Raccogli i log delle attività di Trend Micro Vision One

Supportata in:

Questo documento spiega come importare i log delle attività di Trend Micro Vision One in Google Security Operations utilizzando AWS S3. Il parser trasforma i log delle attività di Trend Micro Vision One dal formato JSON in un Unified Data Model (UDM).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Istanza Google SecOps
  • Accesso privilegiato a Trend Micro Vision One.

Configura il logging su Trend Micro Vision One

  1. Accedi alla console Trend Micro Vision One.
  2. Vai a Workflow and Automation (Flusso di lavoro e automazione) > Third-Party Integration (Integrazione di terze parti).
  3. Fai clic su Google Security Operations SIEM.
  4. In Chiave di accesso, fai clic su Genera chiave.
  5. Copia e salva l'ID della chiave di accesso e la chiave di accesso segreta.
  6. Nella sezione Trasferimento di dati, attiva l'opzione accanto a Dati attività.
  7. Viene generato un URI S3 e i dati iniziano a essere inviati al bucket S3 corrispondente.
  8. Copia e salva l'URI S3 in un luogo sicuro.
  9. (Facoltativo) Per i dati relativi a eventi e attività, fai clic su Modifica per modificare l'ambito dei dati (la modifica dell'ambito non cambia l'URI S3 generato).

Configura i feed

Per configurare un feed:

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, Trend Micro Vision One Log delle attività).
  5. Seleziona Amazon S3 V2 come Tipo di origine.
  6. Seleziona Trend Micro Vision One Activity come Log type (Tipo di log).
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • URI S3: l'URI del bucket (il formato deve essere: s3://log-bucket-name/). Sostituisci quanto segue:
      • log-bucket-name: il nome del bucket. .
    • Opzioni di eliminazione dell'origine: seleziona Non eliminare mai i file. I dati nel bucket S3 vengono conservati per 7 giorni prima di essere eliminati.
    • Età massima dei file: include i file modificati negli ultimi giorni. Il valore predefinito è 180 giorni.
    • ID chiave di accesso: chiave di accesso utente con accesso al bucket S3.
    • Chiave di accesso segreta: chiave segreta dell'utente con accesso al bucket S3.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza e poi fai clic su Invia.

Tabella di mappatura UDM

Campo del log mappatura UDM Logica
fileName about.file.names Unita
_field additional.fields Unita
apiVersion_label additional.fields Unita
appLabel_label additional.fields Unita
app_label additional.fields Unita
application_label additional.fields Unita
attachmentFileSizes_label additional.fields Unita
attachmentMd5_label additional.fields Unita
attachmentSha1_label additional.fields Unita
attachmentSha256_label additional.fields Unita
awsRegion_label additional.fields Unita
clusterId_label additional.fields Unita
clusterName_label additional.fields Unita
eventID_label additional.fields Unita
groupId_label additional.fields Unita
id_label additional.fields Unita
idpId_label additional.fields Unita
k8sNamespace_label additional.fields Unita
name_label additional.fields Unita
productCode_label additional.fields Unita
recipientAccountId_label additional.fields Unita
spamResultHeader_label additional.fields Unita
spamRidHeader_label additional.fields Unita
vpcEndpointId_label additional.fields Unita
remarks metadata.description Mappatura diretta
eventTime metadata.event_timestamp Analizzato come UNIX_MS
logReceivedTime metadata.event_timestamp Analizzato come UNIX_MS
objectFileModifiedTime metadata.event_timestamp Analizzato come UNIX_MS
objectFirstSeen metadata.event_timestamp Analizzato come UNIX_MS
objectLastSeen metadata.event_timestamp Analizzato come UNIX_MS
srcFileModifiedTime metadata.event_timestamp Analizzato come UNIX_MS
srcFirstSeen metadata.event_timestamp Analizzato come UNIX_MS
srcLastSeen metadata.event_timestamp Analizzato come UNIX_MS
has_email metadata.event_type Mappatura: true → EMAIL_TRANSACTION
has_network metadata.event_type Mappatura: true → NETWORK_UNCATEGORIZED
has_principal metadata.event_type Mapped: true → FILE_UNCATEGORIZED, true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_process metadata.event_type Mappatura: true → PROCESS_UNCATEGORIZED
has_registry metadata.event_type Mappatura: true → REGISTRY_UNCATEGORIZED
has_user metadata.event_type Mappatura: true → USER_UNCATEGORIZED
eventName metadata.product_event_type Mappatura diretta
eventType metadata.product_event_type Mappatura diretta
scanType metadata.product_event_type Mappatura diretta
msgUuid metadata.product_log_id Mappatura diretta
uuid metadata.product_log_id Mappatura diretta
idpName metadata.product_name Mappatura diretta
pname metadata.product_name Mappatura diretta
pver metadata.product_version Mappatura diretta
protocol network.application_protocol Mappatura diretta
version network.application_protocol_version Mappatura diretta
mailBccAddr network.email.bcc Unita
mailccAddr network.email.cc Unita
mailFromAddresses.0 network.email.from Mappatura diretta
suser network.email.from Mappatura diretta
mailMsgId network.email.mail_id Mappatura diretta
msgId network.email.mail_id Mappatura diretta
mailReplyToAddr network.email.reply_to Mappatura diretta
mailMsgSubject network.email.subject Unita
duser network.email.to Unita
mailToAddr network.email.to Unita
requestMethod network.http.method Mappatura diretta
userAgent network.http.parsed_user_agent Mappatura diretta
httpReferer network.http.referral_url Mappatura diretta
userAgent network.http.user_agent Mappatura diretta
responseSize network.received_bytes Mappatura diretta
requestSize network.sent_bytes Mappatura diretta
duration network.session_duration.seconds Mappatura diretta
tlsSelectedCipher network.tls.cipher Mappatura diretta
clientTls network.tls.version Mappatura diretta
downstreamTls network.tls.version Mappatura diretta
clientId principal.asset.asset_id Mappatura diretta
deviceGUID principal.asset.asset_id Mappatura diretta
endpointGuid principal.asset.asset_id Mappatura diretta
clientDisplayName_label principal.asset.attribute.labels Unita
clientOS_label principal.asset.attribute.labels Unita
hardware principal.asset.hardware Unita
endpointHostName principal.asset.hostname Mappatura diretta
sender principal.asset.hostname Mappatura diretta
ipAddress principal.asset.ip Unita
srcIp principal.asset.ip Unita
tmpIp principal.asset.ip Unita
tmpMac principal.asset.mac Unita
hostName principal.domain.name Mappatura diretta
endpointHostName principal.hostname Mappatura diretta
sender principal.hostname Mappatura diretta
sourceIPAddress principal.ip Unita
srcIp principal.ip Unita
tmpIp principal.ip Unita
ip_location principal.ip_location Unita
srcLocation principal.location.country_or_region Mappatura diretta
tmpMac principal.mac Unita
processFilePath principal.process.file.full_path Mappatura diretta
processFileHashMd5 principal.process.file.md5 Mappatura diretta
processName principal.process.file.names Unita
processFileHashSha1 principal.process.file.sha1 Mappatura diretta
processFileHashSha256 principal.process.file.sha256 Mappatura diretta
parentCmd principal.process.parent_process.command_line Mappatura diretta
parentFilePath principal.process.parent_process.file.full_path Mappatura diretta
parentFileHashMd5 principal.process.parent_process.file.md5 Mappatura diretta
parentName principal.process.parent_process.file.names Unita
parentFileHashSha1 principal.process.parent_process.file.sha1 Mappatura diretta
parentFileHashSha256 principal.process.parent_process.file.sha256 Mappatura diretta
parentPid principal.process.parent_process.pid Mappatura diretta
uuid_label principal.resource.attribute.labels Unita
userId principal.user.product_object_id Mappatura diretta
userDisplayName principal.user.user_display_name Mappatura diretta
objectUser principal.user.userid Mappatura diretta
principalName principal.user.userid Mappatura diretta
mailbox security_result.about.email Mappatura diretta
act security_result.action_details Mappatura diretta
urlCat security_result.category_details Unita
_field security_result.detection_fields Unita
action_label security_result.detection_fields Unita
detectionType_label security_result.detection_fields Unita
eventSourceType_label security_result.detection_fields Unita
key security_result.detection_fields Mappatura: "failedHTTPSInspection", "serverProtocol", "score" → _field
mailDirection_label security_result.detection_fields Unita
type_label security_result.detection_fields Unita
mailScore security_result.risk_score Rinominato/mappato
policyUuid security_result.rule_id Mappatura diretta
ruleId security_result.rule_id Mappatura diretta
ruleUuid security_result.rule_id Mappatura diretta
ruleName security_result.rule_name Mappatura diretta
ruleType security_result.rule_type Mappatura diretta
filterRiskLevel security_result.severity_details Mappatura diretta
deliveryStatus security_result.summary Mappatura diretta
malName security_result.threat_name Mappatura diretta
source src Rinominato/mappato
target_udm target Rinominato/mappato
N/D metadata.event_type Costante: GENERIC_EVENT
N/D metadata.product_name Costante: TREND VISION ONE ACTIVITY
N/D metadata.vendor_name Costante: TREND VISION ONE ACTIVITY
N/D network.http.parsed_user_agent Costante: parseduseragent
N/D network.http.response_code Costante: respCode
N/D principal.process.integrity_level_rid Costante: integrityLevel
N/D principal.process.parent_process.integrity_level_rid Costante: parentIntegrityLevel
N/D principal.process.pid Costante: processPid

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.