Collecter les journaux des techniques d'attaque observées par Trend Micro Vision One

Compatible avec :

Ce document explique comment ingérer les journaux des techniques d'attaque observées de Trend Micro Vision One dans Google Security Operations à l'aide d'AWS S3. L'analyseur transforme les journaux du format JSON en un modèle de données unifié (UDM).

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Instance Google SecOps
  • Accès privilégié à Trend Micro Vision One

Configurer la journalisation sur Trend Micro Vision One

  1. Connectez-vous à la console Trend Micro Vision One.
  2. Accédez à Workflow et automatisation > Intégration tierce.
  3. Cliquez sur Google Security Operations SIEM.
  4. Sous Clé d'accès, cliquez sur Générer une clé.
  5. Copiez et enregistrez l'ID de clé d'accès et la clé d'accès secrète.
  6. Sous Transfert de données, activez le bouton à côté de Techniques d'attaque observées.
  7. Un URI S3 est généré et les données commencent à être envoyées au bucket S3 correspondant.
  8. Copiez l'URL S3 et enregistrez-la pour une utilisation ultérieure.

Configurer des flux

Pour configurer un flux, procédez comme suit :

  1. Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
  2. Cliquez sur Ajouter un flux d'actualités.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Trend Micro Vision One Observed Attack Techniques Logs).
  5. Sélectionnez Amazon S3 V2 comme Type de source.
  6. Sélectionnez Trend Micro Vision One Observed Attack Techniques comme type de journal.
  7. Cliquez sur Suivant.

  8. Spécifiez les valeurs des paramètres d'entrée suivants :

    • URI S3 : URI du bucket (le format doit être s3://log-bucket-name/). Remplacez les éléments suivants :
      • log-bucket-name : nom du bucket.
    • Options de suppression de la source : sélectionnez Ne jamais supprimer les fichiers. Les données du bucket S3 sont conservées pendant sept jours avant d'être purgées.
    • Âge maximal du fichier : inclut les fichiers modifiés au cours d'un certain nombre de jours. La valeur par défaut est de 180 jours.
    • ID de clé d'accès : clé d'accès utilisateur permettant d'accéder au bucket S3.
    • Clé d'accès secrète : clé secrète de l'utilisateur ayant accès au bucket S3.

