איסוף יומנים של Trend Micro Vision One Workbench

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Trend Micro Vision One Workbench ב-Google Security Operations באמצעות AWS S3. המנתח ממיר את היומנים של Trend Micro Vision One Workbench מפורמט JSON למודל נתונים מאוחד (UDM).

לפני שמתחילים

  • מופע של Google SecOps
  • גישה מיוחדת ל-Trend Micro Vision One

הגדרת רישום ביומן ב-Trend Micro Vision One

  1. נכנסים למסוף Trend Micro Vision One.
  2. עוברים אל Workflow and Automation (תהליך עבודה ואוטומציה) > Third-Party Integration (שילוב עם צד שלישי).
  3. לוחצים על Google Security Operations SIEM.
  4. בקטע מפתח גישה, לוחצים על יצירת מפתח.
  5. מעתיקים ושומרים את המזהה של מפתח הגישה ואת מפתח הגישה הסודי.
  6. בקטע העברת נתונים, מפעילים את המתג לצד נתוני Workbench.
  7. המערכת יוצרת מזהה URI של S3 ומתחילה לשלוח את הנתונים לקטגוריית S3 המתאימה.
  8. מעתיקים ושומרים את כתובת ה-URL של S3 לשימוש במועד מאוחר יותר.

הגדרת פידים

כדי להגדיר פיד:

  1. עוברים אל הגדרות > ניהול נתונים > פידים. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פידים.
  2. לוחצים על הוספת פיד חדש.
  3. בדף הבא, לוחצים על הגדרת פיד יחיד.
  4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Trend Micro Vision One Workbench Logs).
  5. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
  6. בוחרים באפשרות Trend Micro Vision One Workbench בתור סוג היומן.
  7. לוחצים על הבא.

  8. מציינים ערכים לפרמטרים הבאים של הקלט:

    • ‫S3 URI: ה-URI של הקטגוריה (הפורמט צריך להיות: s3://log-bucket-name/). מחליפים את הערכים הבאים:
      • ‫log-bucket-name: שם הקטגוריה.
    • אפשרויות למחיקת מקור: בוחרים באפשרות Never delete files. הנתונים בקטגוריית S3 נשמרים למשך 7 ימים לפני שהם נמחקים.
    • גיל הקובץ המקסימלי: כולל קבצים ששונו במספר הימים האחרונים. ברירת המחדל היא 180 ימים.
    • מזהה מפתח הגישה: מפתח גישה של משתמש עם גישה לקטגוריית S3.
    • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3.

  9. לוחצים על הבא.

  10. בודקים את הגדרות הפיד החדש במסך סיום ולוחצים על שליחה.

    טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
indicator_value about.file.full_path מיפוי ישיר
indicator_value about.url מיפוי ישיר
_field additional.fields ממוזג
alertProvider_label additional.fields ממוזג
eventSourceType_label additional.fields ממוזג
hostId_label additional.fields ממוזג
incidentId_label additional.fields ממוזג
logKey_label additional.fields ממוזג
model_label additional.fields ממוזג
mpname_label additional.fields ממוזג
mpver_label additional.fields ממוזג
productCode_label additional.fields ממוזג
rtDate_label additional.fields ממוזג
description metadata.description מיפוי ישיר
createdDateTime metadata.event_timestamp נותח בתור ISO8601
logReceivedTime metadata.event_timestamp נותח בתור UNIX_MS
rt metadata.event_timestamp נותח בתור ISO8601
updatedDateTime metadata.event_timestamp נותח בתור ISO8601
fileOperation metadata.event_type מופה: Updated ← FILE_MODIFICATION
has_principal metadata.event_type מופה: true ← FILE_UNCATEGORIZED, true ← FILE_MODIFICATION, true ← `PROCESS_UNCAT...
eventName metadata.product_event_type מיפוי ישיר
eventId metadata.product_log_id מיפוי ישיר
id metadata.product_log_id מיפוי ישיר
pname metadata.product_name מיפוי ישיר
pver metadata.product_version מיפוי ישיר
schemaVersion metadata.product_version מיפוי ישיר
indicator_value network.email.mail_id מיפוי ישיר
indicator.value network.email.subject ממוזג
AccountDomain principal.administrative_domain מיפוי ישיר
domain principal.administrative_domain מיפוי ישיר
mDeviceGUID principal.asset.asset_id מיפוי ישיר
endpointHostName principal.asset.hostname מיפוי ישיר
entity.entityValue.name principal.asset.hostname מיפוי ישיר
entityValue_name principal.asset.ip ממוזג
ip principal.asset.ip ממוזג
src_ip principal.asset.ip ממוזג
endpointHostName principal.hostname מיפוי ישיר
entity.entityValue.name principal.hostname מיפוי ישיר
entityValue_name principal.ip ממוזג
ip principal.ip ממוזג
src_ip principal.ip ממוזג
indicator_value principal.process.command_line מיפוי ישיר
indicator_value principal.process.file.sha256 מיפוי ישיר
indicator_value principal.process.parent_process.command_line מיפוי ישיר
_field principal.resource.attribute.labels ממוזג
endpointGUID_label principal.resource.attribute.labels ממוזג
entityId_label principal.resource.attribute.labels ממוזג
entityValue_name_label principal.resource.attribute.labels ממוזג
key principal.resource.attribute.labels מופה: srchwvendor ← _field
managementScopeGroupId_label principal.resource.attribute.labels ממוזג
managementScopeInstanceId_label principal.resource.attribute.labels ממוזג
managementScopePartitionKey_label principal.resource.attribute.labels ממוזג
senderGUID_label principal.resource.attribute.labels ממוזג
uuid_label principal.resource.attribute.labels ממוזג
entity.entityValue principal.user.email_addresses ממוזג
indicator_value principal.user.email_addresses ממוזג
domain_value principal.user.user_display_name מיפוי ישיר
AccountName principal.user.userid מיפוי ישיר
entity_entityValue principal.user.userid מיפוי ישיר
indicator_value principal.user.userid מיפוי ישיר
suid principal.user.userid מיפוי ישיר
user_id_value principal.user.userid מיפוי ישיר
SecurityID principal.user.windows_sid מיפוי ישיר
sec security_result ממוזג
sec_isEntity security_result ממוזג
sec_res security_result ממוזג
sec_wasEntity security_result ממוזג
investigationResult security_result.about.investigation.comments ממוזג
investigationStatus security_result.about.investigation.status מופו: New ← NEW, Closed ← CLOSED, Open ← OPEN, Reviewed ← REVIEWED
fileOperation security_result.action_details מיפוי ישיר
cat security_result.category_details ממוזג
msg security_result.description מיפוי ישיר
LogonID_label security_result.detection_fields ממוזג
_field security_result.detection_fields ממוזג
access_right_label security_result.detection_fields ממוזג
detectionType_label security_result.detection_fields ממוזג
key security_result.detection_fields מופה: "status", "auditid" ← _field
modelId_label security_result.detection_fields ממוזג
modelType_label security_result.detection_fields ממוזג
ownerIds_label security_result.detection_fields ממוזג
prov_enance_label security_result.detection_fields ממוזג
proven_ance_label security_result.detection_fields ממוזג
relatedEntitie_label security_result.detection_fields ממוזג
relatedIndicatorId_label security_result.detection_fields ממוזג
status_label security_result.detection_fields ממוזג
subRuleId_label security_result.detection_fields ממוזג
subRuleName_label security_result.detection_fields ממוזג
winEventId_label security_result.detection_fields ממוזג
createdDateTime security_result.first_discovered_time שינוי שם/מיפוי
updatedDateTime security_result.last_updated_time שינוי שם/מיפוי
Score security_result.risk_score שינוי שם/מיפוי
score security_result.risk_score שינוי שם/מיפוי
ruleId security_result.rule_id מיפוי ישיר
ruleName security_result.rule_name מיפוי ישיר
severity security_result.severity_details מיפוי ישיר
workbenchLink security_result.url_back_to_product שינוי שם/מיפוי
filePathName target.file.full_path מיפוי ישיר
fullPath target.file.full_path מיפוי ישיר
file target.file.names ממוזג
indicator_value target.process.command_line מיפוי ישיר
processName target.process.file.full_path מיפוי ישיר
TarAccountName target.user.userid מיפוי ישיר
duser.0 target.user.userid מיפוי ישיר
TarAccountName target.user.windows_sid מיפוי ישיר
לא רלוונטי metadata.event_type קבוע: GENERIC_EVENT
לא רלוונטי metadata.product_name קבוע: TRENDMICRO VISION ONE WORKBENCH
לא רלוונטי metadata.vendor_name קבוע: TRENDMICRO VISION ONE WORKBENCH
לא רלוונטי security_result.about.investigation.status קבוע: NEW
לא רלוונטי security_result.severity קבוע: CRITICAL

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.