Trend Micro Vision One Observed Attack Techniques のログを収集する

以下でサポートされています。

このドキュメントでは、AWS S3 を使用して Trend Micro Vision One Observed Attack Techniques ログを Google Security Operations に取り込む方法について説明します。パーサーは、ログを JSON 形式から統合データモデル（UDM）に変換します。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Trend Micro Vision One への特権アクセス

Trend Micro Vision One でロギングを構成する

  1. Trend Micro Vision One コンソールにログインします。
  2. [Workflow and Automation] > [Third-Party Integration] に移動します。
  3. [Google Security Operations SIEM] をクリックします。
  4. [アクセスキー] で [キーを生成] をクリックします。
  5. アクセスキー ID とシークレット アクセスキーをコピーして保存します。
  6. [データ転送] で、[Observed Attack Techniques] の横にある切り替えを有効にします。
  7. S3 URI が生成され、対応する S3 バケットへのデータの送信が開始されます。
  8. 後で使用するために、S3 URL をコピーして保存します。

フィードを設定する

フィードを構成する手順は次のとおりです。

  1. [設定] > [データ管理] > [フィード] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [フィード] に移動します。
  2. [Add New Feed] をクリックします。
  3. 次のページで、[単一のフィードを構成する] をクリックします。
  4. [フィード名] フィールドに、フィードの名前を入力します（例: Trend Micro Vision One Observed Attack Techniques Logs）。
  5. [ソースタイプ] として [Amazon S3 V2] を選択します。
  6. [ログタイプ] として [Trend Micro Vision One Observed Attack Techniques] を選択します。
  7. [次へ] をクリックします。

  8. 次の入力パラメータの値を指定します。

    • S3 URI: バケット URI（形式は s3://log-bucket-name/）。次のように置き換えます。
      • log-bucket-name: バケットの名前。
    • ソース削除オプション: [ファイルを削除しない] を選択します。S3 バケット内のデータは 7 日間保持された後、パージされます。
    • ファイルの最長存続期間: 過去数日間に変更されたファイルが含まれます。デフォルトは 180 日です。
    • アクセスキー ID: S3 バケットにアクセスできるユーザー アクセスキー。
    • シークレット アクセスキー: S3 バケットにアクセスできるユーザーのシークレット キー。

