Protokolle zu beobachteten Angriffstechniken in Trend Micro Vision One erfassen
Unterstützt in:
Google SecOps
SIEM
In diesem Dokument wird beschrieben, wie Sie Trend Micro Vision One-Logs zu beobachteten Angriffstechniken mit AWS S3 in Google Security Operations aufnehmen. Der Parser wandelt die Logs vom JSON-Format in ein einheitliches Datenmodell (Unified Data Model, UDM) um.
Hinweis
Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:
- Google SecOps-Instanz
- Privilegierter Zugriff auf Trend Micro Vision One
Logging in Trend Micro Vision One konfigurieren
- Melden Sie sich in der Trend Micro Vision One-Konsole an.
- Rufen Sie Workflow und Automatisierung > Integration von Drittanbietern auf.
- Klicken Sie auf Google Security Operations SIEM.
- Klicken Sie unter Zugriffsschlüssel auf Schlüssel generieren.
- Kopieren und speichern Sie die Zugriffsschlüssel-ID und den geheimen Zugriffsschlüssel.
- Aktivieren Sie unter Datenübertragung den Schalter neben Beobachtete Angriffstechniken.
- Ein S3-URI wird generiert und die Daten werden an den entsprechenden S3-Bucket gesendet.
- Kopieren und speichern Sie die S3-URL für die spätere Verwendung.
Feeds einrichten
So konfigurieren Sie einen Feed:
- Rufen Sie die SIEM-Einstellungen > Feeds auf.
- Klicken Sie auf Neuen Feed hinzufügen.
- Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
- Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B.
Trend Micro Vision One Observed Attack Techniques Logs. - Wählen Sie Amazon S3 V2 als Quelltyp aus.
- Wählen Sie Trend Micro Vision One Observed Attack Techniques als Log type (Protokolltyp) aus.
- Klicken Sie auf Weiter.
Geben Sie Werte für die folgenden Eingabeparameter an:
- S3-URI: Der Bucket-URI (das Format sollte
s3://log-bucket-name/sein). Ersetzen Sie Folgendes:log-bucket-name: der Name des Buckets.
- Optionen zum Löschen von Quellen: Wählen Sie Dateien nie löschen aus. Daten im S3-Bucket werden 7 Tage lang aufbewahrt, bevor sie gelöscht werden.
- Maximales Dateialter: Enthält Dateien, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
- Zugriffsschlüssel-ID: Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket.
- Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.
- S3-URI: Der Bucket-URI (das Format sollte
Klicken Sie auf Weiter.
Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.
UDM-Zuordnungstabelle
| Logfeld | UDM-Zuordnung | Logik |
|---|---|---|
_field |
additional.fields |
Zusammengeführt |
onefield |
additional.fields |
Zusammengeführt |
detectionTime |
metadata.event_timestamp |
Als ISO8601 geparst |
object_File_Creation |
metadata.event_timestamp |
Als UNIX_MS geparst |
parent_File_Creation |
metadata.event_timestamp |
Als UNIX_MS geparst |
process_File_Creation |
metadata.event_timestamp |
Als UNIX_MS geparst |
v |
metadata.event_timestamp |
Als UNIX_MS geparst |
has_principal |
metadata.event_type |
Zugeordnet: true → STATUS_UPDATE |
has_user |
metadata.event_type |
Zugeordnet: true → USER_UNCATEGORIZED |
v |
metadata.product_event_type |
Direkt zugeordnet |
v |
metadata.product_log_id |
Direkt zugeordnet |
v |
metadata.product_version |
Direkt zugeordnet |
v |
network.parent_session_id |
Direkt zugeordnet |
v |
network.session_id |
Direkt zugeordnet |
v |
principal.administrative_domain |
Direkt zugeordnet |
endpoint.guid |
principal.asset.asset_id |
Direkt zugeordnet |
endpoint.name |
principal.asset.hostname |
Direkt zugeordnet |
ip |
principal.asset.ip |
Zusammengeführt |
k |
principal.asset.ip |
Zugeordnet: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",... |
vIp |
principal.asset.ip |
Zusammengeführt |
k |
principal.asset.mac |
Zugeordnet: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",... |
vmac |
principal.asset.mac |
Zusammengeführt |
v |
principal.asset.type |
Direkt zugeordnet |
endpoint.name |
principal.hostname |
Direkt zugeordnet |
ip |
principal.ip |
Zusammengeführt |
k |
principal.ip |
Zugeordnet: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",... |
vIp |
principal.ip |
Zusammengeführt |
k |
principal.mac |
Zugeordnet: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",... |
vmac |
principal.mac |
Zusammengeführt |
k |
principal.platform |
Zugeordnet: osName → LINUX, osName → WINDOWS, osName → MAC |
v |
principal.platform |
Zugeordnet: (?i)Linux → LINUX, (?i)Windows → WINDOWS, (?i)mac/ios → MAC |
v |
principal.platform_patch_level |
Direkt zugeordnet |
v |
principal.platform_version |
Direkt zugeordnet |
highlight.value |
principal.process.command_line |
Direkt zugeordnet |
highlight.value |
principal.process.file.full_path |
Direkt zugeordnet |
v |
principal.process.file.md5 |
Direkt zugeordnet |
k |
principal.process.file.names |
Zugeordnet: "processName","processFileOriginalName" → v |
v |
principal.process.file.names |
