Collecter les journaux Trend Micro Vision One Workbench

Compatible avec :

Ce document explique comment ingérer les journaux Trend Micro Vision One Workbench dans Google Security Operations à l'aide d'AWS S3. L'analyseur transforme les journaux Trend Micro VisionOne Workbench du format JSON en modèle de données unifié (UDM).

Avant de commencer

  • Instance Google SecOps
  • Accès privilégié à Trend Micro Vision One

Configurer la journalisation sur Trend Micro Vision One

  1. Connectez-vous à la console Trend Micro Vision One.
  2. Accédez à Workflow et automatisation > Intégration tierce.
  3. Cliquez sur Google Security Operations SIEM.
  4. Sous Clé d'accès, cliquez sur Générer une clé.
  5. Copiez et enregistrez l'ID de clé d'accès et la clé d'accès secrète.
  6. Sous Transfert de données, activez le bouton à côté de Données de l'atelier.
  7. Un URI S3 est généré et les données commencent à être envoyées au bucket S3 correspondant.
  8. Copiez et enregistrez l'URL S3 pour l'utiliser ultérieurement.

Configurer des flux

Pour configurer un flux, procédez comme suit :

  1. Accédez à Paramètres SIEM> Flux.
  2. Cliquez sur Ajouter un flux.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Trend Micro Vision One Workbench Logs).
  5. Sélectionnez Amazon S3 V2 comme Type de source.
  6. Sélectionnez Trend Micro Vision One Workbench comme Type de journal.
  7. Cliquez sur Suivant.

  8. Spécifiez les valeurs des paramètres d'entrée suivants :

    • URI S3 : URI du bucket (au format s3://log-bucket-name/). Remplacez les éléments suivants :
      • log-bucket-name : nom du bucket.
    • Options de suppression de la source : sélectionnez Ne jamais supprimer les fichiers. Les données du bucket S3 sont conservées pendant sept jours avant d'être supprimées.
    • Âge maximal du fichier : inclut les fichiers modifiés au cours des derniers jours. La valeur par défaut est de 180 jours.
    • ID de clé d'accès : clé d'accès utilisateur ayant accès au bucket S3.
    • Clé d'accès secrète : clé secrète de l'utilisateur ayant accès au bucket S3.

