslog.

Selecciona los tipos de eventos que se reenviarán

1. En la pestaña Event Forwarding, configura qué tipos de eventos se reenviarán:

   • Eventos de protección contra software malicioso: Selecciona Reenviar eventos de protección contra software malicioso a Syslog.
   • Web Reputation Events: Selecciona Forward Web Reputation Events to Syslog.
   • Eventos de firewall: Selecciona Reenviar eventos de firewall a Syslog.
   • Intrusion Prevention Events: Selecciona Forward Intrusion Prevention Events to Syslog.
   • Eventos de supervisión de integridad: Selecciona Reenviar eventos de supervisión de integridad a Syslog.
   • Eventos de inspección de registros: Selecciona Reenvía los eventos de inspección de registros a Syslog.
   • Eventos de control de aplicaciones: Selecciona Reenvía los eventos de control de aplicaciones a Syslog.
   • Eventos del sistema: Selecciona Reenviar eventos del sistema a Syslog.

2. Haz clic en Guardar.

Configura el registro de Syslog a nivel de la política (opcional)

Si necesitas configurar el reenvío de syslog para políticas específicas, haz lo siguiente:

1. Ve a Políticas.
2. Haz doble clic en la política que deseas configurar.

3. Ve a Configuración > Reenvío de eventos.

4. Para cada módulo de protección, puedes anular la configuración global de syslog:

   • Selecciona Heredar para usar el parámetro de configuración global.
   • Selecciona Sí para habilitar el reenvío de syslog para la política específica.
   • Selecciona No para inhabilitar el reenvío de syslog para la política específica.

5. Haz clic en Guardar.

Verifica el reenvío de syslog

1. En Deep Security Manager, ve a Eventos y registros > Eventos.
2. Verifica que se generen eventos de seguridad.

3. Revisa los registros del agente de Bindplane para confirmar que se reciben mensajes de syslog en el receptor TCP:

   sudo journalctl -u observiq-otel-collector -f
   

Para obtener más información, consulta la documentación de syslog de Trend Micro Deep Security.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
dvc	about.ip	Combinado
aggregation_type_label	additional.fields	Combinado
cn1Label	additional.fields	Asignado: Host ID → cn1_label
cn1_label	additional.fields	Combinado
fileInCompressedFile_label	additional.fields	Combinado
repeat_count_label	additional.fields	Combinado
cef_host	intermediary.hostname	Asignada directamente
hostname	intermediary.hostname	Asignada directamente
cef_host	intermediary.ip	Combinado
hostname	intermediary.ip	Combinado
desc	metadata.description	Asignada directamente
timestamp	metadata.event_timestamp	Analizado como ISO8601
has_principal	metadata.event_type	Asignación: true → NETWORK_HTTP, true → STATUS_UPDATE
TrendMicroDsTenant	metadata.product_deployment_id	Asignada directamente
event_id	metadata.product_event_type	Asignada directamente
log_type	metadata.product_name	Asignada directamente
product_version	metadata.product_version	Asignada directamente
organization	metadata.vendor_name	Asignada directamente
proto	network.ip_protocol	Asignado: ICMPv6 → ICMP
in	network.received_bytes	Se cambió el nombre o se asignó
out	network.sent_bytes	Se cambió el nombre o se asignó
dvchost	principal.asset.hostname	Asignada directamente
shost	principal.asset.hostname	Asignada directamente
src	principal.asset.ip	Combinado
dvchost	principal.hostname	Asignada directamente
shost	principal.hostname	Asignada directamente
src	principal.ip	Combinado
smac	principal.mac	Combinado
srcMAC	principal.mac	Combinado
spt	principal.port	Asignada directamente
srcPort	principal.port	Asignada directamente
TrendMicroDsProcessPid	principal.process.pid	Asignada directamente
suser	principal.user.user_display_name	Asignada directamente
suid	principal.user.userid	Asignada directamente
usrName	principal.user.userid	Asignada directamente
action	security_result.action	Combinado
act	security_result.action_details	Asignada directamente
result	security_result.action_details	Asignada directamente
cat	security_result.category_details	Combinado
msg	security_result.description	Asignada directamente
TrendMicroDsPacketData_label	security_result.detection_fields	Combinado
behaviour_type_field	security_result.detection_fields	Combinado
cn3_label	security_result.detection_fields	Combinado
count_label	security_result.detection_fields	Combinado
cs1_label	security_result.detection_fields	Combinado
cs2_label	security_result.detection_fields	Combinado
cs3_label	security_result.detection_fields	Combinado
cs4_label	security_result.detection_fields	Combinado
cs5_label	security_result.detection_fields	Combinado
cs6_label	security_result.detection_fields	Combinado
cs7_label	security_result.detection_fields	Combinado
frame_type_field	security_result.detection_fields	Combinado
malware_target	security_result.detection_fields	Combinado
process_label	security_result.detection_fields	Combinado
target_type	security_result.detection_fields	Combinado
tenant_field	security_result.detection_fields	Combinado
tenant_id_field	security_result.detection_fields	Combinado
sev	security_result.severity	Asignación: "0", "1", "2", "3", "LOW" → LOW, "4", "5", "6", "MEDIUM" → MEDIUM, `"7", "8"…
sev	security_result.severity_details	Asignada directamente
name	security_result.summary	Asignada directamente
result	security_result.summary	Asignada directamente
event_name	security_result.threat_name	Asignada directamente
organization	target.administrative_domain	Asignada directamente
cef_host	target.asset.hostname	Asignada directamente
hostname	target.asset.hostname	Asignada directamente
target	target.asset.hostname	Asignada directamente
dst	target.asset.ip	Combinado
filePath	target.file.full_path	Asignada directamente
cs3	target.file.md5	Asignada directamente
TrendMicroDsFileSHA1	target.file.sha1	Asignada directamente
cs2	target.file.sha1	Asignada directamente
fileHash	target.file.sha256	Asignada directamente
cn2	target.file.size	Se cambió el nombre o se asignó
fsize	target.file.size	Se cambió el nombre o se asignó
cef_host	target.hostname	Asignada directamente
hostname	target.hostname	Asignada directamente
target	target.hostname	Asignada directamente
dst	target.ip	Combinado
dmac	target.mac	Combinado
dstMAC	target.mac	Combinado
dpt	target.port	Asignada directamente
dstPort	target.port	Asignada directamente
duser	target.user.user_display_name	Asignada directamente
N/A	metadata.event_type	Constante: NETWORK_HTTP
N/A	network.ip_protocol	Constante: ICMP
N/A	security_result.severity	Constante: LOW
cs4" , "TrendMicroDsPacketData" and "cn3	security_result.detection_fields	Se asignó desde el registro de cambios
cn1	principal.asset_id	Asignado desde el registro de cambios
security_result.action	BLOCK	Asignado desde el registro de cambios
cef_host" and "hostname	intermediary.ip	Asignado desde el registro de cambios
TrendMicroDsMalwareTarget","TrendMicroDsProcess", "TrendMicroDsMalwareTargetCount","TrendMicroDsMalwareTargetType" and "TrendMicroDsBehaviorType	security_result.detection_fields	Asignado desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.