Raccogli i log di Trend Micro Deep Security

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di Trend Micro Deep Security in Google Security Operations utilizzando Bindplane. Trend Micro Deep Security è una piattaforma di sicurezza dei server che fornisce anti-malware, IPS, firewall, monitoraggio dell'integrità, ispezione dei log e controllo delle applicazioni per workload fisici, virtuali e cloud. Deep Security si sta consolidando nella piattaforma Trend Vision One, ma Deep Security Manager continua a generare eventi syslog per tutti i moduli di protezione.

Per saperne di più, consulta Raccogli i log di Trend Micro Deep Security.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps.
• Un host Windows 2016 o versioni successive o Linux con systemd.
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
• Accesso privilegiato alla console web di Trend Micro Deep Security Manager con ruolo di amministratore o revisore.
• Deep Security Manager 20.0 o versioni successive.

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (Opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla Google Cloud console e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio, bindplane-ingest).
   • Descrizione del service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul tuo computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) oppure aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

Risorse aggiuntive per l'installazione

• Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

Nota: Trend Micro Deep Security utilizza TCP per l'inoltro di syslog per garantire l'affidabilità della distribuzione degli eventi di sicurezza. L'agente Bindplane deve essere configurato con un ricevitore tcplog.

1. Accedi al file di configurazione:

   • Individua il file config.yaml. In genere, si trova nella directory /opt/observiq-otel-collector/config.yaml su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
     tcplog:
       listen_address: "0.0.0.0:1514"
   
   exporters:
     chronicle/trendmicro_ds:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<CUSTOMER_ID>'
       endpoint: chronicle.googleapis.com
       log_type: TRENDMICRO_DEEP_SECURITY
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/trendmicro_ds_to_chronicle:
         receivers:
           - tcplog
         exporters:
           - chronicle/trendmicro_ds
   

• Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
• Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.
• Sostituisci <PROJECT_NUMBER> con il numero di progetto in IAM e amministrazione > Impostazioni.
• Sostituisci <CUSTOMER_ID> con l'ID cliente effettivo.
• Aggiorna /path/to/ingestion-authentication-file.json con il percorso in cui è stato salvato il file della chiave del account di servizio (opzione 1).

Esportatore API di importazione legacy

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/trendmicro_ds:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: TRENDMICRO_DEEP_SECURITY
      raw_log_field: body
      ingestion_labels:
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Riavvia l'agente Bindplane per applicare le modifiche

1. Per riavviare l'agente Bindplane in Linux, esegui questo comando:

   sudo systemctl restart observiq-otel-collector
   

2. Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Configura l'inoltro di syslog su Trend Micro Deep Security

Configurare le impostazioni di syslog in Deep Security Manager

1. Accedi alla console web di Trend Micro Deep Security Manager.
2. Vai ad Amministrazione > Impostazioni di sistema > Inoltro eventi.
3. Nella sezione SIEM, seleziona Inoltra gli eventi a un computer remoto (tramite Syslog).

4. Fai clic su Modifica accanto alla configurazione di Syslog.

5. Fornisci i seguenti dettagli di configurazione:

   • Nome server: inserisci l'indirizzo IP dell'host dell'agente Bindplane.
   • Porta server: inserisci 1514 (o la porta configurata).
   • Trasporto: seleziona TCP.
   • Formato evento: seleziona Common Event Format (CEF).
   Nota: il formato CEF è consigliato per un'analisi ottimale con Google SecOps.

6. Fai clic su OK per salvare la configurazione del server syslog.

Seleziona i tipi di eventi da inoltrare

1. Nella scheda Inoltro degli eventi, configura i tipi di eventi da inoltrare:

   • Eventi antimalware: seleziona Inoltra eventi antimalware a Syslog.
   • Eventi di reputazione web: seleziona Inoltra eventi di reputazione web a Syslog.
   • Eventi firewall: seleziona Inoltra eventi firewall a Syslog.
   • Eventi di prevenzione delle intrusioni: seleziona Inoltra gli eventi di prevenzione delle intrusioni a Syslog.
   • Eventi di monitoraggio dell'integrità: seleziona Inoltra eventi di monitoraggio dell'integrità a Syslog.
   • Log Inspection Events (Eventi di ispezione dei log): seleziona Forward Log Inspection Events to Syslog (Inoltra eventi di ispezione dei log a Syslog).
   • Eventi di controllo delle applicazioni: seleziona Inoltra gli eventi di controllo delle applicazioni a Syslog.
   • Eventi di sistema: seleziona Inoltra gli eventi di sistema a Syslog.

2. Fai clic su Salva.

Configura syslog a livello di policy (facoltativo)

Se devi configurare l'inoltro di syslog per policy specifiche:

1. Vai a Norme.
2. Fai doppio clic sul criterio che vuoi configurare.

3. Vai a Impostazioni > Inoltro degli eventi.

4. Per ogni modulo di protezione, puoi eseguire l'override delle impostazioni syslog globali:

   • Seleziona Eredita per utilizzare l'impostazione globale.
   • Seleziona Sì per attivare l'inoltro di syslog per la policy specifica.
   • Seleziona No per disattivare l'inoltro di syslog per la policy specifica.

5. Fai clic su Salva.

Verifica l'inoltro di syslog

1. In Deep Security Manager, vai a Events & Reports > Events (Eventi e report > Eventi).
2. Verifica che gli eventi di sicurezza vengano generati.

