Raccogliere i log delle attività di Trend Micro Vision One

Supportato in:

Questo documento spiega come importare i log attività di Trend Micro Vision One in Google Security Operations utilizzando AWS S3. Il parser trasforma i log delle attività di Trend Micro Vision One dal formato JSON in un modello Unified Data Model (UDM).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Istanza Google SecOps
  • Accesso privilegiato a Trend Micro Vision One.

Configura la registrazione su Trend Micro Vision One

  1. Accedi alla console Trend Micro Vision One.
  2. Vai a Workflow e Automation > Integrazione di terze parti.
  3. Fai clic su Google Security Operations SIEM.
  4. In Chiave di accesso, fai clic su Genera chiave.
  5. Copia e salva l'ID chiave di accesso e la chiave di accesso segreta.
  6. Nella sezione Trasferimento di dati, attiva l'opzione di attivazione/disattivazione accanto a Dati attività.
  7. Viene generato un URI S3 e i dati iniziano a essere inviati al bucket S3 corrispondente.
  8. Copia e salva l'URI S3 in una posizione sicura.
  9. (Facoltativo) Per i dati delle attività di Eventi, fai clic su Modifica per modificare l'ambito dei dati (la modifica dell'ambito non cambia l'URI S3 generato).

Configura i feed

Per configurare un feed:

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, Trend Micro Vision One Activity Logs).
  5. Seleziona Amazon S3 V2 come Tipo di origine.
  6. Seleziona Trend Micro Vision One Activity come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • URI S3: l'URI del bucket (il formato deve essere: s3://log-bucket-name/). Sostituisci quanto segue:
      • log-bucket-name: il nome del bucket. .
    • Opzioni di eliminazione delle origini: seleziona Non eliminare mai i file. I dati nel bucket S3 vengono conservati per 7 giorni prima di essere eliminati.
    • Età massima file: include i file modificati nell'ultimo numero di giorni. Il valore predefinito è 180 giorni.
    • ID chiave di accesso: chiave di accesso utente con accesso al bucket S3.
    • Chiave di accesso segreta: chiave segreta dell'utente con accesso al bucket S3.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Tabella di mappatura UDM

