Raccogli i log delle tecniche di attacco osservate di Trend Micro Vision One
Supportata in:
Google SecOps
SIEM
Questo documento spiega come importare i log delle tecniche di attacco osservate di Trend Micro Vision One in Google Security Operations utilizzando AWS S3. Il parser trasforma i log dal formato JSON in un modello UDM (Unified Data Model).
Prima di iniziare
Assicurati di soddisfare i seguenti prerequisiti:
- Istanza Google SecOps
- Accesso privilegiato a Trend Micro Vision One
Configura il logging su Trend Micro Vision One
- Accedi alla console Trend Micro Vision One.
- Vai a Workflow and Automation (Flusso di lavoro e automazione) > Third-Party Integration (Integrazione di terze parti).
- Fai clic su Google Security Operations SIEM.
- In Chiave di accesso, fai clic su Genera chiave.
- Copia e salva l'ID della chiave di accesso e la chiave di accesso segreta.
- In Trasferimento di dati, attiva l'opzione accanto a Tecniche di attacco osservate.
- Viene generato un URI S3 e i dati iniziano a essere inviati al bucket S3 corrispondente.
- Copia e salva l'URL S3 per utilizzarlo in un secondo momento.
Configura i feed
Per configurare un feed:
- Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
- Fai clic su Aggiungi nuovo feed.
- Nella pagina successiva, fai clic su Configura un singolo feed.
- Nel campo Nome feed, inserisci un nome per il feed (ad es.
Trend Micro Vision One Observed Attack Techniques Logs). - Seleziona Amazon S3 V2 come Tipo di origine.
- Seleziona Trend Micro Vision One Observed Attack Techniques come Tipo di log.
- Fai clic su Avanti.
Specifica i valori per i seguenti parametri di input:
- URI S3: l'URI del bucket (il formato deve essere:
s3://log-bucket-name/). Sostituisci quanto segue:log-bucket-name: il nome del bucket.
- Opzioni di eliminazione dell'origine: seleziona Non eliminare mai i file. I dati nel bucket S3 vengono conservati per 7 giorni prima di essere eliminati.
- Età massima dei file: include i file modificati negli ultimi giorni. Il valore predefinito è 180 giorni.
- ID chiave di accesso: chiave di accesso utente con accesso al bucket S3.
- Chiave di accesso segreta: chiave segreta dell'utente con accesso al bucket S3.
- URI S3: l'URI del bucket (il formato deve essere:
Fai clic su Avanti.
Controlla la nuova configurazione del feed di notizie nella schermata Finalizza e poi fai clic su Invia.
Tabella di mappatura UDM
| Campo del log | mappatura UDM | Logica |
|---|---|---|
_field |
additional.fields |
Unita |
onefield |
additional.fields |
Unita |
detectionTime |
metadata.event_timestamp |
Analizzato come ISO8601 |
object_File_Creation |
metadata.event_timestamp |
Analizzato come UNIX_MS |
parent_File_Creation |
metadata.event_timestamp |
Analizzato come UNIX_MS |
process_File_Creation |
metadata.event_timestamp |
Analizzato come UNIX_MS |
v |
metadata.event_timestamp |
Analizzato come UNIX_MS |
has_principal |
metadata.event_type |
Mappatura: true → STATUS_UPDATE |
has_user |
metadata.event_type |
Mappatura: true → USER_UNCATEGORIZED |
v |
metadata.product_event_type |
Mappatura diretta |
v |
metadata.product_log_id |
Mappatura diretta |
v |
metadata.product_version |
Mappatura diretta |
v |
network.parent_session_id |
Mappatura diretta |
v |
network.session_id |
Mappatura diretta |
v |
principal.administrative_domain |
Mappatura diretta |
endpoint.guid |
principal.asset.asset_id |
Mappatura diretta |
endpoint.name |
principal.asset.hostname |
Mappatura diretta |
ip |
principal.asset.ip |
Unita |
k |
principal.asset.ip |
Mappati: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",… |
vIp |
principal.asset.ip |
Unita |
k |
principal.asset.mac |
Mappati: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",… |
vmac |
principal.asset.mac |
Unita |
v |
principal.asset.type |
Mappatura diretta |
endpoint.name |
principal.hostname |
Mappatura diretta |
ip |
principal.ip |
Unita |
k |
principal.ip |
Mappati: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",… |
vIp |
principal.ip |
Unita |
k |
principal.mac |
Mappati: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",… |
vmac |
principal.mac |
Unita |
k |
principal.platform |
Mapped: osName → LINUX, osName → WINDOWS, osName → MAC |
v |
principal.platform |
Mapped: (?i)Linux → LINUX, (?i)Windows → WINDOWS, (?i)mac/ios → MAC |
v |
principal.platform_patch_level |
Mappatura diretta |
v |
principal.platform_version |
Mappatura diretta |
highlight.value |
principal.process.command_line |
Mappatura diretta |
highlight.value |
principal.process.file.full_path |
Mappatura diretta |
v |
principal.process.file.md5 |
Mappatura diretta |
k |
principal.process.file.names |
