Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengumpulkan log Aktivitas Trend Micro Vision One

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Aktivitas Trend Micro Vision One ke Google Security Operations menggunakan AWS S3. Parser mengubah log Aktivitas Trend Micro Vision One dari format JSON menjadi Model Data Terpadu (UDM).

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
Akses istimewa ke Trend Micro Vision One.

Mengonfigurasi Logging di Trend Micro Vision One

Login ke konsol Trend Micro Vision One.
Buka Workflow and Automation > Third-Party Integration.
Klik Google Security Operations SIEM.
Di bagian Access key, klik Generate key.
Salin dan Simpan ID kunci akses dan kunci akses rahasia.
Di bagian Transfer data, aktifkan tombol di samping Data Aktivitas.
URI S3 akan dibuat dan data akan mulai dikirim ke bucket S3 yang sesuai.
Salin dan simpan URI S3 di lokasi yang aman.
(Opsional): Untuk data Peristiwa dan Aktivitas, klik Edit untuk mengubah cakupan data (Mengubah cakupan tidak akan mengubah URI S3 yang dihasilkan).

Menyiapkan feed

Untuk mengonfigurasi feed, ikuti langkah-langkah berikut:

Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
Klik Tambahkan Feed Berita Baru.
Di halaman berikutnya, klik Konfigurasi satu feed.
Di kolom Feed name, masukkan nama untuk feed (misalnya, Trend Micro Vision One Activity Logs).
Pilih Amazon S3 V2 sebagai Jenis sumber.
Pilih Trend Micro Vision One Activity sebagai Log type.
Klik Berikutnya.
Tentukan nilai untuk parameter input berikut:
- S3 URI: URI bucket (formatnya harus: s3://log-bucket-name/). Ganti kode berikut:
  - log-bucket-name: nama bucket. .
- Opsi penghapusan sumber: Pilih Jangan pernah hapus file. Data di bucket S3 dipertahankan selama 7 hari sebelum dihapus.
- Usia File Maksimum: Menyertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.
- Access Key ID: Kunci akses pengguna dengan akses ke bucket S3.
- Secret Access Key: Kunci rahasia pengguna dengan akses ke bucket S3.
Klik Berikutnya.
Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Tabel pemetaan UDM

Kolom log	pemetaan UDM	Logika
`fileName`	`about.file.names`	Digabung
`_field`	`additional.fields`	Digabung
`apiVersion_label`	`additional.fields`	Digabung
`appLabel_label`	`additional.fields`	Digabung
`app_label`	`additional.fields`	Digabung
`application_label`	`additional.fields`	Digabung
`attachmentFileSizes_label`	`additional.fields`	Digabung
`attachmentMd5_label`	`additional.fields`	Digabung
`attachmentSha1_label`	`additional.fields`	Digabung
`attachmentSha256_label`	`additional.fields`	Digabung
`awsRegion_label`	`additional.fields`	Digabung
`clusterId_label`	`additional.fields`	Digabung
`clusterName_label`	`additional.fields`	Digabung
`eventID_label`	`additional.fields`	Digabung
`groupId_label`	`additional.fields`	Digabung
`id_label`	`additional.fields`	Digabung
`idpId_label`	`additional.fields`	Digabung
`k8sNamespace_label`	`additional.fields`	Digabung
`name_label`	`additional.fields`	Digabung
`productCode_label`	`additional.fields`	Digabung
`recipientAccountId_label`	`additional.fields`	Digabung
`spamResultHeader_label`	`additional.fields`	Digabung
`spamRidHeader_label`	`additional.fields`	Digabung
`vpcEndpointId_label`	`additional.fields`	Digabung
`remarks`	`metadata.description`	Dipetakan secara langsung
`eventTime`	`metadata.event_timestamp`	Diurai sebagai `UNIX_MS`
`logReceivedTime`	`metadata.event_timestamp`	Diurai sebagai `UNIX_MS`
`objectFileModifiedTime`	`metadata.event_timestamp`	Diurai sebagai `UNIX_MS`
`objectFirstSeen`	`metadata.event_timestamp`	Diurai sebagai `UNIX_MS`
`objectLastSeen`	`metadata.event_timestamp`	Diurai sebagai `UNIX_MS`
`srcFileModifiedTime`	`metadata.event_timestamp`	Diurai sebagai `UNIX_MS`
`srcFirstSeen`	`metadata.event_timestamp`	Diurai sebagai `UNIX_MS`
`srcLastSeen`	`metadata.event_timestamp`	Diurai sebagai `UNIX_MS`
`has_email`	`metadata.event_type`	Dipetakan: `true` → `EMAIL_TRANSACTION`
`has_network`	`metadata.event_type`	Dipetakan: `true` → `NETWORK_UNCATEGORIZED`
`has_principal`	`metadata.event_type`	Dipetakan: `true` → `FILE_UNCATEGORIZED`, `true` → `NETWORK_CONNECTION`, `true` → `STATUS_UPDATE`
`has_process`	`metadata.event_type`	Dipetakan: `true` → `PROCESS_UNCATEGORIZED`
`has_registry`	`metadata.event_type`	Dipetakan: `true` → `REGISTRY_UNCATEGORIZED`
`has_user`	`metadata.event_type`	Dipetakan: `true` → `USER_UNCATEGORIZED`
`eventName`	`metadata.product_event_type`	Dipetakan secara langsung
`eventType`	`metadata.product_event_type`	Dipetakan secara langsung
`scanType`	`metadata.product_event_type`	Dipetakan secara langsung
`msgUuid`	`metadata.product_log_id`	Dipetakan secara langsung
`uuid`	`metadata.product_log_id`	Dipetakan secara langsung
`idpName`	`metadata.product_name`	Dipetakan secara langsung
`pname`	`metadata.product_name`	Dipetakan secara langsung
`pver`	`metadata.product_version`	Dipetakan secara langsung
`protocol`	`network.application_protocol`	Dipetakan secara langsung
`version`	`network.application_protocol_version`	Dipetakan secara langsung
`mailBccAddr`	`network.email.bcc`	Digabung
`mailccAddr`	`network.email.cc`	Digabung
`mailFromAddresses.0`	`network.email.from`	Dipetakan secara langsung
`suser`	`network.email.from`	Dipetakan secara langsung
`mailMsgId`	`network.email.mail_id`	Dipetakan secara langsung
`msgId`	`network.email.mail_id`	Dipetakan secara langsung
`mailReplyToAddr`	`network.email.reply_to`	Dipetakan secara langsung
`mailMsgSubject`	`network.email.subject`	Digabung
`duser`	`network.email.to`	Digabung
`mailToAddr`	`network.email.to`	Digabung
`requestMethod`	`network.http.method`	Dipetakan secara langsung
`userAgent`	`network.http.parsed_user_agent`	Dipetakan secara langsung
`httpReferer`	`network.http.referral_url`	Dipetakan secara langsung
`userAgent`	`network.http.user_agent`	Dipetakan secara langsung
`responseSize`	`network.received_bytes`	Dipetakan secara langsung
`requestSize`	`network.sent_bytes`	Dipetakan secara langsung
`duration`	`network.session_duration.seconds`	Dipetakan secara langsung
`tlsSelectedCipher`	`network.tls.cipher`	Dipetakan secara langsung
`clientTls`	`network.tls.version`	Dipetakan secara langsung
`downstreamTls`	`network.tls.version`	Dipetakan secara langsung
`clientId`	`principal.asset.asset_id`	Dipetakan secara langsung
`deviceGUID`	`principal.asset.asset_id`	Dipetakan secara langsung
`endpointGuid`	`principal.asset.asset_id`	Dipetakan secara langsung
`clientDisplayName_label`	`principal.asset.attribute.labels`	Digabung
`clientOS_label`	`principal.asset.attribute.labels`	Digabung
`hardware`	`principal.asset.hardware`	Digabung
`endpointHostName`	`principal.asset.hostname`	Dipetakan secara langsung
`sender`	`principal.asset.hostname`	Dipetakan secara langsung
`ipAddress`	`principal.asset.ip`	Digabung
`srcIp`	`principal.asset.ip`	Digabung
`tmpIp`	`principal.asset.ip`	Digabung
`tmpMac`	`principal.asset.mac`	Digabung
`hostName`	`principal.domain.name`	Dipetakan secara langsung
`endpointHostName`	`principal.hostname`	Dipetakan secara langsung
`sender`	`principal.hostname`	Dipetakan secara langsung
`sourceIPAddress`	`principal.ip`	Digabung
`srcIp`	`principal.ip`	Digabung
`tmpIp`	`principal.ip`	Digabung
`ip_location`	`principal.ip_location`	Digabung
`srcLocation`	`principal.location.country_or_region`	Dipetakan secara langsung
`tmpMac`	`principal.mac`	Digabung
`processFilePath`	`principal.process.file.full_path`	Dipetakan secara langsung
`processFileHashMd5`	`principal.process.file.md5`	Dipetakan secara langsung
`processName`	`principal.process.file.names`	Digabung
`processFileHashSha1`	`principal.process.file.sha1`	Dipetakan secara langsung
`processFileHashSha256`	`principal.process.file.sha256`	Dipetakan secara langsung
`parentCmd`	`principal.process.parent_process.command_line`	Dipetakan secara langsung
`parentFilePath`	`principal.process.parent_process.file.full_path`	Dipetakan secara langsung
`parentFileHashMd5`	`principal.process.parent_process.file.md5`	Dipetakan secara langsung
`parentName`	`principal.process.parent_process.file.names`	Digabung
`parentFileHashSha1`	`principal.process.parent_process.file.sha1`	Dipetakan secara langsung
`parentFileHashSha256`	`principal.process.parent_process.file.sha256`	Dipetakan secara langsung
`parentPid`	`principal.process.parent_process.pid`	Dipetakan secara langsung
`uuid_label`	`principal.resource.attribute.labels`	Digabung
`userId`	`principal.user.product_object_id`	Dipetakan secara langsung
`userDisplayName`	`principal.user.user_display_name`	Dipetakan secara langsung
`objectUser`	`principal.user.userid`	Dipetakan secara langsung
`principalName`	`principal.user.userid`	Dipetakan secara langsung
`mailbox`	`security_result.about.email`	Dipetakan secara langsung
`act`	`security_result.action_details`	Dipetakan secara langsung
`urlCat`	`security_result.category_details`	Digabung
`_field`	`security_result.detection_fields`	Digabung
`action_label`	`security_result.detection_fields`	Digabung
`detectionType_label`	`security_result.detection_fields`	Digabung
`eventSourceType_label`	`security_result.detection_fields`	Digabung
`key`	`security_result.detection_fields`	Dipetakan: `"failedHTTPSInspection", "serverProtocol", "score"` → `_field`
`mailDirection_label`	`security_result.detection_fields`	Digabung
`type_label`	`security_result.detection_fields`	Digabung
`mailScore`	`security_result.risk_score`	Diganti namanya/dipetakan
`policyUuid`	`security_result.rule_id`	Dipetakan secara langsung
`ruleId`	`security_result.rule_id`	Dipetakan secara langsung
`ruleUuid`	`security_result.rule_id`	Dipetakan secara langsung
`ruleName`	`security_result.rule_name`	Dipetakan secara langsung
`ruleType`	`security_result.rule_type`	Dipetakan secara langsung
`filterRiskLevel`	`security_result.severity_details`	Dipetakan secara langsung
`deliveryStatus`	`security_result.summary`	Dipetakan secara langsung
`malName`	`security_result.threat_name`	Dipetakan secara langsung
`source`	`src`	Diganti namanya/dipetakan
`target_udm`	`target`	Diganti namanya/dipetakan
T/A	`metadata.event_type`	Konstanta: `GENERIC_EVENT`
T/A	`metadata.product_name`	Konstanta: `TREND VISION ONE ACTIVITY`
T/A	`metadata.vendor_name`	Konstanta: `TREND VISION ONE ACTIVITY`
T/A	`network.http.parsed_user_agent`	Konstanta: `parseduseragent`
T/A	`network.http.response_code`	Konstanta: `respCode`
T/A	`principal.process.integrity_level_rid`	Konstanta: `integrityLevel`
T/A	`principal.process.parent_process.integrity_level_rid`	Konstanta: `parentIntegrityLevel`
T/A	`principal.process.pid`	Konstanta: `processPid`

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.