Recopila registros de Trend Micro Email Security

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de Trend Micro Email Security a Google Security Operations con Bindplane. Trend Micro Email Security es una puerta de enlace de correo electrónico basada en la nube que protege a las organizaciones contra el spam, el malware, el phishing, el ransomware y los ataques dirigidos avanzados antes de que lleguen a las casillas de correo de los usuarios. Proporciona filtrado de URLs, zona de pruebas de archivos adjuntos y prevención de pérdida de datos para el tráfico de correo electrónico entrante y saliente.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Un host de Windows 2016 o posterior, o Linux con systemd
• Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
• Acceso con privilegios a la Consola del administrador de Trend Micro Email Security

Obtén credenciales de Google SecOps para el agente de Bindplane

Para autenticar el agente de Bindplane en Google SecOps, elige uno de los siguientes métodos:

• Implementaciones nuevas: Usa la API de Chronicle (opción 1).
• Implementaciones heredadas: Continúa usando el archivo de autenticación de transferencia (opción 2) hasta que se descontinúe la API de Ingestion el 20 de julio de 2027.

Opción 1: Crea una cuenta de servicio para la API de Chronicle (recomendada)

1. Accede a la Google Cloud consola y selecciona el Google Cloud proyecto vinculado a tu instancia de Google SecOps.
2. Ve a IAM y administración > Cuentas de servicio.
3. Haz clic en Crear cuenta de servicio.
4. Proporciona los siguientes detalles de configuración:
   • Nombre de la cuenta de servicio: Ingresa un nombre para la cuenta (por ejemplo, bindplane-ingest).
   • Descripción de la cuenta de servicio: Ingresa una descripción (por ejemplo, Bindplane agent log ingestion).
5. Haz clic en Crear y continuar.
6. En la sección Otorga a esta cuenta de servicio acceso al proyecto, haz clic en Seleccionar un rol y selecciona Editor de Chronicle.
7. Haz clic en Continuar y, luego, en Listo.
8. Haz clic en la cuenta de servicio que creaste y, luego, ve a la pestaña Claves.
9. Haz clic en AGREGAR CLAVE > Crear clave nueva.
10. Selecciona JSON y haz clic en Crear. El archivo de claves se descarga en tu computadora.
11. Guarda el archivo de claves como ingestion-auth.json en el directorio del recopilador de Bindplane (/opt/observiq-otel-collector/ingestion-auth.json en Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json en Windows) o actualiza creds_file_path en config.yaml para que coincida con la ruta de acceso en la que lo guardas.
12. Ve a IAM y administración > Configuración y copia el Número de proyecto. Lo necesitarás para la configuración del exportador.

Nota: La clave JSON es una credencial. Restringe el acceso al archivo en el host de Bindplane y rota la clave según la política de tu organización.

Opción 2: Descarga el archivo de autenticación de transferencia (heredado)

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recopilación.
3. Descarga el archivo de autenticación de transferencia.
4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Nota: Este archivo autentica el agente en la API de Ingestion heredada (malachiteingestion-pa.googleapis.com), que Google programó para el final de su ciclo de vida el 20 de julio de 2027. Planifica cambiar a la opción 1 antes de esa fecha.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el siguiente comando:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Instalación en Linux

1. Abre una terminal con privilegios raíz o sudo.

2. Ejecuta el siguiente comando:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

Recursos de instalación adicionales

Para obtener opciones de instalación adicionales, consulta esta guía de instalación.

Nota: La configuración del exportador de la API de Chronicle requiere el recopilador de Bindplane v1.106.0 o posterior. Los comandos anteriores instalan la versión más reciente. Si actualizas una instalación existente, actualiza el recopilador antes de cambiar la configuración.

Configura el agente de Bindplane para transferir syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración:

   • Busca el archivo config.yaml. Por lo general, se encuentra en el directorio /opt/observiq-otel-collector/ en Linux o en el directorio de instalación en Windows.
   • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Notepad).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     tcplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: YOUR_CUSTOMER_ID
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'TRENDMICRO_EMAIL_SECURITY'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

• Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.
• Reemplaza <LOCATION> por la región de tu instancia de Google SecOps (por ejemplo, us, europe, o asia-southeast1). El exportador antepone chronicle.googleapis.com con este valor.
• Reemplaza <PROJECT_NUMBER> por el número de proyecto de IAM y administración > Configuración.
• Reemplaza YOUR_CUSTOMER_ID por el ID de cliente real.
• Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso del archivo en la que se guardó el archivo de claves de la cuenta de servicio (opción 1) en el paso 1.