  9. Cliquez sur Suivant.

  10. Vérifiez la configuration de votre nouveau flux d'actualités sur l'écran Finaliser, puis cliquez sur Envoyer.

Table de mappage UDM

Champ du journal mappage UDM Logique
_field additional.fields Fusionné
onefield additional.fields Fusionné
detectionTime metadata.event_timestamp Analysé en tant que ISO8601
object_File_Creation metadata.event_timestamp Analysé en tant que UNIX_MS
parent_File_Creation metadata.event_timestamp Analysé en tant que UNIX_MS
process_File_Creation metadata.event_timestamp Analysé en tant que UNIX_MS
v metadata.event_timestamp Analysé en tant que UNIX_MS
has_principal metadata.event_type Mappé : true → STATUS_UPDATE
has_user metadata.event_type Mappé : true → USER_UNCATEGORIZED
v metadata.product_event_type Mappage direct
v metadata.product_log_id Mappage direct
v metadata.product_version Mappage direct
v network.parent_session_id Mappage direct
v network.session_id Mappage direct
v principal.administrative_domain Mappage direct
endpoint.guid principal.asset.asset_id Mappage direct
endpoint.name principal.asset.hostname Mappage direct
ip principal.asset.ip Fusionné
k principal.asset.ip Mappé : `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vIp principal.asset.ip Fusionné
k principal.asset.mac Mappé : `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vmac principal.asset.mac Fusionné
v principal.asset.type Mappage direct
endpoint.name principal.hostname Mappage direct
ip principal.ip Fusionné
k principal.ip Mappé : `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vIp principal.ip Fusionné
k principal.mac Mappé : `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vmac principal.mac Fusionné
k principal.platform Mapped: osName → LINUX, osName → WINDOWS, osName → MAC
v principal.platform Mappé : (?i)Linux → LINUX, (?i)Windows → WINDOWS, (?i)mac/ios → MAC
v principal.platform_patch_level Mappage direct
v principal.platform_version Mappage direct
highlight.value principal.process.command_line Mappage direct
highlight.value principal.process.file.full_path Mappage direct
v principal.process.file.md5 Mappage direct
k principal.process.file.names Mappé : "processName","processFileOriginalName" → v
v principal.process.file.names Fusionné
v principal.process.file.sha1 Mappage direct
v principal.process.file.sha256 Mappage direct
process_signers principal.process.file.signature_info.sigcheck.signers Fusionné
k principal.process.file.size Mappé : processFileSize → uinteger
v principal.process.file.size Mappage direct
k principal.process.integrity_level_rid Mappé : integrityLevel → uinteger, integrityLevel → v
v principal.process.integrity_level_rid Mappage direct
highlight.value principal.process.parent_process.command_line Mappage direct
v principal.process.parent_process.file.full_path Mappage direct
v principal.process.parent_process.file.md5 Mappage direct
k principal.process.parent_process.file.names Mappé : "parentName","parentFileOriginalName" → v
v principal.process.parent_process.file.names Fusionné
v principal.process.parent_process.file.sha1 Mappage direct
v principal.process.parent_process.file.sha256 Mappage direct
parent_signers principal.process.parent_process.file.signature_info.sigcheck.signers Fusionné
k principal.process.parent_process.file.size Mappé : parentFileSize → uinteger
v principal.process.parent_process.file.size Mappage direct
k principal.process.parent_process.integrity_level_rid Mappé : parentIntegrityLevel → uinteger, parentIntegrityLevel → v
v principal.process.parent_process.integrity_level_rid Mappage direct
v principal.process.parent_process.pid Mappage direct
v principal.process.pid Mappage direct
k principal.user.group_identifiers Mappé : `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vuser principal.user.group_identifiers Fusionné
k principal.user.managers Mappé : parentUser → user_manager
user_manager principal.user.managers Fusionné
entityName principal.user.userid Mappage direct
v principal.user.userid Mappage direct
vuser principal.user.userid Mappage direct
sec_result security_result Fusionné
one_tactic security_result.attack_details.tactics Fusionné
one_tech security_result.attack_details.techniques Fusionné
fl.description security_result.description Mappage direct
df security_result.detection_fields Fusionné
highlight_field security_result.detection_fields Fusionné
master_label security_result.detection_fields Fusionné
riskLevel_label security_result.detection_fields Fusionné
type_label security_result.detection_fields Fusionné
fl.id security_result.rule_id Mappage direct
fl.name security_result.rule_name Mappage direct
fl.unique_id security_result.rule_version Mappage direct
flevel security_result.severity Mappé : INFO → INFORMATIONAL
object_signers target.file.signature_info.sigcheck.signers Fusionné
k target.file.size Mappé : objectFileSize → uinteger
v target.file.size Mappage direct
highlight.value target.process.command_line Mappage direct
highlight.value target.process.file.full_path Mappage direct
v target.process.file.md5 Mappage direct
k target.process.file.names Mappé : "objectName","objectFileOriginalName" → v
v target.process.file.names Fusionné
v target.process.file.sha1 Mappage direct
v target.process.file.sha256 Mappage direct
k target.process.integrity_level_rid Mappé : objectIntegrityLevel → uinteger, objectIntegrityLevel → v
v target.process.integrity_level_rid Mappage direct
v target.process.pid Mappage direct
v target.registry.registry_key Mappage direct
v target.registry.registry_value_data Mappage direct
v target.registry.registry_value_name Mappage direct
k target.user.group_identifiers Mappé : `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
v target.user.group_identifiers Fusionné
vguser target.user.group_identifiers Fusionné
v target.user.userid Mappage direct
N/A metadata.event_type Constante : GENERIC_EVENT
N/A metadata.product_name Constante : TREND VISION ONE OAT
N/A metadata.vendor_name Constante : TREND VISION ONE OAT
N/A principal.platform Constante : LINUX
N/A principal.process.integrity_level_rid Constante : v
N/A principal.process.parent_process.integrity_level_rid Constante : v
N/A security_result.severity Constante : INFORMATIONAL
N/A target.process.integrity_level_rid Constante : v

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.