Mengumpulkan log Trend Micro Vision One Workbench

Didukung di:

Dokumen ini menjelaskan cara menyerap log Trend Micro Vision One Workbench ke Google Security Operations menggunakan AWS S3. Parser mengubah log Trend Micro Vision One Workbench dari format JSON menjadi Model Data Terpadu (UDM).

Sebelum memulai

  • Instance Google SecOps
  • Akses istimewa ke Trend Micro Vision One

Mengonfigurasi Logging di Trend Micro Vision One

  1. Login ke konsol Trend Micro Vision One.
  2. Buka Workflow and Automation > Third-Party Integration.
  3. Klik Google Security Operations SIEM.
  4. Di bagian Kunci akses, klik Buat kunci.
  5. Salin dan simpan ID kunci akses dan kunci akses rahasia.
  6. Di bagian Transfer data, aktifkan tombol di samping Data Workbench.
  7. URI S3 dibuat dan data mulai dikirim ke bucket S3 yang sesuai.
  8. Salin dan simpan URL S3 untuk digunakan nanti.

Menyiapkan feed

Untuk mengonfigurasi feed, ikuti langkah-langkah berikut:

  1. Buka Setelan SIEM > Feed.
  2. Klik Tambahkan Feed Baru.
  3. Di halaman berikutnya, klik Konfigurasi satu feed.
  4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Trend Micro Vision One Workbench Logs).
  5. Pilih Amazon S3 V2 sebagai Jenis sumber.
  6. Pilih Trend Micro Vision One Workbench sebagai Log type.
  7. Klik Berikutnya.

  8. Tentukan nilai untuk parameter input berikut:

    • S3 URI: URI bucket (formatnya harus: s3://log-bucket-name/). Ganti berikut ini:
      • log-bucket-name: nama bucket.
    • Opsi penghapusan sumber: Pilih Jangan pernah hapus file. Data di bucket S3 dipertahankan selama 7 hari sebelum dihapus.
    • Usia File Maksimum: Menyertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.
    • ID Kunci Akses: Kunci akses pengguna dengan akses ke bucket S3.
    • Secret Access Key: Kunci rahasia pengguna dengan akses ke bucket S3.

