Raccogliere i log di Trend Micro Vision One Workbench

Supportato in:

Questo documento spiega come importare i log di Trend Micro Vision One Workbench in Google Security Operations utilizzando AWS S3. Il parser trasforma i log di Trend Micro Vision One Workbench dal formato JSON in un modello Unified Data Model (UDM).

Prima di iniziare

  • Istanza Google SecOps
  • Accesso privilegiato a Trend Micro Vision One

Configura la registrazione su Trend Micro Vision One

  1. Accedi alla console Trend Micro Vision One.
  2. Vai a Workflow e Automation > Integrazione di terze parti.
  3. Fai clic su Google Security Operations SIEM.
  4. Nella sezione Chiave di accesso, fai clic su Genera chiave.
  5. Copia e salva l'ID chiave di accesso e la chiave di accesso segreta.
  6. Nella sezione Trasferimento dati, attiva il pulsante di attivazione/disattivazione accanto a Dati di Workbench.
  7. Viene generato un URI S3 e i dati iniziano a essere inviati al bucket S3 corrispondente.
  8. Copia e salva l'URL S3 per utilizzarlo in un secondo momento.

Configura i feed

Per configurare un feed:

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, Trend Micro Vision One Workbench Logs).
  5. Seleziona Amazon S3 V2 come Tipo di origine.
  6. Seleziona Trend Micro Vision One Workbench come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • URI S3: l'URI del bucket (il formato deve essere: s3://log-bucket-name/). Sostituisci quanto segue:
      • log-bucket-name: il nome del bucket.
    • Opzioni di eliminazione delle origini: seleziona Non eliminare mai i file. I dati nel bucket S3 vengono conservati per 7 giorni prima di essere eliminati.
    • Età massima file: include i file modificati nell'ultimo numero di giorni. Il valore predefinito è 180 giorni.
    • ID chiave di accesso: chiave di accesso utente con accesso al bucket S3.
    • Chiave di accesso segreta: chiave segreta dell'utente con accesso al bucket S3.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