Mappatura: "processName","processFileOriginalName" → v |
v |
principal.process.file.names |
Unita |
v |
principal.process.file.sha1 |
Mappatura diretta |
v |
principal.process.file.sha256 |
Mappatura diretta |
process_signers |
principal.process.file.signature_info.sigcheck.signers |
Unita |
k |
principal.process.file.size |
Mappatura: processFileSize → uinteger |
v |
principal.process.file.size |
Mappatura diretta |
k |
principal.process.integrity_level_rid |
Mappatura: integrityLevel → uinteger, integrityLevel → v |
v |
principal.process.integrity_level_rid |
Mappatura diretta |
highlight.value |
principal.process.parent_process.command_line |
Mappatura diretta |
v |
principal.process.parent_process.file.full_path |
Mappatura diretta |
v |
principal.process.parent_process.file.md5 |
Mappatura diretta |
k |
principal.process.parent_process.file.names |
Mappatura: "parentName","parentFileOriginalName" → v |
v |
principal.process.parent_process.file.names |
Unita |
v |
principal.process.parent_process.file.sha1 |
Mappatura diretta |
v |
principal.process.parent_process.file.sha256 |
Mappatura diretta |
parent_signers |
principal.process.parent_process.file.signature_info.sigcheck.signers |
Unita |
k |
principal.process.parent_process.file.size |
Mappatura: parentFileSize → uinteger |
v |
principal.process.parent_process.file.size |
Mappatura diretta |
k |
principal.process.parent_process.integrity_level_rid |
Mappatura: parentIntegrityLevel → uinteger, parentIntegrityLevel → v |
v |
principal.process.parent_process.integrity_level_rid |
Mappatura diretta |
v |
principal.process.parent_process.pid |
Mappatura diretta |
v |
principal.process.pid |
Mappatura diretta |
k |
principal.user.group_identifiers |
Mappati: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",… |
vuser |
principal.user.group_identifiers |
Unita |
k |
principal.user.managers |
Mappatura: parentUser → user_manager |
user_manager |
principal.user.managers |
Unita |
entityName |
principal.user.userid |
Mappatura diretta |
v |
principal.user.userid |
Mappatura diretta |
vuser |
principal.user.userid |
Mappatura diretta |
sec_result |
security_result |
Unita |
one_tactic |
security_result.attack_details.tactics |
Unita |
one_tech |
security_result.attack_details.techniques |
Unita |
fl.description |
security_result.description |
Mappatura diretta |
df |
security_result.detection_fields |
Unita |
highlight_field |
security_result.detection_fields |
Unita |
master_label |
security_result.detection_fields |
Unita |
riskLevel_label |
security_result.detection_fields |
Unita |
type_label |
security_result.detection_fields |
Unita |
fl.id |
security_result.rule_id |
Mappatura diretta |
fl.name |
security_result.rule_name |
Mappatura diretta |
fl.unique_id |
security_result.rule_version |
Mappatura diretta |
flevel |
security_result.severity |
Mappatura: INFO → INFORMATIONAL |
object_signers |
target.file.signature_info.sigcheck.signers |
Unita |
k |
target.file.size |
Mappatura: objectFileSize → uinteger |
v |
target.file.size |
Mappatura diretta |
highlight.value |
target.process.command_line |
Mappatura diretta |
highlight.value |
target.process.file.full_path |
Mappatura diretta |
v |
target.process.file.md5 |
Mappatura diretta |
k |
target.process.file.names |
Mappatura: "objectName","objectFileOriginalName" → v |
v |
target.process.file.names |
Unita |
v |
target.process.file.sha1 |
Mappatura diretta |
v |
target.process.file.sha256 |
Mappatura diretta |
k |
target.process.integrity_level_rid |
Mappatura: objectIntegrityLevel → uinteger, objectIntegrityLevel → v |
v |
target.process.integrity_level_rid |
Mappatura diretta |
v |
target.process.pid |
Mappatura diretta |
v |
target.registry.registry_key |
Mappatura diretta |
v |
target.registry.registry_value_data |
Mappatura diretta |
v |
target.registry.registry_value_name |
Mappatura diretta |
k |
target.user.group_identifiers |
Mappati: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",… |
v |
target.user.group_identifiers |
Unita |
vguser |
target.user.group_identifiers |
Unita |
v |
target.user.userid |
Mappatura diretta |
| N/D | metadata.event_type |
Costante: GENERIC_EVENT |
| N/D | metadata.product_name |
Costante: TREND VISION ONE OAT |
| N/D | metadata.vendor_name |
Costante: TREND VISION ONE OAT |
| N/D | principal.platform |
Costante: LINUX |
| N/D | principal.process.integrity_level_rid |
Costante: v |
| N/D | principal.process.parent_process.integrity_level_rid |
Costante: v |
| N/D | security_result.severity |
Costante: INFORMATIONAL |
| N/D | target.process.integrity_level_rid |
Costante: v |
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.