Exportador de la API de Ingestion heredada

• Si usas el archivo de autenticación de transferencia de la opción 2, reemplaza el bloque exporters por lo siguiente. Establece creds_file_path en la ruta de acceso al archivo de autenticación de transferencia y, si tu instancia está fuera de EE.UU., reemplaza malachiteingestion-pa.googleapis.com por tu extremo regional (por ejemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: YOUR_CUSTOMER_ID
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'TRENDMICRO_EMAIL_SECURITY'
      raw_log_field: body
      ingestion_labels:
  

Nota: Este exportador dejará de funcionar cuando se descontinúe la API de Ingestion el 20 de julio de 2027.

Reinicia el agente de Bindplane para aplicar los cambios

1. Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

   sudo systemctl restart observiq-otel-collector
   

2. Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Configura el reenvío de syslog de Trend Micro Email Security

Para configurar Trend Micro Email Security para reenviar registros al agente de Bindplane a través de syslog, sigue estos pasos:

1. Accede a la Consola del administrador de Trend Micro Email Security.
2. Ve a Administración > Configuración de Syslog.

3. Haz clic en Agregar para crear un perfil de servidor syslog nuevo.

4. Proporciona los siguientes detalles de configuración:

   • Dirección del servidor: Ingresa la dirección IP del host del agente de Bindplane (por ejemplo, 192.168.1.100).
   • Puerto: Ingresa 514 (o el puerto configurado en el agente de Bindplane).
   • Protocolo: Selecciona TCP.
   • Formato: Selecciona CEF (formato de evento común).

5. En la sección Tipos de registro, selecciona las categorías de registro para reenviar:

   • Eventos de políticas : Acciones de políticas de filtrado de correo electrónico.
   • Detección de spam : Eventos de spam y graymail
   • Detección de malware : Eventos de detección de virus y malware
   • Detección de ransomware : Eventos de detección de ransomware
   • Análisis de URL : Eventos de clics en URLs y protección de Time-of-Click
   • Protección avanzada contra amenazas : Eventos de análisis de zona de pruebas
   • Prevención de pérdida de datos : Eventos de incumplimiento de políticas de DLP
   • Filtrado de contenido : Eventos de reglas de filtro de contenido

6. Haz clic en Guardar.

7. Haz clic en Probar conexión para verificar que se envíen registros al agente de Bindplane.

8. Para verificar que los registros lleguen, consulta los registros del agente de Bindplane.

Para obtener más información, consulta la documentación de Trend Micro Email Security.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
additional_cn1	additional.fields	Combinado
additional_cs1	additional.fields	Combinado
additional_cs2	additional.fields	Combinado
additional_cs3	additional.fields	Combinado
additional_cs4	additional.fields	Combinado
additional_cs5	additional.fields	Combinado
additional_cs6	additional.fields	Combinado
message	extensions.auth.type	Asignado: login → AUTHTYPE_UNSPECIFIED
msg	metadata.description	Asignado directamente
rt	metadata.event_timestamp	Analizado como ISO8601
cs1	metadata.event_type	Asignado: phishing → SCAN_UNCATEGORIZED
message	metadata.event_type	Asignado: CEF:0 → GENERIC_EVENT, login → USER_LOGIN
cs1	metadata.product_event_type	Asignado directamente
network_direction	network.direction	Asignado: INCOMING → INBOUND, OUTGOING → OUTBOUND
cs2	principal.hostname	Asignado directamente
principal_ip	principal.hostname	Asignado directamente
principal_ip	principal.ip	Combinado
message	principal.user.userid	Asignado: login → target.user.userid
suser	principal.user.userid	Asignado directamente
act	security_result.action	Asignado: ALLOW → act, DENY → security_result_action, QUARANTINE → act
security_result_action	security_result.action	Combinado
act	security_result.action_details	Asignado directamente
cs5	security_result.rule_name	Asignado directamente
severity	security_result.severity	Asignado: "0", "1", "2", "3", "LOW" → LOW, `"4", "5", "6", "MEDIUM", "SUBSTANTIAL", "INFO"...
cs6	target.url	Asignado directamente
duser	target.user.email_addresses	Asignado: ; → emailId
emailId	target.user.email_addresses	Combinado
duser	target.user.userid	Asignado directamente
principal.user.userid	target.user.userid	Cambio de nombre o asignación
N/A	extensions.auth.type	Constante: AUTHTYPE_UNSPECIFIED
N/A	metadata.event_type	Constante: GENERIC_EVENT
N/A	network.direction	Constante: INBOUND
N/A	principal.user.userid	Constante: target.user.userid
N/A	security_result.severity	Constante: LOW

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.