    Tabella di mappatura UDM

Campo log mappatura UDM Logica
indicator_value about.file.full_path Mappato direttamente
indicator_value about.url Mappato direttamente
_field additional.fields Unita
alertProvider_label additional.fields Unita
eventSourceType_label additional.fields Unita
hostId_label additional.fields Unita
incidentId_label additional.fields Unita
logKey_label additional.fields Unita
model_label additional.fields Unita
mpname_label additional.fields Unita
mpver_label additional.fields Unita
productCode_label additional.fields Unita
rtDate_label additional.fields Unita
description metadata.description Mappato direttamente
createdDateTime metadata.event_timestamp Analizzato come ISO8601
logReceivedTime metadata.event_timestamp Analizzato come UNIX_MS
rt metadata.event_timestamp Analizzato come ISO8601
updatedDateTime metadata.event_timestamp Analizzato come ISO8601
fileOperation metadata.event_type Mappato: Updated → FILE_MODIFICATION
has_principal metadata.event_type Mappato: true → FILE_UNCATEGORIZED, true → FILE_MODIFICATION, true → `PROCESS_UNCAT…
eventName metadata.product_event_type Mappato direttamente
eventId metadata.product_log_id Mappato direttamente
id metadata.product_log_id Mappato direttamente
pname metadata.product_name Mappato direttamente
pver metadata.product_version Mappato direttamente
schemaVersion metadata.product_version Mappato direttamente
indicator_value network.email.mail_id Mappato direttamente
indicator.value network.email.subject Unita
AccountDomain principal.administrative_domain Mappato direttamente
domain principal.administrative_domain Mappato direttamente
mDeviceGUID principal.asset.asset_id Mappato direttamente
endpointHostName principal.asset.hostname Mappato direttamente
entity.entityValue.name principal.asset.hostname Mappato direttamente
entityValue_name principal.asset.ip Unita
ip principal.asset.ip Unita
src_ip principal.asset.ip Unita
endpointHostName principal.hostname Mappato direttamente
entity.entityValue.name principal.hostname Mappato direttamente
entityValue_name principal.ip Unita
ip principal.ip Unita
src_ip principal.ip Unita
indicator_value principal.process.command_line Mappato direttamente
indicator_value principal.process.file.sha256 Mappato direttamente
indicator_value principal.process.parent_process.command_line Mappato direttamente
_field principal.resource.attribute.labels Unita
endpointGUID_label principal.resource.attribute.labels Unita
entityId_label principal.resource.attribute.labels Unita
entityValue_name_label principal.resource.attribute.labels Unita
key principal.resource.attribute.labels Mappato: srchwvendor → _field
managementScopeGroupId_label principal.resource.attribute.labels Unita
managementScopeInstanceId_label principal.resource.attribute.labels Unita
managementScopePartitionKey_label principal.resource.attribute.labels Unita
senderGUID_label principal.resource.attribute.labels Unita
uuid_label principal.resource.attribute.labels Unita
entity.entityValue principal.user.email_addresses Unita
indicator_value principal.user.email_addresses Unita
domain_value principal.user.user_display_name Mappato direttamente
AccountName principal.user.userid Mappato direttamente
entity_entityValue principal.user.userid Mappato direttamente
indicator_value principal.user.userid Mappato direttamente
suid principal.user.userid Mappato direttamente
user_id_value principal.user.userid Mappato direttamente
SecurityID principal.user.windows_sid Mappato direttamente
sec security_result Unita
sec_isEntity security_result Unita
sec_res security_result Unita
sec_wasEntity security_result Unita
investigationResult security_result.about.investigation.comments Unita
investigationStatus security_result.about.investigation.status Mappato: New → NEW, Closed → CLOSED, Open → OPEN, Reviewed → REVIEWED
fileOperation security_result.action_details Mappato direttamente
cat security_result.category_details Unita
msg security_result.description Mappato direttamente
LogonID_label security_result.detection_fields Unita
_field security_result.detection_fields Unita
access_right_label security_result.detection_fields Unita
detectionType_label security_result.detection_fields Unita
key security_result.detection_fields Mappato: "status", "auditid" → _field
modelId_label security_result.detection_fields Unita
modelType_label security_result.detection_fields Unita
ownerIds_label security_result.detection_fields Unita
prov_enance_label security_result.detection_fields Unita
proven_ance_label security_result.detection_fields Unita
relatedEntitie_label security_result.detection_fields Unita
relatedIndicatorId_label security_result.detection_fields Unita
status_label security_result.detection_fields Unita
subRuleId_label security_result.detection_fields Unita
subRuleName_label security_result.detection_fields Unita
winEventId_label security_result.detection_fields Unita
createdDateTime security_result.first_discovered_time Rinominate/mappate
updatedDateTime security_result.last_updated_time Rinominate/mappate
Score security_result.risk_score Rinominate/mappate
score security_result.risk_score Rinominate/mappate
ruleId security_result.rule_id Mappato direttamente
ruleName security_result.rule_name Mappato direttamente
severity security_result.severity_details Mappato direttamente
workbenchLink security_result.url_back_to_product Rinominate/mappate
filePathName target.file.full_path Mappato direttamente
fullPath target.file.full_path Mappato direttamente
file target.file.names Unita
indicator_value target.process.command_line Mappato direttamente
processName target.process.file.full_path Mappato direttamente
TarAccountName target.user.userid Mappato direttamente
duser.0 target.user.userid Mappato direttamente
TarAccountName target.user.windows_sid Mappato direttamente
N/D metadata.event_type Costante: GENERIC_EVENT
N/D metadata.product_name Costante: TRENDMICRO VISION ONE WORKBENCH
N/D metadata.vendor_name Costante: TRENDMICRO VISION ONE WORKBENCH
N/D security_result.about.investigation.status Costante: NEW
N/D security_result.severity Costante: CRITICAL

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.