Zusammengeführt |
v |
principal.process.file.sha1 |
Direkt zugeordnet |
v |
principal.process.file.sha256 |
Direkt zugeordnet |
process_signers |
principal.process.file.signature_info.sigcheck.signers |
Zusammengeführt |
k |
principal.process.file.size |
Zugeordnet: processFileSize → uinteger |
v |
principal.process.file.size |
Direkt zugeordnet |
k |
principal.process.integrity_level_rid |
Zugeordnet: integrityLevel → uinteger, integrityLevel → v |
v |
principal.process.integrity_level_rid |
Direkt zugeordnet |
highlight.value |
principal.process.parent_process.command_line |
Direkt zugeordnet |
v |
principal.process.parent_process.file.full_path |
Direkt zugeordnet |
v |
principal.process.parent_process.file.md5 |
Direkt zugeordnet |
k |
principal.process.parent_process.file.names |
Zugeordnet: "parentName","parentFileOriginalName" → v |
v |
principal.process.parent_process.file.names |
Zusammengeführt |
v |
principal.process.parent_process.file.sha1 |
Direkt zugeordnet |
v |
principal.process.parent_process.file.sha256 |
Direkt zugeordnet |
parent_signers |
principal.process.parent_process.file.signature_info.sigcheck.signers |
Zusammengeführt |
k |
principal.process.parent_process.file.size |
Zugeordnet: parentFileSize → uinteger |
v |
principal.process.parent_process.file.size |
Direkt zugeordnet |
k |
principal.process.parent_process.integrity_level_rid |
Zugeordnet: parentIntegrityLevel → uinteger, parentIntegrityLevel → v |
v |
principal.process.parent_process.integrity_level_rid |
Direkt zugeordnet |
v |
principal.process.parent_process.pid |
Direkt zugeordnet |
v |
principal.process.pid |
Direkt zugeordnet |
k |
principal.user.group_identifiers |
Zugeordnet: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",... |
vuser |
principal.user.group_identifiers |
Zusammengeführt |
k |
principal.user.managers |
Zugeordnet: parentUser → user_manager |
user_manager |
principal.user.managers |
Zusammengeführt |
entityName |
principal.user.userid |
Direkt zugeordnet |
v |
principal.user.userid |
Direkt zugeordnet |
vuser |
principal.user.userid |
Direkt zugeordnet |
sec_result |
security_result |
Zusammengeführt |
one_tactic |
security_result.attack_details.tactics |
Zusammengeführt |
one_tech |
security_result.attack_details.techniques |
Zusammengeführt |
fl.description |
security_result.description |
Direkt zugeordnet |
df |
security_result.detection_fields |
Zusammengeführt |
highlight_field |
security_result.detection_fields |
Zusammengeführt |
master_label |
security_result.detection_fields |
Zusammengeführt |
riskLevel_label |
security_result.detection_fields |
Zusammengeführt |
type_label |
security_result.detection_fields |
Zusammengeführt |
fl.id |
security_result.rule_id |
Direkt zugeordnet |
fl.name |
security_result.rule_name |
Direkt zugeordnet |
fl.unique_id |
security_result.rule_version |
Direkt zugeordnet |
flevel |
security_result.severity |
Zugeordnet: INFO → INFORMATIONAL |
object_signers |
target.file.signature_info.sigcheck.signers |
Zusammengeführt |
k |
target.file.size |
Zugeordnet: objectFileSize → uinteger |
v |
target.file.size |
Direkt zugeordnet |
highlight.value |
target.process.command_line |
Direkt zugeordnet |
highlight.value |
target.process.file.full_path |
Direkt zugeordnet |
v |
target.process.file.md5 |
Direkt zugeordnet |
k |
target.process.file.names |
Zugeordnet: "objectName","objectFileOriginalName" → v |
v |
target.process.file.names |
Zusammengeführt |
v |
target.process.file.sha1 |
Direkt zugeordnet |
v |
target.process.file.sha256 |
Direkt zugeordnet |
k |
target.process.integrity_level_rid |
Zugeordnet: objectIntegrityLevel → uinteger, objectIntegrityLevel → v |
v |
target.process.integrity_level_rid |
Direkt zugeordnet |
v |
target.process.pid |
Direkt zugeordnet |
v |
target.registry.registry_key |
Direkt zugeordnet |
v |
target.registry.registry_value_data |
Direkt zugeordnet |
v |
target.registry.registry_value_name |
Direkt zugeordnet |
k |
target.user.group_identifiers |
Zugeordnet: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",... |
v |
target.user.group_identifiers |
Zusammengeführt |
vguser |
target.user.group_identifiers |
Zusammengeführt |
v |
target.user.userid |
Direkt zugeordnet |
| – | metadata.event_type |
Konstante: GENERIC_EVENT |
| – | metadata.product_name |
Konstante: TREND VISION ONE OAT |
| – | metadata.vendor_name |
Konstante: TREND VISION ONE OAT |
| – | principal.platform |
Konstante: LINUX |
| – | principal.process.integrity_level_rid |
Konstante: v |
| – | principal.process.parent_process.integrity_level_rid |
Konstante: v |
| – | security_result.severity |
Konstante: INFORMATIONAL |
| – | target.process.integrity_level_rid |
Konstante: v |
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten