Collecter les journaux Trend Micro Vision One Workbench

Compatible avec :

Ce document explique comment ingérer des journaux Trend Micro Vision One Workbench dans Google Security Operations à l'aide d'AWS S3. L'analyseur transforme les journaux Trend Micro Vision One Workbench du format JSON au format UDM (Unified Data Model).

Avant de commencer

  • Instance Google SecOps
  • Accès privilégié à Trend Micro Vision One

Configurer la journalisation sur Trend Micro Vision One

  1. Connectez-vous à la console Trend Micro Vision One.
  2. Accédez à Workflow et automatisation > Intégration tierce.
  3. Cliquez sur Google Security Operations SIEM.
  4. Sous Clé d'accès, cliquez sur Générer une clé.
  5. Copiez et enregistrez l'ID de clé d'accès et la clé d'accès secrète.
  6. Sous Transfert de données, activez le bouton d'activation/de désactivation à côté de Données Workbench.
  7. Un URI S3 est généré et les données commencent à être envoyées au bucket S3 correspondant.
  8. Copiez l'URL S3 et enregistrez-la pour une utilisation ultérieure.

Configurer des flux

Pour configurer un flux, procédez comme suit :

  1. Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
  2. Cliquez sur Ajouter un flux d'actualités.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Trend Micro Vision One Workbench Logs).
  5. Sélectionnez Amazon S3 V2 comme Type de source.
  6. Sélectionnez Trend Micro Vision One Workbench comme type de journal.
  7. Cliquez sur Suivant.

  8. Spécifiez les valeurs des paramètres d'entrée suivants :

    • URI S3 : URI du bucket (le format doit être s3://log-bucket-name/). Remplacez les éléments suivants :
      • log-bucket-name : nom du bucket.
    • Options de suppression de la source : sélectionnez Ne jamais supprimer les fichiers. Les données du bucket S3 sont conservées pendant sept jours avant d'être purgées.
    • Âge maximal du fichier : inclut les fichiers modifiés au cours d'un certain nombre de jours. La valeur par défaut est de 180 jours.
    • ID de clé d'accès : clé d'accès utilisateur permettant d'accéder au bucket S3.
    • Clé d'accès secrète : clé secrète de l'utilisateur ayant accès au bucket S3.

