Trend Micro Vision One-Container-Sicherheitslückenlogs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Trend Micro Vision One Container Vulnerability-Logs mit AWS S3 in Google Security Operations aufnehmen. Der Parser wandelt Trend Micro Vision One Container Vulnerability-Logs aus dem JSON-Format in ein einheitliches Datenmodell (UDM) um.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Google SecOps-Instanz
  • Privilegierter Zugriff auf Trend Micro Vision One

Logging in Trend Micro Vision One konfigurieren

  1. Melden Sie sich in der Trend Micro Vision One-Konsole an.
  2. Gehen Sie zu Workflow und Automatisierung > Integration von Drittanbietern.
  3. Klicken Sie auf Google Security Operations SIEM.
  4. Klicken Sie unter Zugriffsschlüssel auf Schlüssel generieren.
  5. Kopieren und speichern Sie die Zugriffsschlüssel-ID und den geheimen Zugriffsschlüssel.
  6. Aktivieren Sie unter Datenübertragung die Option Container-Sicherheitslückendaten.
  7. Ein S3-URI wird generiert und die Daten werden an den entsprechenden S3-Bucket gesendet.
  8. Kopieren und speichern Sie die S3-URL für die spätere Verwendung.

Feeds einrichten

So konfigurieren Sie einen Feed:

  1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Trend Micro Vision One Container Vulnerability Logs.
  5. Wählen Sie als Quelltyp Amazon S3 V2 aus.
  6. Wählen Sie Trend Micro Vision One Container Vulnerability als Logtyp aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    • S3-URI: Der Bucket-URI (Format: s3://log-bucket-name/). Ersetzen Sie Folgendes:
      • log-bucket-name: der Name des Buckets.
    • Optionen zum Löschen von Quellen: Wählen Sie Dateien nie löschen aus. Daten im S3-Bucket werden 7 Tage lang aufbewahrt, bevor sie gelöscht werden.
    • Maximales Dateialter: Es werden Dateien berücksichtigt, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
    • Zugriffsschlüssel-ID: Der Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket.
    • Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
clusterID_label additional.fields Zusammengeführt
clusterName_label additional.fields Zusammengeführt
imageID_label additional.fields Zusammengeführt
registry_label additional.fields Zusammengeführt
repository_label additional.fields Zusammengeführt
scantime metadata.event_timestamp Geparst als UNIX_MS
scanID metadata.product_log_id Direkt zugeordnet
vul principal.asset.vulnerabilities Zusammengeführt
– metadata.event_type Konstante: GENERIC_EVENT
– metadata.product_name Konstante: TREND VISION ONE CONTAINER VULNERABILITIES
– metadata.vendor_name Konstante: TREND VISION ONE CONTAINER VULNERABILITIES

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten