Trend Micro Vision One Workbench-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Trend Micro Vision One Workbench-Logs mit AWS S3 in Google Security Operations aufnehmen. Der Parser wandelt Trend Micro Vision One Workbench-Logs vom JSON-Format in ein einheitliches Datenmodell (Unified Data Model, UDM) um.

Hinweis

  • Google SecOps-Instanz
  • Privilegierter Zugriff auf Trend Micro Vision One

Logging in Trend Micro Vision One konfigurieren

  1. Melden Sie sich in der Trend Micro Vision One-Konsole an.
  2. Rufen Sie Workflow und Automatisierung > Integration von Drittanbietern auf.
  3. Klicken Sie auf Google Security Operations SIEM.
  4. Klicken Sie unter Zugriffsschlüssel auf Schlüssel generieren.
  5. Kopieren und speichern Sie die Zugriffsschlüssel-ID und den geheimen Zugriffsschlüssel.
  6. Aktivieren Sie unter Datenübertragung den Schalter neben Workbench-Daten.
  7. Ein S3-URI wird generiert und die Daten werden an den entsprechenden S3-Bucket gesendet.
  8. Kopieren und speichern Sie die S3-URL für die spätere Verwendung.

Feeds einrichten

So konfigurieren Sie einen Feed:

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Trend Micro Vision One Workbench Logs.
  5. Wählen Sie Amazon S3 V2 als Quelltyp aus.
  6. Wählen Sie Trend Micro Vision One Workbench als Log-Typ aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    • S3-URI: Der Bucket-URI (das Format sollte s3://log-bucket-name/ sein). Ersetzen Sie Folgendes:
      • log-bucket-name: der Name des Buckets.
    • Optionen zum Löschen von Quellen: Wählen Sie Dateien nie löschen aus. Daten im S3-Bucket werden 7 Tage lang aufbewahrt, bevor sie gelöscht werden.
    • Maximales Dateialter: Enthält Dateien, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
    • Zugriffsschlüssel-ID: Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket.
    • Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

    UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
indicator_value about.file.full_path Direkt zugeordnet
indicator_value about.url Direkt zugeordnet
_field additional.fields Zusammengeführt
alertProvider_label additional.fields Zusammengeführt
eventSourceType_label additional.fields Zusammengeführt
hostId_label additional.fields Zusammengeführt
incidentId_label additional.fields Zusammengeführt
logKey_label additional.fields Zusammengeführt
model_label additional.fields Zusammengeführt
mpname_label additional.fields Zusammengeführt
mpver_label additional.fields Zusammengeführt
productCode_label additional.fields Zusammengeführt
rtDate_label additional.fields Zusammengeführt
description metadata.description Direkt zugeordnet
createdDateTime metadata.event_timestamp Als ISO8601 geparst
logReceivedTime metadata.event_timestamp Als UNIX_MS geparst
rt metadata.event_timestamp Als ISO8601 geparst
updatedDateTime metadata.event_timestamp Als ISO8601 geparst
fileOperation metadata.event_type Zugeordnet: Updated → FILE_MODIFICATION
has_principal metadata.event_type Zugeordnet: true → FILE_UNCATEGORIZED, true → FILE_MODIFICATION, true → `PROCESS_UNCAT...
eventName metadata.product_event_type Direkt zugeordnet
eventId metadata.product_log_id Direkt zugeordnet
id metadata.product_log_id Direkt zugeordnet
pname metadata.product_name Direkt zugeordnet
pver metadata.product_version Direkt zugeordnet
schemaVersion metadata.product_version Direkt zugeordnet
indicator_value network.email.mail_id Direkt zugeordnet
indicator.value network.email.subject Zusammengeführt
AccountDomain principal.administrative_domain Direkt zugeordnet
domain principal.administrative_domain Direkt zugeordnet
mDeviceGUID principal.asset.asset_id Direkt zugeordnet
endpointHostName principal.asset.hostname Direkt zugeordnet
entity.entityValue.name principal.asset.hostname Direkt zugeordnet
entityValue_name principal.asset.ip Zusammengeführt
ip principal.asset.ip Zusammengeführt
src_ip principal.asset.ip Zusammengeführt
endpointHostName principal.hostname Direkt zugeordnet
entity.entityValue.name principal.hostname Direkt zugeordnet
entityValue_name principal.ip Zusammengeführt
ip principal.ip Zusammengeführt
src_ip principal.ip Zusammengeführt
indicator_value principal.process.command_line Direkt zugeordnet
indicator_value principal.process.file.sha256 Direkt zugeordnet
indicator_value principal.process.parent_process.command_line Direkt zugeordnet
_field principal.resource.attribute.labels Zusammengeführt
endpointGUID_label principal.resource.attribute.labels Zusammengeführt
entityId_label principal.resource.attribute.labels Zusammengeführt
entityValue_name_label principal.resource.attribute.labels Zusammengeführt
key principal.resource.attribute.labels Zugeordnet: srchwvendor → _field
managementScopeGroupId_label principal.resource.attribute.labels Zusammengeführt
managementScopeInstanceId_label principal.resource.attribute.labels Zusammengeführt
managementScopePartitionKey_label principal.resource.attribute.labels Zusammengeführt
senderGUID_label principal.resource.attribute.labels Zusammengeführt
uuid_label principal.resource.attribute.labels Zusammengeführt
entity.entityValue principal.user.email_addresses Zusammengeführt
indicator_value principal.user.email_addresses Zusammengeführt
domain_value principal.user.user_display_name Direkt zugeordnet
AccountName principal.user.userid Direkt zugeordnet
entity_entityValue principal.user.userid Direkt zugeordnet
indicator_value principal.user.userid Direkt zugeordnet
suid principal.user.userid Direkt zugeordnet
user_id_value principal.user.userid Direkt zugeordnet
SecurityID principal.user.windows_sid Direkt zugeordnet
sec security_result Zusammengeführt
sec_isEntity security_result Zusammengeführt
sec_res security_result Zusammengeführt
sec_wasEntity security_result Zusammengeführt
investigationResult security_result.about.investigation.comments Zusammengeführt
investigationStatus security_result.about.investigation.status Zugeordnet: New → NEW, Closed → CLOSED, Open → OPEN, Reviewed → REVIEWED
fileOperation security_result.action_details Direkt zugeordnet
cat security_result.category_details Zusammengeführt
msg security_result.description Direkt zugeordnet
LogonID_label security_result.detection_fields Zusammengeführt
_field security_result.detection_fields Zusammengeführt
access_right_label security_result.detection_fields Zusammengeführt
detectionType_label security_result.detection_fields Zusammengeführt
key security_result.detection_fields Zugeordnet: "status", "auditid" → _field
modelId_label security_result.detection_fields Zusammengeführt
modelType_label security_result.detection_fields Zusammengeführt
ownerIds_label security_result.detection_fields Zusammengeführt
prov_enance_label security_result.detection_fields Zusammengeführt
proven_ance_label security_result.detection_fields Zusammengeführt
relatedEntitie_label security_result.detection_fields Zusammengeführt
relatedIndicatorId_label security_result.detection_fields Zusammengeführt
status_label security_result.detection_fields Zusammengeführt
subRuleId_label security_result.detection_fields Zusammengeführt
subRuleName_label security_result.detection_fields Zusammengeführt
winEventId_label security_result.detection_fields Zusammengeführt
createdDateTime security_result.first_discovered_time Umbenannt/zugeordnet
updatedDateTime security_result.last_updated_time Umbenannt/zugeordnet
Score security_result.risk_score Umbenannt/zugeordnet
score security_result.risk_score Umbenannt/zugeordnet
ruleId security_result.rule_id Direkt zugeordnet
ruleName security_result.rule_name Direkt zugeordnet
severity security_result.severity_details Direkt zugeordnet
workbenchLink security_result.url_back_to_product Umbenannt/zugeordnet
filePathName target.file.full_path Direkt zugeordnet
fullPath target.file.full_path Direkt zugeordnet
file target.file.names Zusammengeführt
indicator_value target.process.command_line Direkt zugeordnet
processName target.process.file.full_path Direkt zugeordnet
TarAccountName target.user.userid Direkt zugeordnet
duser.0 target.user.userid Direkt zugeordnet
TarAccountName target.user.windows_sid Direkt zugeordnet
– metadata.event_type Konstante: GENERIC_EVENT
– metadata.product_name Konstante: TRENDMICRO VISION ONE WORKBENCH
– metadata.vendor_name Konstante: TRENDMICRO VISION ONE WORKBENCH
– security_result.about.investigation.status Konstante: NEW
– security_result.severity Konstante: CRITICAL

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten