Raccogli i log delle vulnerabilità dei container di Trend Micro Vision One

Supportata in:

Questo documento spiega come importare i log delle vulnerabilità dei container di Trend Micro Vision One in Google Security Operations utilizzando AWS S3. Il parser trasforma i log delle vulnerabilità dei container Trend Micro Vision One dal formato JSON a un modello UDM (Unified Data Model).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Istanza Google SecOps
  • Accesso privilegiato a Trend Micro Vision One

Configura il logging su Trend Micro Vision One

  1. Accedi alla console Trend Micro Vision One.
  2. Vai a Workflow and Automation (Flusso di lavoro e automazione) > Third-Party Integration (Integrazione di terze parti).
  3. Fai clic su Google Security Operations SIEM.
  4. In Chiave di accesso, fai clic su Genera chiave.
  5. Copia e salva l'ID della chiave di accesso e la chiave di accesso segreta.
  6. In Trasferimento di dati, attiva l'opzione accanto a Dati sulle vulnerabilità dei container.
  7. Viene generato un URI S3 e i dati iniziano a essere inviati al bucket S3 corrispondente.
  8. Copia e salva l'URL S3 per utilizzarlo in un secondo momento.

Configura i feed

Per configurare un feed:

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad es. Trend Micro Vision One Container Vulnerability Logs).
  5. Seleziona Amazon S3 V2 come Tipo di origine.
  6. Seleziona Trend Micro Vision One Container Vulnerability come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • URI S3: l'URI del bucket (il formato deve essere: s3://log-bucket-name/). Sostituisci quanto segue:
      • log-bucket-name: il nome del bucket.
    • Opzioni di eliminazione dell'origine: seleziona Non eliminare mai i file. I dati nel bucket S3 vengono conservati per 7 giorni prima di essere eliminati.
    • Età massima dei file: include i file modificati negli ultimi giorni. Il valore predefinito è 180 giorni.
    • ID chiave di accesso: chiave di accesso utente con accesso al bucket S3.
    • Chiave di accesso segreta: chiave segreta dell'utente con accesso al bucket S3.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza e poi fai clic su Invia.

Tabella di mappatura UDM

Campo del log mappatura UDM Logica
clusterID_label additional.fields Unita
clusterName_label additional.fields Unita
imageID_label additional.fields Unita
registry_label additional.fields Unita
repository_label additional.fields Unita
scantime metadata.event_timestamp Analizzato come UNIX_MS
scanID metadata.product_log_id Mappatura diretta
vul principal.asset.vulnerabilities Unita
N/D metadata.event_type Costante: GENERIC_EVENT
N/D metadata.product_name Costante: TREND VISION ONE CONTAINER VULNERABILITIES
N/D metadata.vendor_name Costante: TREND VISION ONE CONTAINER VULNERABILITIES

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.