Raccogliere i log delle tecniche di attacco osservate di Trend Micro Vision One
Supportato in:
Google SecOps
SIEM
Questo documento spiega come importare i log di Trend Micro Vision One Observed Attack Techniques in Google Security Operations utilizzando AWS S3. Il parser trasforma i log dal formato JSON in un modello Unified Data Model (UDM).
Prima di iniziare
Assicurati di soddisfare i seguenti prerequisiti:
- Istanza Google SecOps
- Accesso privilegiato a Trend Micro Vision One
Configura la registrazione su Trend Micro Vision One
- Accedi alla console Trend Micro Vision One.
- Vai a Workflow e Automation > Integrazione di terze parti.
- Fai clic su Google Security Operations SIEM.
- Nella sezione Chiave di accesso, fai clic su Genera chiave.
- Copia e salva l'ID chiave di accesso e la chiave di accesso segreta.
- In Trasferimento dati, attiva il pulsante di attivazione/disattivazione accanto a Tecniche di attacco osservate.
- Viene generato un URI S3 e i dati iniziano a essere inviati al bucket S3 corrispondente.
- Copia e salva l'URL S3 per utilizzarlo in un secondo momento.
Configura i feed
Per configurare un feed:
- Vai a Impostazioni SIEM > Feed.
- Fai clic su Aggiungi nuovo feed.
- Nella pagina successiva, fai clic su Configura un singolo feed.
- Nel campo Nome feed, inserisci un nome per il feed (ad esempio,
Trend Micro Vision One Observed Attack Techniques Logs). - Seleziona Amazon S3 V2 come Tipo di origine.
- Seleziona Trend Micro Vision One Observed Attack Techniques come Tipo di log.
- Fai clic su Avanti.
Specifica i valori per i seguenti parametri di input:
- URI S3: l'URI del bucket (il formato deve essere:
s3://log-bucket-name/). Sostituisci quanto segue:log-bucket-name: il nome del bucket.
- Opzioni di eliminazione delle origini: seleziona Non eliminare mai i file. I dati nel bucket S3 vengono conservati per 7 giorni prima di essere eliminati.
- Età massima file: include i file modificati nell'ultimo numero di giorni. Il valore predefinito è 180 giorni.
- ID chiave di accesso: chiave di accesso utente con accesso al bucket S3.
- Chiave di accesso segreta: chiave segreta dell'utente con accesso al bucket S3.
- URI S3: l'URI del bucket (il formato deve essere:
Fai clic su Avanti.
Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.
Tabella di mappatura UDM
| Campo log | mappatura UDM | Logica |
|---|---|---|
_field |
additional.fields |
Unita |
onefield |
additional.fields |
Unita |
detectionTime |
metadata.event_timestamp |
Analizzato come ISO8601 |
object_File_Creation |
metadata.event_timestamp |
Analizzato come UNIX_MS |
parent_File_Creation |
metadata.event_timestamp |
Analizzato come UNIX_MS |
process_File_Creation |
metadata.event_timestamp |
Analizzato come UNIX_MS |
v |
metadata.event_timestamp |
Analizzato come UNIX_MS |
has_principal |
metadata.event_type |
Mappato: true → STATUS_UPDATE |
has_user |
metadata.event_type |
Mappato: true → USER_UNCATEGORIZED |
v |
metadata.product_event_type |
Mappato direttamente |
v |
metadata.product_log_id |
Mappato direttamente |
v |
metadata.product_version |
Mappato direttamente |
v |
network.parent_session_id |
Mappato direttamente |
v |
network.session_id |
Mappato direttamente |
v |
principal.administrative_domain |
Mappato direttamente |
endpoint.guid |
principal.asset.asset_id |
Mappato direttamente |
endpoint.name |
principal.asset.hostname |
Mappato direttamente |
ip |
principal.asset.ip |
Unita |
k |
principal.asset.ip |
Mappato: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",… |
vIp |
principal.asset.ip |
Unita |
k |
principal.asset.mac |
Mappato: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",… |
vmac |
principal.asset.mac |
Unita |
v |
principal.asset.type |
Mappato direttamente |
endpoint.name |
principal.hostname |
Mappato direttamente |
ip |
principal.ip |
Unita |
k |
principal.ip |
Mappato: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",… |
vIp |
principal.ip |
Unita |
k |
principal.mac |
Mappato: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",… |
vmac |
principal.mac |
Unita |
k |
principal.platform |
Mappato: osName → LINUX, osName → WINDOWS, osName → MAC |
v |
principal.platform |
Mappato: (?i)Linux → LINUX, (?i)Windows → WINDOWS, (?i)mac/ios → MAC |
v |
principal.platform_patch_level |
Mappato direttamente |
v |
principal.platform_version |
Mappato direttamente |
highlight.value |
principal.process.command_line |
Mappato direttamente |
highlight.value |
principal.process.file.full_path |
Mappato direttamente |
v |
principal.process.file.md5 |
Mappato direttamente |
k |
principal.process.file.names |
Mappato: "processName","processFileOriginalName" → v |
v |