  9. Cliquez sur Suivant.

  10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

    Table de mappage UDM

Champ du journal Mappage UDM Logique
indicator_value about.file.full_path Mappé directement
indicator_value about.url Mappé directement
_field additional.fields Fusionné
alertProvider_label additional.fields Fusionné
eventSourceType_label additional.fields Fusionné
hostId_label additional.fields Fusionné
incidentId_label additional.fields Fusionné
logKey_label additional.fields Fusionné
model_label additional.fields Fusionné
mpname_label additional.fields Fusionné
mpver_label additional.fields Fusionné
productCode_label additional.fields Fusionné
rtDate_label additional.fields Fusionné
description metadata.description Mappé directement
createdDateTime metadata.event_timestamp Analysé en tant que ISO8601
logReceivedTime metadata.event_timestamp Analysé en tant que UNIX_MS
rt metadata.event_timestamp Analysé en tant que ISO8601
updatedDateTime metadata.event_timestamp Analysé en tant que ISO8601
fileOperation metadata.event_type Mappé : Updated → FILE_MODIFICATION
has_principal metadata.event_type Mappé : true → FILE_UNCATEGORIZED, true → FILE_MODIFICATION, true → `PROCESS_UNCAT...
eventName metadata.product_event_type Mappé directement
eventId metadata.product_log_id Mappé directement
id metadata.product_log_id Mappé directement
pname metadata.product_name Mappé directement
pver metadata.product_version Mappé directement
schemaVersion metadata.product_version Mappé directement
indicator_value network.email.mail_id Mappé directement
indicator.value network.email.subject Fusionné
AccountDomain principal.administrative_domain Mappé directement
domain principal.administrative_domain Mappé directement
mDeviceGUID principal.asset.asset_id Mappé directement
endpointHostName principal.asset.hostname Mappé directement
entity.entityValue.name principal.asset.hostname Mappé directement
entityValue_name principal.asset.ip Fusionné
ip principal.asset.ip Fusionné
src_ip principal.asset.ip Fusionné
endpointHostName principal.hostname Mappé directement
entity.entityValue.name principal.hostname Mappé directement
entityValue_name principal.ip Fusionné
ip principal.ip Fusionné
src_ip principal.ip Fusionné
indicator_value principal.process.command_line Mappé directement
indicator_value principal.process.file.sha256 Mappé directement
indicator_value principal.process.parent_process.command_line Mappé directement
_field principal.resource.attribute.labels Fusionné
endpointGUID_label principal.resource.attribute.labels Fusionné
entityId_label principal.resource.attribute.labels Fusionné
entityValue_name_label principal.resource.attribute.labels Fusionné
key principal.resource.attribute.labels Mappé : srchwvendor → _field
managementScopeGroupId_label principal.resource.attribute.labels Fusionné
managementScopeInstanceId_label principal.resource.attribute.labels Fusionné
managementScopePartitionKey_label principal.resource.attribute.labels Fusionné
senderGUID_label principal.resource.attribute.labels Fusionné
uuid_label principal.resource.attribute.labels Fusionné
entity.entityValue principal.user.email_addresses Fusionné
indicator_value principal.user.email_addresses Fusionné
domain_value principal.user.user_display_name Mappé directement
AccountName principal.user.userid Mappé directement
entity_entityValue principal.user.userid Mappé directement
indicator_value principal.user.userid Mappé directement
suid principal.user.userid Mappé directement
user_id_value principal.user.userid Mappé directement
SecurityID principal.user.windows_sid Mappé directement
sec security_result Fusionné
sec_isEntity security_result Fusionné
sec_res security_result Fusionné
sec_wasEntity security_result Fusionné
investigationResult security_result.about.investigation.comments Fusionné
investigationStatus security_result.about.investigation.status Mappé : New → NEW, Closed → CLOSED, Open → OPEN, Reviewed → REVIEWED
fileOperation security_result.action_details Mappé directement
cat security_result.category_details Fusionné
msg security_result.description Mappé directement
LogonID_label security_result.detection_fields Fusionné
_field security_result.detection_fields Fusionné
access_right_label security_result.detection_fields Fusionné
detectionType_label security_result.detection_fields Fusionné
key security_result.detection_fields Mappé : "status", "auditid" → _field
modelId_label security_result.detection_fields Fusionné
modelType_label security_result.detection_fields Fusionné
ownerIds_label security_result.detection_fields Fusionné
prov_enance_label security_result.detection_fields Fusionné
proven_ance_label security_result.detection_fields Fusionné
relatedEntitie_label security_result.detection_fields Fusionné
relatedIndicatorId_label security_result.detection_fields Fusionné
status_label security_result.detection_fields Fusionné
subRuleId_label security_result.detection_fields Fusionné
subRuleName_label security_result.detection_fields Fusionné
winEventId_label security_result.detection_fields Fusionné
createdDateTime security_result.first_discovered_time Renommé/Mappé
updatedDateTime security_result.last_updated_time Renommé/Mappé
Score security_result.risk_score Renommé/Mappé
score security_result.risk_score Renommé/Mappé
ruleId security_result.rule_id Mappé directement
ruleName security_result.rule_name Mappé directement
severity security_result.severity_details Mappé directement
workbenchLink security_result.url_back_to_product Renommé/Mappé
filePathName target.file.full_path Mappé directement
fullPath target.file.full_path Mappé directement
file target.file.names Fusionné
indicator_value target.process.command_line Mappé directement
processName target.process.file.full_path Mappé directement
TarAccountName target.user.userid Mappé directement
duser.0 target.user.userid Mappé directement
TarAccountName target.user.windows_sid Mappé directement
N/A metadata.event_type Constante : GENERIC_EVENT
N/A metadata.product_name Constante : TRENDMICRO VISION ONE WORKBENCH
N/A metadata.vendor_name Constante : TRENDMICRO VISION ONE WORKBENCH
N/A security_result.about.investigation.status Constante : NEW
N/A security_result.severity Constante : CRITICAL

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.