Mengumpulkan log Teknik Serangan yang Teramati Trend Micro Vision One

Didukung di:

Dokumen ini menjelaskan cara menyerap log Teknik Serangan yang Teramati Trend Micro Vision One ke Google Security Operations menggunakan AWS S3. Parser mengubah log dari format JSON menjadi Model Data Terpadu (UDM).

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Akses istimewa ke Trend Micro Vision One

Mengonfigurasi Logging di Trend Micro Vision One

  1. Login ke konsol Trend Micro Vision One.
  2. Buka Workflow and Automation > Third-Party Integration.
  3. Klik Google Security Operations SIEM.
  4. Di bagian Kunci akses, klik Buat kunci.
  5. Salin dan simpan ID kunci akses dan kunci akses rahasia.
  6. Di bagian Transfer data, aktifkan tombol di samping Teknik Serangan yang Teramati.
  7. URI S3 dibuat dan data mulai dikirim ke bucket S3 yang sesuai.
  8. Salin dan simpan URL S3 untuk digunakan nanti.

Menyiapkan feed

Untuk mengonfigurasi feed, ikuti langkah-langkah berikut:

  1. Buka Setelan SIEM > Feed.
  2. Klik Tambahkan Feed Baru.
  3. Di halaman berikutnya, klik Konfigurasi satu feed.
  4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Trend Micro Vision One Observed Attack Techniques Logs).
  5. Pilih Amazon S3 V2 sebagai Jenis sumber.
  6. Pilih Trend Micro Vision One Observed Attack Techniques sebagai Log type.
  7. Klik Berikutnya.

  8. Tentukan nilai untuk parameter input berikut:

    • S3 URI: URI bucket (formatnya harus: s3://log-bucket-name/). Ganti berikut ini:
      • log-bucket-name: nama bucket.
    • Opsi penghapusan sumber: Pilih Jangan pernah hapus file. Data di bucket S3 dipertahankan selama 7 hari sebelum dihapus.
    • Usia File Maksimum: Menyertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.
    • ID Kunci Akses: Kunci akses pengguna dengan akses ke bucket S3.
    • Secret Access Key: Kunci rahasia pengguna dengan akses ke bucket S3.

  9. Klik Berikutnya.

  10. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Tabel pemetaan UDM

Kolom log Pemetaan UDM Logika
_field additional.fields Digabung
onefield additional.fields Digabung
detectionTime metadata.event_timestamp Diuraikan sebagai ISO8601
object_File_Creation metadata.event_timestamp Diuraikan sebagai UNIX_MS
parent_File_Creation metadata.event_timestamp Diuraikan sebagai UNIX_MS
process_File_Creation metadata.event_timestamp Diuraikan sebagai UNIX_MS
v metadata.event_timestamp Diuraikan sebagai UNIX_MS
has_principal metadata.event_type Dipetakan: true → STATUS_UPDATE
has_user metadata.event_type Dipetakan: true → USER_UNCATEGORIZED
v metadata.product_event_type Dipetakan secara langsung
v metadata.product_log_id Dipetakan secara langsung
v metadata.product_version Dipetakan secara langsung
v network.parent_session_id Dipetakan secara langsung
v network.session_id Dipetakan secara langsung
v principal.administrative_domain Dipetakan secara langsung
endpoint.guid principal.asset.asset_id Dipetakan secara langsung
endpoint.name principal.asset.hostname Dipetakan secara langsung
ip principal.asset.ip Digabung
k principal.asset.ip Dipetakan: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vIp principal.asset.ip Digabung
k principal.asset.mac Dipetakan: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vmac principal.asset.mac Digabung
v principal.asset.type Dipetakan secara langsung
endpoint.name principal.hostname Dipetakan secara langsung
ip principal.ip Digabung
k principal.ip Dipetakan: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vIp principal.ip Digabung
k principal.mac Dipetakan: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vmac principal.mac Digabung
k principal.platform Dipetakan: osName → LINUX, osName → WINDOWS, osName → MAC
v principal.platform Dipetakan: (?i)Linux → LINUX, (?i)Windows → WINDOWS, (?i)mac/ios → MAC
v principal.platform_patch_level Dipetakan secara langsung
v principal.platform_version Dipetakan secara langsung
highlight.value principal.process.command_line Dipetakan secara langsung
highlight.value principal.process.file.full_path Dipetakan secara langsung
v principal.process.file.md5 Dipetakan secara langsung
k principal.process.file.names Dipetakan: "processName","processFileOriginalName" → v
v principal.process.file.names Digabung
v principal.process.file.sha1 Dipetakan secara langsung
v principal.process.file.sha256 Dipetakan secara langsung
process_signers principal.process.file.signature_info.sigcheck.signers Digabung
k principal.process.file.size Dipetakan: processFileSize → uinteger
v principal.process.file.size Dipetakan secara langsung
k principal.process.integrity_level_rid Dipetakan: integrityLevel → uinteger, integrityLevel → v
v principal.process.integrity_level_rid Dipetakan secara langsung
highlight.value principal.process.parent_process.command_line Dipetakan secara langsung
v principal.process.parent_process.file.full_path Dipetakan secara langsung
v principal.process.parent_process.file.md5 Dipetakan secara langsung
k principal.process.parent_process.file.names Dipetakan: "parentName","parentFileOriginalName" → v
v principal.process.parent_process.file.names Digabung
v principal.process.parent_process.file.sha1 Dipetakan secara langsung
v principal.process.parent_process.file.sha256 Dipetakan secara langsung
parent_signers principal.process.parent_process.file.signature_info.sigcheck.signers Digabung
k principal.process.parent_process.file.size Dipetakan: parentFileSize → uinteger
v principal.process.parent_process.file.size Dipetakan secara langsung
k principal.process.parent_process.integrity_level_rid Dipetakan: parentIntegrityLevel → uinteger, parentIntegrityLevel → v
v principal.process.parent_process.integrity_level_rid Dipetakan secara langsung
v principal.process.parent_process.pid Dipetakan secara langsung
v principal.process.pid Dipetakan secara langsung
k principal.user.group_identifiers Dipetakan: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vuser principal.user.group_identifiers Digabung
k principal.user.managers Dipetakan: parentUser → user_manager
user_manager principal.user.managers Digabung
entityName principal.user.userid Dipetakan secara langsung
v principal.user.userid Dipetakan secara langsung
vuser principal.user.userid Dipetakan secara langsung
sec_result security_result Digabung
one_tactic security_result.attack_details.tactics Digabung
one_tech security_result.attack_details.techniques Digabung
fl.description security_result.description Dipetakan secara langsung
df security_result.detection_fields Digabung
highlight_field security_result.detection_fields Digabung
master_label security_result.detection_fields Digabung
riskLevel_label security_result.detection_fields Digabung
type_label security_result.detection_fields Digabung
fl.id security_result.rule_id Dipetakan secara langsung
fl.name security_result.rule_name Dipetakan secara langsung
fl.unique_id security_result.rule_version Dipetakan secara langsung
flevel security_result.severity Dipetakan: INFO → INFORMATIONAL
object_signers target.file.signature_info.sigcheck.signers Digabung
k target.file.size Dipetakan: objectFileSize → uinteger
v target.file.size Dipetakan secara langsung
highlight.value target.process.command_line Dipetakan secara langsung
highlight.value target.process.file.full_path Dipetakan secara langsung
v target.process.file.md5 Dipetakan secara langsung
k target.process.file.names Dipetakan: "objectName","objectFileOriginalName" → v
v target.process.file.names Digabung
v target.process.file.sha1 Dipetakan secara langsung
v target.process.file.sha256 Dipetakan secara langsung
k target.process.integrity_level_rid Dipetakan: objectIntegrityLevel → uinteger, objectIntegrityLevel → v
v target.process.integrity_level_rid Dipetakan secara langsung
v target.process.pid Dipetakan secara langsung
v target.registry.registry_key Dipetakan secara langsung
v target.registry.registry_value_data Dipetakan secara langsung
v target.registry.registry_value_name Dipetakan secara langsung
k target.user.group_identifiers Dipetakan: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
v target.user.group_identifiers Digabung
vguser target.user.group_identifiers Digabung
v target.user.userid Dipetakan secara langsung
T/A metadata.event_type Konstanta: GENERIC_EVENT
T/A metadata.product_name Konstanta: TREND VISION ONE OAT
T/A metadata.vendor_name Konstanta: TREND VISION ONE OAT
T/A principal.platform Konstanta: LINUX
T/A principal.process.integrity_level_rid Konstanta: v
T/A principal.process.parent_process.integrity_level_rid Konstanta: v
T/A security_result.severity Konstanta: INFORMATIONAL
T/A target.process.integrity_level_rid Konstanta: v

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.