3. Controlla i log dell'agente Bindplane per verificare che i messaggi syslog vengano ricevuti sul listener TCP:

   sudo journalctl -u observiq-otel-collector -f
   

Per saperne di più, consulta la documentazione di Trend Micro Deep Security syslog.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
dvc	about.ip	Unita
aggregation_type_label	additional.fields	Unita
cn1Label	additional.fields	Mappatura: Host ID → cn1_label
cn1_label	additional.fields	Unita
fileInCompressedFile_label	additional.fields	Unita
repeat_count_label	additional.fields	Unita
cef_host	intermediary.hostname	Mappata direttamente
hostname	intermediary.hostname	Mappato direttamente
cef_host	intermediary.ip	Unita
hostname	intermediary.ip	Unita
desc	metadata.description	Mappata direttamente
timestamp	metadata.event_timestamp	Analizzato come ISO8601
has_principal	metadata.event_type	Mappatura: true → NETWORK_HTTP, true → STATUS_UPDATE
TrendMicroDsTenant	metadata.product_deployment_id	Mappata direttamente
event_id	metadata.product_event_type	Mappata direttamente
log_type	metadata.product_name	Mappata direttamente
product_version	metadata.product_version	Mappata direttamente
organization	metadata.vendor_name	Mappata direttamente
proto	network.ip_protocol	Mappatura: ICMPv6 → ICMP
in	network.received_bytes	Rinominato/mappato
out	network.sent_bytes	Rinominate/mappate
dvchost	principal.asset.hostname	Mappata direttamente
shost	principal.asset.hostname	Mappato direttamente
src	principal.asset.ip	Unita
dvchost	principal.hostname	Mappata direttamente
shost	principal.hostname	Mappato direttamente
src	principal.ip	Unita
smac	principal.mac	Unita
srcMAC	principal.mac	Unita
spt	principal.port	Mappata direttamente
srcPort	principal.port	Mappata direttamente
TrendMicroDsProcessPid	principal.process.pid	Mappata direttamente
suser	principal.user.user_display_name	Mappata direttamente
suid	principal.user.userid	Mappata direttamente
usrName	principal.user.userid	Mappato direttamente
action	security_result.action	Unita
act	security_result.action_details	Mappata direttamente
result	security_result.action_details	Mappato direttamente
cat	security_result.category_details	Unita
msg	security_result.description	Mappata direttamente
TrendMicroDsPacketData_label	security_result.detection_fields	Unita
behaviour_type_field	security_result.detection_fields	Unita
cn3_label	security_result.detection_fields	Unita
count_label	security_result.detection_fields	Unita
cs1_label	security_result.detection_fields	Unita
cs2_label	security_result.detection_fields	Unita
cs3_label	security_result.detection_fields	Unita
cs4_label	security_result.detection_fields	Unita
cs5_label	security_result.detection_fields	Unita
cs6_label	security_result.detection_fields	Unita
cs7_label	security_result.detection_fields	Unita
frame_type_field	security_result.detection_fields	Unita
malware_target	security_result.detection_fields	Unita
process_label	security_result.detection_fields	Unita
target_type	security_result.detection_fields	Unita
tenant_field	security_result.detection_fields	Unita
tenant_id_field	security_result.detection_fields	Unita
sev	security_result.severity	Mappatura: "0", "1", "2", "3", "LOW" → LOW, "4", "5", "6", "MEDIUM" → MEDIUM, `"7", "8"…
sev	security_result.severity_details	Mappato direttamente
name	security_result.summary	Mappata direttamente
result	security_result.summary	Mappata direttamente
event_name	security_result.threat_name	Mappata direttamente
organization	target.administrative_domain	Mappata direttamente
cef_host	target.asset.hostname	Mappata direttamente
hostname	target.asset.hostname	Mappata direttamente
target	target.asset.hostname	Mappato direttamente
dst	target.asset.ip	Unita
filePath	target.file.full_path	Mappata direttamente
cs3	target.file.md5	Mappata direttamente
TrendMicroDsFileSHA1	target.file.sha1	Mappata direttamente
cs2	target.file.sha1	Mappata direttamente
fileHash	target.file.sha256	Mappata direttamente
cn2	target.file.size	Rinominate/mappate
fsize	target.file.size	Rinominate/mappate
cef_host	target.hostname	Mappata direttamente
hostname	target.hostname	Mappata direttamente
target	target.hostname	Mappato direttamente
dst	target.ip	Unita
dmac	target.mac	Unita
dstMAC	target.mac	Unita
dpt	target.port	Mappata direttamente
dstPort	target.port	Mappata direttamente
duser	target.user.user_display_name	Mappato direttamente
N/D	metadata.event_type	Costante: NETWORK_HTTP
N/D	network.ip_protocol	Costante: ICMP
N/D	security_result.severity	Costante: LOW
cs4" , "TrendMicroDsPacketData" and "cn3	security_result.detection_fields	Mappato dal log delle modifiche
cn1	principal.asset_id	Mappato dal log delle modifiche
security_result.action	BLOCK	Mappato dal log delle modifiche
cef_host" and "hostname	intermediary.ip	Mappato dal log delle modifiche
TrendMicroDsMalwareTarget","TrendMicroDsProcess", "TrendMicroDsMalwareTargetCount","TrendMicroDsMalwareTargetType" and "TrendMicroDsBehaviorType	security_result.detection_fields	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.