Recopila registros de Trend Micro Deep Security

Se admite en los siguientes sistemas operativos:

En este documento, se explica cómo transferir registros de Trend Micro Deep Security a Google Security Operations con Bindplane. Trend Micro Deep Security es una plataforma de seguridad de servidores que proporciona protección contra software malicioso, IPS, firewall, supervisión de integridad, inspección de registros y control de aplicaciones para cargas de trabajo físicas, virtuales y en la nube. Deep Security se está consolidando en la plataforma Trend Vision One, pero Deep Security Manager sigue generando eventos de syslog para todos los módulos de protección.

Para obtener más información, consulta Cómo recopilar registros de Trend Micro Deep Security.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Es una instancia de Google SecOps.
  • Un host de Windows 2016 o posterior, o Linux con systemd
  • Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
  • Acceso privilegiado a la consola web de Trend Micro Deep Security Manager con el rol de administrador o auditor
  • Deep Security Manager 20.0 o posterior

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agente de recopilación.
  3. Descarga el archivo de autenticación de transferencia.
    • Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el comando siguiente:

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el comando siguiente:

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

Recursos de instalación adicionales

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:

    • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /opt/observiq-otel-collector/config.yaml en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Notepad).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:1514"

exporters:
    chronicle/trendmicro_ds:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: '<CUSTOMER_ID>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: TRENDMICRO_DEEP_SECURITY
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/trendmicro_ds_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/trendmicro_ds
  • Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.
  • Reemplaza <CUSTOMER_ID> por el ID de cliente real.
  • Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso en la que se guardó el archivo de autenticación.

Reinicia el agente de Bindplane para aplicar los cambios

  1. Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart observiq-otel-collector

  2. Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

    net stop observiq-otel-collector && net start observiq-otel-collector

Configura el reenvío de Syslog en Trend Micro Deep Security

Configura los parámetros de syslog en Deep Security Manager

  1. Accede a la consola web de Trend Micro Deep Security Manager.
  2. Ve a Administración > Configuración del sistema > Reenvío de eventos.
  3. En la sección SIEM, selecciona Forward Events to a remote computer (via Syslog).

  4. Haz clic en Editar junto a la configuración de syslog.

  5. Proporciona los siguientes detalles de configuración:

    • Nombre del servidor: Ingresa la dirección IP del host del agente de Bindplane.
    • Puerto del servidor: Ingresa 1514 (o el puerto que configuraste).
    • Transporte: Selecciona TCP.
    • Formato del evento: Selecciona Formato de evento común (CEF).

  6. Haz clic en Aceptar para guardar la configuración del servidor syslog.

Selecciona los tipos de eventos que se reenviarán

  1. En la pestaña Event Forwarding, configura qué tipos de eventos se reenviarán:

    • Anti-Malware Events: Selecciona Forward Anti-Malware Events to Syslog.
    • Web Reputation Events: Selecciona Forward Web Reputation Events to Syslog.
    • Eventos de firewall: Selecciona Reenvía los eventos de firewall a Syslog.
    • Intrusion Prevention Events: Selecciona Forward Intrusion Prevention Events to Syslog.
    • Integrity Monitoring Events: Selecciona Forward Integrity Monitoring Events to Syslog.
    • Eventos de inspección de registros: Selecciona Reenvía los eventos de inspección de registros a Syslog.
    • Eventos de control de aplicaciones: Selecciona Reenvía los eventos de control de aplicaciones a Syslog.
    • Eventos del sistema: Selecciona Reenvía los eventos del sistema a Syslog.

  2. Haz clic en Guardar.

Configura el registro de Syslog a nivel de la política (opcional)

Si necesitas configurar el reenvío de syslog para políticas específicas, haz lo siguiente:

  1. Ve a Políticas.
  2. Haz doble clic en la política que deseas configurar.

  3. Ve a Configuración > Reenvío de eventos.

  4. Para cada módulo de protección, puedes anular la configuración global de syslog:

    • Selecciona Heredar para usar el parámetro de configuración global.
    • Selecciona Sí para habilitar el reenvío de syslog para la política específica.
    • Selecciona No para inhabilitar el reenvío de syslog para la política específica.

