איסוף יומנים של Observed Attack Techniques ב-Trend Micro Vision One

נתמך ב:

במאמר הזה מוסבר איך להטמיע ב-Google Security Operations יומנים של Observed Attack Techniques מ-Trend Micro Vision One באמצעות AWS S3. המנתח ממיר את היומנים מפורמט JSON למודל נתונים מאוחד (UDM).

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מופע של Google SecOps
  • גישה מיוחדת ל-Trend Micro Vision One

הגדרת רישום ביומן ב-Trend Micro Vision One

  1. נכנסים למסוף Trend Micro Vision One.
  2. עוברים אל Workflow and Automation (תהליך עבודה ואוטומציה) > Third-Party Integration (שילוב עם צד שלישי).
  3. לוחצים על Google Security Operations SIEM.
  4. בקטע מפתח גישה, לוחצים על יצירת מפתח.
  5. מעתיקים ושומרים את המזהה של מפתח הגישה ואת מפתח הגישה הסודי.
  6. בקטע העברת נתונים, מפעילים את המתג לצד שיטות תקיפה שנצפו.
  7. המערכת יוצרת מזהה URI של S3 ומתחילה לשלוח את הנתונים לקטגוריית S3 המתאימה.
  8. מעתיקים ושומרים את כתובת ה-URL של S3 לשימוש במועד מאוחר יותר.

הגדרת פידים

כדי להגדיר פיד:

  1. עוברים אל הגדרות > ניהול נתונים > פידים. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פידים.
  2. לוחצים על הוספת פיד חדש.
  3. בדף הבא, לוחצים על הגדרת פיד יחיד.
  4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Trend Micro Vision One Observed Attack Techniques Logs).
  5. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
  6. בוחרים באפשרות Trend Micro Vision One Observed Attack Techniques בתור Log type.
  7. לוחצים על הבא.

  8. מציינים ערכים לפרמטרים הבאים של הקלט:

    • ‫S3 URI: ה-URI של הקטגוריה (הפורמט צריך להיות: s3://log-bucket-name/). מחליפים את הערכים הבאים:
      • ‫log-bucket-name: שם הקטגוריה.
    • אפשרויות למחיקת מקור: בוחרים באפשרות Never delete files. הנתונים בקטגוריית S3 נשמרים למשך 7 ימים לפני שהם נמחקים.
    • גיל הקובץ המקסימלי: כולל קבצים ששונו במספר הימים האחרונים. ברירת המחדל היא 180 ימים.
    • מזהה מפתח הגישה: מפתח גישה של משתמש עם גישה לקטגוריית S3.
    • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3.

  9. לוחצים על הבא.

