Trend Micro Vision One アクティビティ ログを収集する

以下でサポートされています。

このドキュメントでは、AWS S3 を使用して Trend Micro Vision One アクティビティ ログを Google Security Operations に取り込む方法について説明します。パーサーは、Trend Micro Vision One アクティビティ ログを JSON 形式から統合データモデル（UDM）に変換します。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Trend Micro Vision One への特権アクセス。

Trend Micro Vision One でロギングを構成する

  1. Trend Micro Vision One コンソールにログインします。
  2. [Workflow and Automation] > [Third-Party Integration] に移動します。
  3. [Google Security Operations SIEM] をクリックします。
  4. [アクセスキー] で [キーを生成] をクリックします。
  5. アクセスキー ID とシークレット アクセスキーをコピーして保存します。
  6. [データ転送] で、[アクティビティ データ] の横にある切り替えボタンを有効にします。
  7. S3 URI が生成され、対応する S3 バケットへのデータの送信が開始されます。
  8. S3 URI をコピーして安全な場所に保存します。
  9. （省略可）: イベントとアクティビティのデータの場合は、[編集] をクリックしてデータのスコープを変更します（スコープを変更しても、生成された S3 URI は変更されません）。

フィードを設定する

フィードを構成する手順は次のとおりです。

  1. [設定] > [データ管理] > [フィード] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [フィード] に移動します。
  2. [Add New Feed] をクリックします。
  3. 次のページで、[単一のフィードを構成する] をクリックします。
  4. [フィード名] フィールドに、フィードの名前を入力します（例: Trend Micro Vision One アクティビティ ログ）。
  5. [ソースタイプ] として [Amazon S3 V2] を選択します。
  6. [ログタイプ] として [Trend Micro Vision One Activity] を選択します。
  7. [次へ] をクリックします。

  8. 次の入力パラメータの値を指定します。

    • S3 URI: バケット URI（形式は s3://log-bucket-name/）。次のように置き換えます。
      • log-bucket-name: バケットの名前。.
    • ソース削除オプション: [ファイルを削除しない] を選択します。S3 バケット内のデータは 7 日間保持された後、パージされます。
    • ファイルの最長存続期間: 過去数日間に変更されたファイルが含まれます。デフォルトは 180 日です。
    • アクセスキー ID: S3 バケットにアクセスできるユーザー アクセスキー。
    • シークレット アクセスキー: S3 バケットにアクセスできるユーザーのシークレット キー。

  9. [次へ] をクリックします。

  10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
fileName about.file.names 統合済み
_field additional.fields 統合済み
apiVersion_label additional.fields 統合済み
appLabel_label additional.fields 統合済み
app_label additional.fields 統合済み
application_label additional.fields 統合済み
attachmentFileSizes_label additional.fields 統合済み
attachmentMd5_label additional.fields 統合済み
attachmentSha1_label additional.fields 統合済み
attachmentSha256_label additional.fields 統合済み
awsRegion_label additional.fields 統合済み
clusterId_label additional.fields 統合済み
clusterName_label additional.fields 統合済み
eventID_label additional.fields 統合済み
groupId_label additional.fields 統合済み
id_label additional.fields 統合済み
idpId_label additional.fields 統合済み
k8sNamespace_label additional.fields 統合済み
name_label additional.fields 統合済み
productCode_label additional.fields 統合済み
recipientAccountId_label additional.fields 統合済み
spamResultHeader_label additional.fields 統合済み
spamRidHeader_label additional.fields 統合済み
vpcEndpointId_label additional.fields 統合済み
remarks metadata.description 直接マッピングされます。
eventTime metadata.event_timestamp UNIX_MS として解析
logReceivedTime metadata.event_timestamp UNIX_MS として解析
objectFileModifiedTime metadata.event_timestamp UNIX_MS として解析
objectFirstSeen metadata.event_timestamp UNIX_MS として解析
objectLastSeen metadata.event_timestamp UNIX_MS として解析
srcFileModifiedTime metadata.event_timestamp UNIX_MS として解析
srcFirstSeen metadata.event_timestamp UNIX_MS として解析
srcLastSeen metadata.event_timestamp UNIX_MS として解析
has_email metadata.event_type マッピング済み: true → EMAIL_TRANSACTION
has_network metadata.event_type マッピング済み: true → NETWORK_UNCATEGORIZED
has_principal metadata.event_type マッピング済み: true → FILE_UNCATEGORIZED、true → NETWORK_CONNECTION、true → STATUS_UPDATE
has_process metadata.event_type マッピング済み: true → PROCESS_UNCATEGORIZED
has_registry metadata.event_type マッピング済み: true → REGISTRY_UNCATEGORIZED
has_user metadata.event_type マッピング済み: true → USER_UNCATEGORIZED
eventName metadata.product_event_type 直接マッピングされます。
eventType metadata.product_event_type 直接マッピングされます。
scanType metadata.product_event_type 直接マッピングされます。
msgUuid metadata.product_log_id 直接マッピングされます。
uuid metadata.product_log_id 直接マッピングされます。
idpName metadata.product_name 直接マッピングされます。
pname metadata.product_name 直接マッピングされます。
pver metadata.product_version 直接マッピングされます。
protocol network.application_protocol 直接マッピングされます。
version network.application_protocol_version 直接マッピングされます。
mailBccAddr network.email.bcc 統合済み
mailccAddr network.email.cc 統合済み
mailFromAddresses.0 network.email.from 直接マッピングされます。
suser network.email.from 直接マッピングされます。
mailMsgId network.email.mail_id 直接マッピングされます。
msgId network.email.mail_id 直接マッピングされます。
mailReplyToAddr network.email.reply_to 直接マッピングされます。
mailMsgSubject network.email.subject 統合済み
duser network.email.to 統合済み
mailToAddr network.email.to 統合済み
requestMethod network.http.method 直接マッピングされます。
userAgent network.http.parsed_user_agent 直接マッピングされます。
httpReferer network.http.referral_url 直接マッピングされます。
userAgent network.http.user_agent 直接マッピングされます。
responseSize network.received_bytes 直接マッピングされます。
requestSize network.sent_bytes 直接マッピングされます。
duration network.session_duration.seconds 直接マッピングされます。
tlsSelectedCipher network.tls.cipher 直接マッピングされます。
clientTls network.tls.version 直接マッピングされます。
downstreamTls network.tls.version 直接マッピングされます。
clientId principal.asset.asset_id 直接マッピングされます。
deviceGUID principal.asset.asset_id 直接マッピングされます。
endpointGuid principal.asset.asset_id 直接マッピングされます。
clientDisplayName_label principal.asset.attribute.labels 統合済み
clientOS_label principal.asset.attribute.labels 統合済み
hardware principal.asset.hardware 統合済み
endpointHostName principal.asset.hostname 直接マッピングされます。
sender principal.asset.hostname 直接マッピングされます。
ipAddress principal.asset.ip 統合済み
srcIp principal.asset.ip 統合済み
tmpIp principal.asset.ip 統合済み
tmpMac principal.asset.mac 統合済み
hostName principal.domain.name 直接マッピングされます。
endpointHostName principal.hostname 直接マッピングされます。
sender principal.hostname 直接マッピングされます。
sourceIPAddress principal.ip 統合済み
srcIp principal.ip 統合済み
tmpIp principal.ip 統合済み
ip_location principal.ip_location 統合済み
srcLocation principal.location.country_or_region 直接マッピングされます。
tmpMac principal.mac 統合済み
processFilePath principal.process.file.full_path 直接マッピングされます。
processFileHashMd5 principal.process.file.md5 直接マッピングされます。
processName principal.process.file.names 統合済み
processFileHashSha1 principal.process.file.sha1 直接マッピングされます。
processFileHashSha256 principal.process.file.sha256 直接マッピングされます。
parentCmd principal.process.parent_process.command_line 直接マッピングされます。
parentFilePath principal.process.parent_process.file.full_path 直接マッピングされます。
parentFileHashMd5 principal.process.parent_process.file.md5 直接マッピングされます。
parentName principal.process.parent_process.file.names 統合済み
parentFileHashSha1 principal.process.parent_process.file.sha1 直接マッピングされます。
parentFileHashSha256 principal.process.parent_process.file.sha256 直接マッピングされます。
parentPid principal.process.parent_process.pid 直接マッピングされます。
uuid_label principal.resource.attribute.labels 統合済み
userId principal.user.product_object_id 直接マッピングされます。
userDisplayName principal.user.user_display_name 直接マッピングされます。
objectUser principal.user.userid 直接マッピングされます。
principalName principal.user.userid 直接マッピングされます。
mailbox security_result.about.email 直接マッピングされます。
act security_result.action_details 直接マッピングされます。
urlCat security_result.category_details 統合済み
_field security_result.detection_fields 統合済み
action_label security_result.detection_fields 統合済み
detectionType_label security_result.detection_fields 統合済み
eventSourceType_label security_result.detection_fields 統合済み
key security_result.detection_fields マッピング済み: "failedHTTPSInspection", "serverProtocol", "score" → _field
mailDirection_label security_result.detection_fields 統合済み
type_label security_result.detection_fields 統合済み
mailScore security_result.risk_score 名前変更 / マッピング
policyUuid security_result.rule_id 直接マッピングされます。
ruleId security_result.rule_id 直接マッピングされます。
ruleUuid security_result.rule_id 直接マッピングされます。
ruleName security_result.rule_name 直接マッピングされます。
ruleType security_result.rule_type 直接マッピングされます。
filterRiskLevel security_result.severity_details 直接マッピングされます。
deliveryStatus security_result.summary 直接マッピングされます。
malName security_result.threat_name 直接マッピングされます。
source src 名前変更 / マッピング
target_udm target 名前変更 / マッピング
なし metadata.event_type 定数: GENERIC_EVENT
なし metadata.product_name 定数: TREND VISION ONE ACTIVITY
なし metadata.vendor_name 定数: TREND VISION ONE ACTIVITY
なし network.http.parsed_user_agent 定数: parseduseragent
なし network.http.response_code 定数: respCode
なし principal.process.integrity_level_rid 定数: integrityLevel
なし principal.process.parent_process.integrity_level_rid 定数: parentIntegrityLevel
なし principal.process.pid 定数: processPid

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。