  5. Haz clic en Guardar.

Verifica el reenvío de Syslog

  1. En Deep Security Manager, ve a Eventos y registros > Eventos.
  2. Verifica que se generen eventos de seguridad.

  3. Revisa los registros del agente de Bindplane para confirmar que se reciben mensajes de syslog en el receptor TCP:

    sudo journalctl -u observiq-otel-collector -f

Para obtener más información, consulta la documentación de syslog de Trend Micro Deep Security.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
dvc about.ip Combinado
aggregation_type_label additional.fields Combinado
cn1Label additional.fields Asignado: Host ID → cn1_label
cn1_label additional.fields Combinado
fileInCompressedFile_label additional.fields Combinado
repeat_count_label additional.fields Combinado
cef_host intermediary.hostname Asignada directamente
hostname intermediary.hostname Asignada directamente
cef_host intermediary.ip Combinado
hostname intermediary.ip Combinado
desc metadata.description Asignada directamente
timestamp metadata.event_timestamp Se analizó como ISO8601
has_principal metadata.event_type Asignado: true → NETWORK_HTTP, true → STATUS_UPDATE
TrendMicroDsTenant metadata.product_deployment_id Asignada directamente
event_id metadata.product_event_type Asignada directamente
log_type metadata.product_name Asignada directamente
product_version metadata.product_version Asignada directamente
organization metadata.vendor_name Asignada directamente
proto network.ip_protocol Asignado: ICMPv6 → ICMP
in network.received_bytes Se cambió el nombre o se asignó
out network.sent_bytes Se cambió el nombre o se asignó
dvchost principal.asset.hostname Asignada directamente
shost principal.asset.hostname Asignada directamente
src principal.asset.ip Combinado
dvchost principal.hostname Asignada directamente
shost principal.hostname Asignada directamente
src principal.ip Combinado
smac principal.mac Combinado
srcMAC principal.mac Combinado
spt principal.port Asignada directamente
srcPort principal.port Asignada directamente
TrendMicroDsProcessPid principal.process.pid Asignada directamente
suser principal.user.user_display_name Asignada directamente
suid principal.user.userid Asignada directamente
usrName principal.user.userid Asignada directamente
action security_result.action Combinado
act security_result.action_details Asignada directamente
result security_result.action_details Asignada directamente
cat security_result.category_details Combinado
msg security_result.description Asignada directamente
TrendMicroDsPacketData_label security_result.detection_fields Combinado
behaviour_type_field security_result.detection_fields Combinado
cn3_label security_result.detection_fields Combinado
count_label security_result.detection_fields Combinado
cs1_label security_result.detection_fields Combinado
cs2_label security_result.detection_fields Combinado
cs3_label security_result.detection_fields Combinado
cs4_label security_result.detection_fields Combinado
cs5_label security_result.detection_fields Combinado
cs6_label security_result.detection_fields Combinado
cs7_label security_result.detection_fields Combinado
frame_type_field security_result.detection_fields Combinado
malware_target security_result.detection_fields Combinado
process_label security_result.detection_fields Combinado
target_type security_result.detection_fields Combinado
tenant_field security_result.detection_fields Combinado
tenant_id_field security_result.detection_fields Combinado
sev security_result.severity Asignado: "0", "1", "2", "3", "LOW" → LOW, "4", "5", "6", "MEDIUM" → MEDIUM, "7", "8"…
sev security_result.severity_details Asignada directamente
name security_result.summary Asignada directamente
result security_result.summary Asignada directamente
event_name security_result.threat_name Asignada directamente
organization target.administrative_domain Asignada directamente
cef_host target.asset.hostname Asignada directamente
hostname target.asset.hostname Asignada directamente
target target.asset.hostname Asignada directamente
dst target.asset.ip Combinado
filePath target.file.full_path Asignada directamente
cs3 target.file.md5 Asignada directamente
TrendMicroDsFileSHA1 target.file.sha1 Asignada directamente
cs2 target.file.sha1 Asignada directamente
fileHash target.file.sha256 Asignada directamente
cn2 target.file.size Se cambió el nombre o se asignó
fsize target.file.size Se cambió el nombre o se asignó
cef_host target.hostname Asignada directamente
hostname target.hostname Asignada directamente
target target.hostname Asignada directamente
dst target.ip Combinado
dmac target.mac Combinado
dstMAC target.mac Combinado
dpt target.port Asignada directamente
dstPort target.port Asignada directamente
duser target.user.user_display_name Asignada directamente
N/A metadata.event_type Constante: NETWORK_HTTP
N/A network.ip_protocol Constante: ICMP
N/A security_result.severity Constante: LOW
cs4" , "TrendMicroDsPacketData" and "cn3 security_result.detection_fields Se asignó desde el registro de cambios
cn1 principal.asset_id Se asignó desde el registro de cambios
security_result.action BLOCK Se asignó desde el registro de cambios
cef_host" and "hostname intermediary.ip Se asignó desde el registro de cambios
TrendMicroDsMalwareTarget","TrendMicroDsProcess", "TrendMicroDsMalwareTargetCount","TrendMicroDsMalwareTargetType" and "TrendMicroDsBehaviorType security_result.detection_fields Se asignó desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.