  10. בודקים את הגדרות הפיד החדש במסך סיום ולוחצים על שליחה.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
_field additional.fields ממוזג
onefield additional.fields ממוזג
detectionTime metadata.event_timestamp נותח בתור ISO8601
object_File_Creation metadata.event_timestamp נותח בתור UNIX_MS
parent_File_Creation metadata.event_timestamp נותח בתור UNIX_MS
process_File_Creation metadata.event_timestamp נותח בתור UNIX_MS
v metadata.event_timestamp נותח בתור UNIX_MS
has_principal metadata.event_type מופה: true ← STATUS_UPDATE
has_user metadata.event_type מופה: true ← USER_UNCATEGORIZED
v metadata.product_event_type מיפוי ישיר
v metadata.product_log_id מיפוי ישיר
v metadata.product_version מיפוי ישיר
v network.parent_session_id מיפוי ישיר
v network.session_id מיפוי ישיר
v principal.administrative_domain מיפוי ישיר
endpoint.guid principal.asset.asset_id מיפוי ישיר
endpoint.name principal.asset.hostname מיפוי ישיר
ip principal.asset.ip ממוזג
k principal.asset.ip מופו: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vIp principal.asset.ip ממוזג
k principal.asset.mac מופו: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vmac principal.asset.mac ממוזג
v principal.asset.type מיפוי ישיר
endpoint.name principal.hostname מיפוי ישיר
ip principal.ip ממוזג
k principal.ip מופו: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vIp principal.ip ממוזג
k principal.mac מופו: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vmac principal.mac ממוזג
k principal.platform מיפוי: osName ← LINUX, osName ← WINDOWS, osName ← MAC
v principal.platform מופו: (?i)Linux ← LINUX, (?i)Windows ← WINDOWS, (?i)mac/ios ← MAC
v principal.platform_patch_level מיפוי ישיר
v principal.platform_version מיפוי ישיר
highlight.value principal.process.command_line מיפוי ישיר
highlight.value principal.process.file.full_path מיפוי ישיר
v principal.process.file.md5 מיפוי ישיר
k principal.process.file.names מופה: "processName","processFileOriginalName" ← v
v principal.process.file.names ממוזג
v principal.process.file.sha1 מיפוי ישיר
v principal.process.file.sha256 מיפוי ישיר
process_signers principal.process.file.signature_info.sigcheck.signers ממוזג
k principal.process.file.size מופה: processFileSize ← uinteger
v principal.process.file.size מיפוי ישיר
k principal.process.integrity_level_rid מופה: integrityLevel ← uinteger, integrityLevel ← v
v principal.process.integrity_level_rid מיפוי ישיר
highlight.value principal.process.parent_process.command_line מיפוי ישיר
v principal.process.parent_process.file.full_path מיפוי ישיר
v principal.process.parent_process.file.md5 מיפוי ישיר
k principal.process.parent_process.file.names מופה: "parentName","parentFileOriginalName" ← v
v principal.process.parent_process.file.names ממוזג
v principal.process.parent_process.file.sha1 מיפוי ישיר
v principal.process.parent_process.file.sha256 מיפוי ישיר
parent_signers principal.process.parent_process.file.signature_info.sigcheck.signers ממוזג
k principal.process.parent_process.file.size מופה: parentFileSize ← uinteger
v principal.process.parent_process.file.size מיפוי ישיר
k principal.process.parent_process.integrity_level_rid מופה: parentIntegrityLevel ← uinteger, parentIntegrityLevel ← v
v principal.process.parent_process.integrity_level_rid מיפוי ישיר
v principal.process.parent_process.pid מיפוי ישיר
v principal.process.pid מיפוי ישיר
k principal.user.group_identifiers מופו: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vuser principal.user.group_identifiers ממוזג
k principal.user.managers מופה: parentUser ← user_manager
user_manager principal.user.managers ממוזג
entityName principal.user.userid מיפוי ישיר
v principal.user.userid מיפוי ישיר
vuser principal.user.userid מיפוי ישיר
sec_result security_result ממוזג
one_tactic security_result.attack_details.tactics ממוזג
one_tech security_result.attack_details.techniques ממוזג
fl.description security_result.description מיפוי ישיר
df security_result.detection_fields ממוזג
highlight_field security_result.detection_fields ממוזג
master_label security_result.detection_fields ממוזג
riskLevel_label security_result.detection_fields ממוזג
type_label security_result.detection_fields ממוזג
fl.id security_result.rule_id מיפוי ישיר
fl.name security_result.rule_name מיפוי ישיר
fl.unique_id security_result.rule_version מיפוי ישיר
flevel security_result.severity מופה: INFO ← INFORMATIONAL
object_signers target.file.signature_info.sigcheck.signers ממוזג
k target.file.size מופה: objectFileSize ← uinteger
v target.file.size מיפוי ישיר
highlight.value target.process.command_line מיפוי ישיר
highlight.value target.process.file.full_path מיפוי ישיר
v target.process.file.md5 מיפוי ישיר
k target.process.file.names מופה: "objectName","objectFileOriginalName" ← v
v target.process.file.names ממוזג
v target.process.file.sha1 מיפוי ישיר
v target.process.file.sha256 מיפוי ישיר
k target.process.integrity_level_rid מופה: objectIntegrityLevel ← uinteger, objectIntegrityLevel ← v
v target.process.integrity_level_rid מיפוי ישיר
v target.process.pid מיפוי ישיר
v target.registry.registry_key מיפוי ישיר
v target.registry.registry_value_data מיפוי ישיר
v target.registry.registry_value_name מיפוי ישיר
k target.user.group_identifiers מופו: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
v target.user.group_identifiers ממוזג
vguser target.user.group_identifiers ממוזג
v target.user.userid מיפוי ישיר
לא רלוונטי metadata.event_type קבוע: GENERIC_EVENT
לא רלוונטי metadata.product_name קבוע: TREND VISION ONE OAT
לא רלוונטי metadata.vendor_name קבוע: TREND VISION ONE OAT
לא רלוונטי principal.platform קבוע: LINUX
לא רלוונטי principal.process.integrity_level_rid קבוע: v
לא רלוונטי principal.process.parent_process.integrity_level_rid קבוע: v
לא רלוונטי security_result.severity קבוע: INFORMATIONAL
לא רלוונטי target.process.integrity_level_rid קבוע: v

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.