Campo log mappatura UDM Logica
fileName about.file.names Unita
_field additional.fields Unita
apiVersion_label additional.fields Unita
appLabel_label additional.fields Unita
app_label additional.fields Unita
application_label additional.fields Unita
attachmentFileSizes_label additional.fields Unita
attachmentMd5_label additional.fields Unita
attachmentSha1_label additional.fields Unita
attachmentSha256_label additional.fields Unita
awsRegion_label additional.fields Unita
clusterId_label additional.fields Unita
clusterName_label additional.fields Unita
eventID_label additional.fields Unita
groupId_label additional.fields Unita
id_label additional.fields Unita
idpId_label additional.fields Unita
k8sNamespace_label additional.fields Unita
name_label additional.fields Unita
productCode_label additional.fields Unita
recipientAccountId_label additional.fields Unita
spamResultHeader_label additional.fields Unita
spamRidHeader_label additional.fields Unita
vpcEndpointId_label additional.fields Unita
remarks metadata.description Mappato direttamente
eventTime metadata.event_timestamp Analizzato come UNIX_MS
logReceivedTime metadata.event_timestamp Analizzato come UNIX_MS
objectFileModifiedTime metadata.event_timestamp Analizzato come UNIX_MS
objectFirstSeen metadata.event_timestamp Analizzato come UNIX_MS
objectLastSeen metadata.event_timestamp Analizzato come UNIX_MS
srcFileModifiedTime metadata.event_timestamp Analizzato come UNIX_MS
srcFirstSeen metadata.event_timestamp Analizzato come UNIX_MS
srcLastSeen metadata.event_timestamp Analizzato come UNIX_MS
has_email metadata.event_type Mappato: true → EMAIL_TRANSACTION
has_network metadata.event_type Mappato: true → NETWORK_UNCATEGORIZED
has_principal metadata.event_type Mappato: true → FILE_UNCATEGORIZED, true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_process metadata.event_type Mappato: true → PROCESS_UNCATEGORIZED
has_registry metadata.event_type Mappato: true → REGISTRY_UNCATEGORIZED
has_user metadata.event_type Mappato: true → USER_UNCATEGORIZED
eventName metadata.product_event_type Mappato direttamente
eventType metadata.product_event_type Mappato direttamente
scanType metadata.product_event_type Mappato direttamente
msgUuid metadata.product_log_id Mappato direttamente
uuid metadata.product_log_id Mappato direttamente
idpName metadata.product_name Mappato direttamente
pname metadata.product_name Mappato direttamente
pver metadata.product_version Mappato direttamente
protocol network.application_protocol Mappato direttamente
version network.application_protocol_version Mappato direttamente
mailBccAddr network.email.bcc Unita
mailccAddr network.email.cc Unita
mailFromAddresses.0 network.email.from Mappato direttamente
suser network.email.from Mappato direttamente
mailMsgId network.email.mail_id Mappato direttamente
msgId network.email.mail_id Mappato direttamente
mailReplyToAddr network.email.reply_to Mappato direttamente
mailMsgSubject network.email.subject Unita
duser network.email.to Unita
mailToAddr network.email.to Unita
requestMethod network.http.method Mappato direttamente
userAgent network.http.parsed_user_agent Mappato direttamente
httpReferer network.http.referral_url Mappato direttamente
userAgent network.http.user_agent Mappato direttamente
responseSize network.received_bytes Mappato direttamente
requestSize network.sent_bytes Mappato direttamente
duration network.session_duration.seconds Mappato direttamente
tlsSelectedCipher network.tls.cipher Mappato direttamente
clientTls network.tls.version Mappato direttamente
downstreamTls network.tls.version Mappato direttamente
clientId principal.asset.asset_id Mappato direttamente
deviceGUID principal.asset.asset_id Mappato direttamente
endpointGuid principal.asset.asset_id Mappato direttamente
clientDisplayName_label principal.asset.attribute.labels Unita
clientOS_label principal.asset.attribute.labels Unita
hardware principal.asset.hardware Unita
endpointHostName principal.asset.hostname Mappato direttamente
sender principal.asset.hostname Mappato direttamente
ipAddress principal.asset.ip Unita
srcIp principal.asset.ip Unita
tmpIp principal.asset.ip Unita
tmpMac principal.asset.mac Unita
hostName principal.domain.name Mappato direttamente
endpointHostName principal.hostname Mappato direttamente
sender principal.hostname Mappato direttamente
sourceIPAddress principal.ip Unita
srcIp principal.ip Unita
tmpIp principal.ip Unita
ip_location principal.ip_location Unita
srcLocation principal.location.country_or_region Mappato direttamente
tmpMac principal.mac Unita
processFilePath principal.process.file.full_path Mappato direttamente
processFileHashMd5 principal.process.file.md5 Mappato direttamente
processName principal.process.file.names Unita
processFileHashSha1 principal.process.file.sha1 Mappato direttamente
processFileHashSha256 principal.process.file.sha256 Mappato direttamente
parentCmd principal.process.parent_process.command_line Mappato direttamente
parentFilePath principal.process.parent_process.file.full_path Mappato direttamente
parentFileHashMd5 principal.process.parent_process.file.md5 Mappato direttamente
parentName principal.process.parent_process.file.names Unita
parentFileHashSha1 principal.process.parent_process.file.sha1 Mappato direttamente
parentFileHashSha256 principal.process.parent_process.file.sha256 Mappato direttamente
parentPid principal.process.parent_process.pid Mappato direttamente
uuid_label principal.resource.attribute.labels Unita
userId principal.user.product_object_id Mappato direttamente
userDisplayName principal.user.user_display_name Mappato direttamente
objectUser principal.user.userid Mappato direttamente
principalName principal.user.userid Mappato direttamente
mailbox security_result.about.email Mappato direttamente
act security_result.action_details Mappato direttamente
urlCat security_result.category_details Unita
_field security_result.detection_fields Unita
action_label security_result.detection_fields Unita
detectionType_label security_result.detection_fields Unita
eventSourceType_label security_result.detection_fields Unita
key security_result.detection_fields Mappato: "failedHTTPSInspection", "serverProtocol", "score" → _field
mailDirection_label security_result.detection_fields Unita
type_label security_result.detection_fields Unita
mailScore security_result.risk_score Rinominate/mappate
policyUuid security_result.rule_id Mappato direttamente
ruleId security_result.rule_id Mappato direttamente
ruleUuid security_result.rule_id Mappato direttamente
ruleName security_result.rule_name Mappato direttamente
ruleType security_result.rule_type Mappato direttamente
filterRiskLevel security_result.severity_details Mappato direttamente
deliveryStatus security_result.summary Mappato direttamente
malName security_result.threat_name Mappato direttamente
source src Rinominate/mappate
target_udm target Rinominate/mappate
N/D metadata.event_type Costante: GENERIC_EVENT
N/D metadata.product_name Costante: TREND VISION ONE ACTIVITY
N/D metadata.vendor_name Costante: TREND VISION ONE ACTIVITY
N/D network.http.parsed_user_agent Costante: parseduseragent
N/D network.http.response_code Costante: respCode
N/D principal.process.integrity_level_rid Costante: integrityLevel
N/D principal.process.parent_process.integrity_level_rid Costante: parentIntegrityLevel
N/D principal.process.pid Costante: processPid

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.