  9. Klik Berikutnya.

  10. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

    Tabel pemetaan UDM

Kolom log Pemetaan UDM Logika
indicator_value about.file.full_path Dipetakan secara langsung
indicator_value about.url Dipetakan secara langsung
_field additional.fields Digabung
alertProvider_label additional.fields Digabung
eventSourceType_label additional.fields Digabung
hostId_label additional.fields Digabung
incidentId_label additional.fields Digabung
logKey_label additional.fields Digabung
model_label additional.fields Digabung
mpname_label additional.fields Digabung
mpver_label additional.fields Digabung
productCode_label additional.fields Digabung
rtDate_label additional.fields Digabung
description metadata.description Dipetakan secara langsung
createdDateTime metadata.event_timestamp Diuraikan sebagai ISO8601
logReceivedTime metadata.event_timestamp Diuraikan sebagai UNIX_MS
rt metadata.event_timestamp Diuraikan sebagai ISO8601
updatedDateTime metadata.event_timestamp Diuraikan sebagai ISO8601
fileOperation metadata.event_type Dipetakan: Updated → FILE_MODIFICATION
has_principal metadata.event_type Dipetakan: true → FILE_UNCATEGORIZED, true → FILE_MODIFICATION, true → `PROCESS_UNCAT...
eventName metadata.product_event_type Dipetakan secara langsung
eventId metadata.product_log_id Dipetakan secara langsung
id metadata.product_log_id Dipetakan secara langsung
pname metadata.product_name Dipetakan secara langsung
pver metadata.product_version Dipetakan secara langsung
schemaVersion metadata.product_version Dipetakan secara langsung
indicator_value network.email.mail_id Dipetakan secara langsung
indicator.value network.email.subject Digabung
AccountDomain principal.administrative_domain Dipetakan secara langsung
domain principal.administrative_domain Dipetakan secara langsung
mDeviceGUID principal.asset.asset_id Dipetakan secara langsung
endpointHostName principal.asset.hostname Dipetakan secara langsung
entity.entityValue.name principal.asset.hostname Dipetakan secara langsung
entityValue_name principal.asset.ip Digabung
ip principal.asset.ip Digabung
src_ip principal.asset.ip Digabung
endpointHostName principal.hostname Dipetakan secara langsung
entity.entityValue.name principal.hostname Dipetakan secara langsung
entityValue_name principal.ip Digabung
ip principal.ip Digabung
src_ip principal.ip Digabung
indicator_value principal.process.command_line Dipetakan secara langsung
indicator_value principal.process.file.sha256 Dipetakan secara langsung
indicator_value principal.process.parent_process.command_line Dipetakan secara langsung
_field principal.resource.attribute.labels Digabung
endpointGUID_label principal.resource.attribute.labels Digabung
entityId_label principal.resource.attribute.labels Digabung
entityValue_name_label principal.resource.attribute.labels Digabung
key principal.resource.attribute.labels Dipetakan: srchwvendor → _field
managementScopeGroupId_label principal.resource.attribute.labels Digabung
managementScopeInstanceId_label principal.resource.attribute.labels Digabung
managementScopePartitionKey_label principal.resource.attribute.labels Digabung
senderGUID_label principal.resource.attribute.labels Digabung
uuid_label principal.resource.attribute.labels Digabung
entity.entityValue principal.user.email_addresses Digabung
indicator_value principal.user.email_addresses Digabung
domain_value principal.user.user_display_name Dipetakan secara langsung
AccountName principal.user.userid Dipetakan secara langsung
entity_entityValue principal.user.userid Dipetakan secara langsung
indicator_value principal.user.userid Dipetakan secara langsung
suid principal.user.userid Dipetakan secara langsung
user_id_value principal.user.userid Dipetakan secara langsung
SecurityID principal.user.windows_sid Dipetakan secara langsung
sec security_result Digabung
sec_isEntity security_result Digabung
sec_res security_result Digabung
sec_wasEntity security_result Digabung
investigationResult security_result.about.investigation.comments Digabung
investigationStatus security_result.about.investigation.status Dipetakan: New → NEW, Closed → CLOSED, Open → OPEN, Reviewed → REVIEWED
fileOperation security_result.action_details Dipetakan secara langsung
cat security_result.category_details Digabung
msg security_result.description Dipetakan secara langsung
LogonID_label security_result.detection_fields Digabung
_field security_result.detection_fields Digabung
access_right_label security_result.detection_fields Digabung
detectionType_label security_result.detection_fields Digabung
key security_result.detection_fields Dipetakan: "status", "auditid" → _field
modelId_label security_result.detection_fields Digabung
modelType_label security_result.detection_fields Digabung
ownerIds_label security_result.detection_fields Digabung
prov_enance_label security_result.detection_fields Digabung
proven_ance_label security_result.detection_fields Digabung
relatedEntitie_label security_result.detection_fields Digabung
relatedIndicatorId_label security_result.detection_fields Digabung
status_label security_result.detection_fields Digabung
subRuleId_label security_result.detection_fields Digabung
subRuleName_label security_result.detection_fields Digabung
winEventId_label security_result.detection_fields Digabung
createdDateTime security_result.first_discovered_time Diganti nama/dipetakan
updatedDateTime security_result.last_updated_time Diganti nama/dipetakan
Score security_result.risk_score Diganti nama/dipetakan
score security_result.risk_score Diganti nama/dipetakan
ruleId security_result.rule_id Dipetakan secara langsung
ruleName security_result.rule_name Dipetakan secara langsung
severity security_result.severity_details Dipetakan secara langsung
workbenchLink security_result.url_back_to_product Diganti nama/dipetakan
filePathName target.file.full_path Dipetakan secara langsung
fullPath target.file.full_path Dipetakan secara langsung
file target.file.names Digabung
indicator_value target.process.command_line Dipetakan secara langsung
processName target.process.file.full_path Dipetakan secara langsung
TarAccountName target.user.userid Dipetakan secara langsung
duser.0 target.user.userid Dipetakan secara langsung
TarAccountName target.user.windows_sid Dipetakan secara langsung
T/A metadata.event_type Konstanta: GENERIC_EVENT
T/A metadata.product_name Konstanta: TRENDMICRO VISION ONE WORKBENCH
T/A metadata.vendor_name Konstanta: TRENDMICRO VISION ONE WORKBENCH
T/A security_result.about.investigation.status Konstanta: NEW
T/A security_result.severity Konstanta: CRITICAL

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.