  9. [次へ] をクリックします。

  10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
_field additional.fields 統合済み
onefield additional.fields 統合済み
detectionTime metadata.event_timestamp ISO8601 として解析
object_File_Creation metadata.event_timestamp UNIX_MS として解析
parent_File_Creation metadata.event_timestamp UNIX_MS として解析
process_File_Creation metadata.event_timestamp UNIX_MS として解析
v metadata.event_timestamp UNIX_MS として解析
has_principal metadata.event_type マッピング済み: true → STATUS_UPDATE
has_user metadata.event_type マッピング済み: true → USER_UNCATEGORIZED
v metadata.product_event_type 直接マッピングされます。
v metadata.product_log_id 直接マッピングされます。
v metadata.product_version 直接マッピングされます。
v network.parent_session_id 直接マッピングされます。
v network.session_id 直接マッピングされます。
v principal.administrative_domain 直接マッピングされます。
endpoint.guid principal.asset.asset_id 直接マッピングされます。
endpoint.name principal.asset.hostname 直接マッピングされます。
ip principal.asset.ip 統合済み
k principal.asset.ip マッピング済み: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vIp principal.asset.ip 統合済み
k principal.asset.mac マッピング済み: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vmac principal.asset.mac 統合済み
v principal.asset.type 直接マッピングされます。
endpoint.name principal.hostname 直接マッピングされます。
ip principal.ip 統合済み
k principal.ip マッピング済み: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vIp principal.ip 統合済み
k principal.mac マッピング済み: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vmac principal.mac 統合済み
k principal.platform マッピング済み: osName → LINUX、osName → WINDOWS、osName → MAC
v principal.platform マッピング済み: (?i)Linux → LINUX、(?i)Windows → WINDOWS、(?i)mac/ios → MAC
v principal.platform_patch_level 直接マッピングされます。
v principal.platform_version 直接マッピングされます。
highlight.value principal.process.command_line 直接マッピングされます。
highlight.value principal.process.file.full_path 直接マッピングされます。
v principal.process.file.md5 直接マッピングされます。
k principal.process.file.names マッピング済み: "processName","processFileOriginalName" → v
v principal.process.file.names 統合済み
v principal.process.file.sha1 直接マッピングされます。
v principal.process.file.sha256 直接マッピングされます。
process_signers principal.process.file.signature_info.sigcheck.signers 統合済み
k principal.process.file.size マッピング済み: processFileSize → uinteger
v principal.process.file.size 直接マッピングされます。
k principal.process.integrity_level_rid マッピング済み: integrityLevel → uinteger、integrityLevel → v
v principal.process.integrity_level_rid 直接マッピングされます。
highlight.value principal.process.parent_process.command_line 直接マッピングされます。
v principal.process.parent_process.file.full_path 直接マッピングされます。
v principal.process.parent_process.file.md5 直接マッピングされます。
k principal.process.parent_process.file.names マッピング済み: "parentName","parentFileOriginalName" → v
v principal.process.parent_process.file.names 統合済み
v principal.process.parent_process.file.sha1 直接マッピングされます。
v principal.process.parent_process.file.sha256 直接マッピングされます。
parent_signers principal.process.parent_process.file.signature_info.sigcheck.signers 統合済み
k principal.process.parent_process.file.size マッピング済み: parentFileSize → uinteger
v principal.process.parent_process.file.size 直接マッピングされます。
k principal.process.parent_process.integrity_level_rid マッピング済み: parentIntegrityLevel → uinteger、parentIntegrityLevel → v
v principal.process.parent_process.integrity_level_rid 直接マッピングされます。
v principal.process.parent_process.pid 直接マッピングされます。
v principal.process.pid 直接マッピングされます。
k principal.user.group_identifiers マッピング済み: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
vuser principal.user.group_identifiers 統合済み
k principal.user.managers マッピング済み: parentUser → user_manager
user_manager principal.user.managers 統合済み
entityName principal.user.userid 直接マッピングされます。
v principal.user.userid 直接マッピングされます。
vuser principal.user.userid 直接マッピングされます。
sec_result security_result 統合済み
one_tactic security_result.attack_details.tactics 統合済み
one_tech security_result.attack_details.techniques 統合済み
fl.description security_result.description 直接マッピングされます。
df security_result.detection_fields 統合済み
highlight_field security_result.detection_fields 統合済み
master_label security_result.detection_fields 統合済み
riskLevel_label security_result.detection_fields 統合済み
type_label security_result.detection_fields 統合済み
fl.id security_result.rule_id 直接マッピングされます。
fl.name security_result.rule_name 直接マッピングされます。
fl.unique_id security_result.rule_version 直接マッピングされます。
flevel security_result.severity マッピング済み: INFO → INFORMATIONAL
object_signers target.file.signature_info.sigcheck.signers 統合済み
k target.file.size マッピング済み: objectFileSize → uinteger
v target.file.size 直接マッピングされます。
highlight.value target.process.command_line 直接マッピングされます。
highlight.value target.process.file.full_path 直接マッピングされます。
v target.process.file.md5 直接マッピングされます。
k target.process.file.names マッピング済み: "objectName","objectFileOriginalName" → v
v target.process.file.names 統合済み
v target.process.file.sha1 直接マッピングされます。
v target.process.file.sha256 直接マッピングされます。
k target.process.integrity_level_rid マッピング済み: objectIntegrityLevel → uinteger、objectIntegrityLevel → v
v target.process.integrity_level_rid 直接マッピングされます。
v target.process.pid 直接マッピングされます。
v target.registry.registry_key 直接マッピングされます。
v target.registry.registry_value_data 直接マッピングされます。
v target.registry.registry_value_name 直接マッピングされます。
k target.user.group_identifiers マッピング済み: `"tags","userDomain","endpointIp","endpointMacAddress","suser","highlightedRequest",...
v target.user.group_identifiers 統合済み
vguser target.user.group_identifiers 統合済み
v target.user.userid 直接マッピングされます。
なし metadata.event_type 定数: GENERIC_EVENT
なし metadata.product_name 定数: TREND VISION ONE OAT
なし metadata.vendor_name 定数: TREND VISION ONE OAT
なし principal.platform 定数: LINUX
なし principal.process.integrity_level_rid 定数: v
なし principal.process.parent_process.integrity_level_rid 定数: v
なし security_result.severity 定数: INFORMATIONAL
なし target.process.integrity_level_rid 定数: v

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。