principal.process.file.names |
Unita |
v |
principal.process.file.sha1 |
Mappato direttamente |
v |
principal.process.file.sha256 |
Mappato direttamente |
process_signers |
principal.process.file.signature_info.sigcheck.signers |
Unita |
k |
principal.process.file.size |
Mappato: processFileSize → uinteger |
v |
principal.process.file.size |
Mappato direttamente |
k |
principal.process.integrity_level_rid |
Mappato: integrityLevel → uinteger, integrityLevel → v |
v |
principal.process.integrity_level_rid |
Mappato direttamente |
highlight.value |
principal.process.parent_process.command_line |
Mappato direttamente |
v |
principal.process.parent_process.file.full_path |
Mappato direttamente |
v |
principal.process.parent_process.file.md5 |
Mappato direttamente |
k |
principal.process.parent_process.file.names |
Mappato: "parentName","parentFileOriginalName" → v |
v |
principal.process.parent_process.file.names |
Unita |
v |
principal.process.parent_process.file.sha1 |
Mappato direttamente |
v |
principal.process.parent_process.file.sha256 |
Mappato direttamente |
parent_signers |
principal.process.parent_process.file.signature_info.sigcheck.signers |
Unita |
k |
principal.process.parent_process.file.size |
Mappato: parentFileSize → uinteger |
v |
principal.process.parent_process.file.size |
Mappato direttamente |
k |
principal.process.parent_process.integrity_level_rid |
Mappato: parentIntegrityLevel → uinteger, parentIntegrityLevel → v |
v |
principal.process.parent_process.integrity_level_rid |
Mappato direttamente |
v |
principal.process.parent_process.pid |
Mappato direttamente |
v |
principal.process.pid |
Mappato direttamente |
k |
principal.user.group_identifiers |
Mappato: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",… |
vuser |
principal.user.group_identifiers |
Unita |
k |
principal.user.managers |
Mappato: parentUser → user_manager |
user_manager |
principal.user.managers |
Unita |
entityName |
principal.user.userid |
Mappato direttamente |
v |
principal.user.userid |
Mappato direttamente |
vuser |
principal.user.userid |
Mappato direttamente |
sec_result |
security_result |
Unita |
one_tactic |
security_result.attack_details.tactics |
Unita |
one_tech |
security_result.attack_details.techniques |
Unita |
fl.description |
security_result.description |
Mappato direttamente |
df |
security_result.detection_fields |
Unita |
highlight_field |
security_result.detection_fields |
Unita |
master_label |
security_result.detection_fields |
Unita |
riskLevel_label |
security_result.detection_fields |
Unita |
type_label |
security_result.detection_fields |
Unita |
fl.id |
security_result.rule_id |
Mappato direttamente |
fl.name |
security_result.rule_name |
Mappato direttamente |
fl.unique_id |
security_result.rule_version |
Mappato direttamente |
flevel |
security_result.severity |
Mappato: INFO → INFORMATIONAL |
object_signers |
target.file.signature_info.sigcheck.signers |
Unita |
k |
target.file.size |
Mappato: objectFileSize → uinteger |
v |
target.file.size |
Mappato direttamente |
highlight.value |
target.process.command_line |
Mappato direttamente |
highlight.value |
target.process.file.full_path |
Mappato direttamente |
v |
target.process.file.md5 |
Mappato direttamente |
k |
target.process.file.names |
Mappato: "objectName","objectFileOriginalName" → v |
v |
target.process.file.names |
Unita |
v |
target.process.file.sha1 |
Mappato direttamente |
v |
target.process.file.sha256 |
Mappato direttamente |
k |
target.process.integrity_level_rid |
Mappato: objectIntegrityLevel → uinteger, objectIntegrityLevel → v |
v |
target.process.integrity_level_rid |
Mappato direttamente |
v |
target.process.pid |
Mappato direttamente |
v |
target.registry.registry_key |
Mappato direttamente |
v |
target.registry.registry_value_data |
Mappato direttamente |
v |
target.registry.registry_value_name |
Mappato direttamente |
k |
target.user.group_identifiers |
Mappato: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",… |
v |
target.user.group_identifiers |
Unita |
vguser |
target.user.group_identifiers |
Unita |
v |
target.user.userid |
Mappato direttamente |
| N/D | metadata.event_type |
Costante: GENERIC_EVENT |
| N/D | metadata.product_name |
Costante: TREND VISION ONE OAT |
| N/D | metadata.vendor_name |
Costante: TREND VISION ONE OAT |
| N/D | principal.platform |
Costante: LINUX |
| N/D | principal.process.integrity_level_rid |
Costante: v |
| N/D | principal.process.parent_process.integrity_level_rid |
Costante: v |
| N/D | security_result.severity |
Costante: INFORMATIONAL |
| N/D | target.process.integrity_level_rid |
Costante: v |
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.