  9. Cliquez sur Suivant.

  10. Vérifiez la configuration de votre nouveau flux d'actualités sur l'écran Finaliser, puis cliquez sur Envoyer.

    Table de mappage UDM

Champ du journal mappage UDM Logique
indicator_value about.file.full_path Mappage direct
indicator_value about.url Mappage direct
_field additional.fields Fusionné
alertProvider_label additional.fields Fusionné
eventSourceType_label additional.fields Fusionné
hostId_label additional.fields Fusionné
incidentId_label additional.fields Fusionné
logKey_label additional.fields Fusionné
model_label additional.fields Fusionné
mpname_label additional.fields Fusionné
mpver_label additional.fields Fusionné
productCode_label additional.fields Fusionné
rtDate_label additional.fields Fusionné
description metadata.description Mappage direct
createdDateTime metadata.event_timestamp Analysé en tant que ISO8601
logReceivedTime metadata.event_timestamp Analysé en tant que UNIX_MS
rt metadata.event_timestamp Analysé en tant que ISO8601
updatedDateTime metadata.event_timestamp Analysé en tant que ISO8601
fileOperation metadata.event_type Mappé : Updated → FILE_MODIFICATION
has_principal metadata.event_type Mapped: true → FILE_UNCATEGORIZED, true → FILE_MODIFICATION, true → `PROCESS_UNCAT...
eventName metadata.product_event_type Mappage direct
eventId metadata.product_log_id Mappage direct
id metadata.product_log_id Mappage direct
pname metadata.product_name Mappage direct
pver metadata.product_version Mappage direct
schemaVersion metadata.product_version Mappage direct
indicator_value network.email.mail_id Mappage direct
indicator.value network.email.subject Fusionné
AccountDomain principal.administrative_domain Mappage direct
domain principal.administrative_domain Mappage direct
mDeviceGUID principal.asset.asset_id Mappage direct
endpointHostName principal.asset.hostname Mappage direct
entity.entityValue.name principal.asset.hostname Mappage direct
entityValue_name principal.asset.ip Fusionné
ip principal.asset.ip Fusionné
src_ip principal.asset.ip Fusionné
endpointHostName principal.hostname Mappage direct
entity.entityValue.name principal.hostname Mappage direct
entityValue_name principal.ip Fusionné
ip principal.ip Fusionné
src_ip principal.ip Fusionné
indicator_value principal.process.command_line Mappage direct
indicator_value principal.process.file.sha256 Mappage direct
indicator_value principal.process.parent_process.command_line Mappage direct
_field principal.resource.attribute.labels Fusionné
endpointGUID_label principal.resource.attribute.labels Fusionné
entityId_label principal.resource.attribute.labels Fusionné
entityValue_name_label principal.resource.attribute.labels Fusionné
key principal.resource.attribute.labels Mappé : srchwvendor → _field
managementScopeGroupId_label principal.resource.attribute.labels Fusionné
managementScopeInstanceId_label principal.resource.attribute.labels Fusionné
managementScopePartitionKey_label principal.resource.attribute.labels Fusionné
senderGUID_label principal.resource.attribute.labels Fusionné
uuid_label principal.resource.attribute.labels Fusionné
entity.entityValue principal.user.email_addresses Fusionné
indicator_value principal.user.email_addresses Fusionné
domain_value principal.user.user_display_name Mappage direct
AccountName principal.user.userid Mappage direct
entity_entityValue principal.user.userid Mappage direct
indicator_value principal.user.userid Mappage direct
suid principal.user.userid Mappage direct
user_id_value principal.user.userid Mappage direct
SecurityID principal.user.windows_sid Mappage direct
sec security_result Fusionné
sec_isEntity security_result Fusionné
sec_res security_result Fusionné
sec_wasEntity security_result Fusionné
investigationResult security_result.about.investigation.comments Fusionné
investigationStatus security_result.about.investigation.status Mapped: New → NEW, Closed → CLOSED, Open → OPEN, Reviewed → REVIEWED
fileOperation security_result.action_details Mappage direct
cat security_result.category_details Fusionné
msg security_result.description Mappage direct
LogonID_label security_result.detection_fields Fusionné
_field security_result.detection_fields Fusionné
access_right_label security_result.detection_fields Fusionné
detectionType_label security_result.detection_fields Fusionné
key security_result.detection_fields Mappé : "status", "auditid" → _field
modelId_label security_result.detection_fields Fusionné
modelType_label security_result.detection_fields Fusionné
ownerIds_label security_result.detection_fields Fusionné
prov_enance_label security_result.detection_fields Fusionné
proven_ance_label security_result.detection_fields Fusionné
relatedEntitie_label security_result.detection_fields Fusionné
relatedIndicatorId_label security_result.detection_fields Fusionné
status_label security_result.detection_fields Fusionné
subRuleId_label security_result.detection_fields Fusionné
subRuleName_label security_result.detection_fields Fusionné
winEventId_label security_result.detection_fields Fusionné
createdDateTime security_result.first_discovered_time Renommé/Mappé
updatedDateTime security_result.last_updated_time Renommé/Mappé
Score security_result.risk_score Renommé/Mappé
score security_result.risk_score Renommé/Mappé
ruleId security_result.rule_id Mappage direct
ruleName security_result.rule_name Mappage direct
severity security_result.severity_details Mappage direct
workbenchLink security_result.url_back_to_product Renommé/Mappé
filePathName target.file.full_path Mappage direct
fullPath target.file.full_path Mappage direct
file target.file.names Fusionné
indicator_value target.process.command_line Mappage direct
processName target.process.file.full_path Mappage direct
TarAccountName target.user.userid Mappage direct
duser.0 target.user.userid Mappage direct
TarAccountName target.user.windows_sid Mappage direct
N/A metadata.event_type Constante : GENERIC_EVENT
N/A metadata.product_name Constante : TRENDMICRO VISION ONE WORKBENCH
N/A metadata.vendor_name Constante : TRENDMICRO VISION ONE WORKBENCH
N/A security_result.about.investigation.status Constante : NEW
N/A security_result.severity Constante : CRITICAL

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.