Raccogli i log di Trend Micro Vision One Workbench

Supportata in:

Questo documento spiega come importare i log di Trend Micro Vision One Workbench in Google Security Operations utilizzando AWS S3. Il parser trasforma i log di Trend Micro Vision One Workbench dal formato JSON in un Unified Data Model (UDM).

Prima di iniziare

  • Istanza Google SecOps
  • Accesso privilegiato a Trend Micro Vision One

Configura il logging su Trend Micro Vision One

  1. Accedi alla console Trend Micro Vision One.
  2. Vai a Workflow and Automation (Flusso di lavoro e automazione) > Third-Party Integration (Integrazione di terze parti).
  3. Fai clic su Google Security Operations SIEM.
  4. In Chiave di accesso, fai clic su Genera chiave.
  5. Copia e salva l'ID della chiave di accesso e la chiave di accesso segreta.
  6. In Trasferimento di dati, attiva l'opzione accanto a Dati di Workbench.
  7. Viene generato un URI S3 e i dati iniziano a essere inviati al bucket S3 corrispondente.
  8. Copia e salva l'URL S3 per utilizzarlo in un secondo momento.

Configura i feed

Per configurare un feed:

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad es. Trend Micro Vision One Workbench Logs).
  5. Seleziona Amazon S3 V2 come Tipo di origine.
  6. Seleziona Trend Micro Vision One Workbench come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • URI S3: l'URI del bucket (il formato deve essere: s3://log-bucket-name/). Sostituisci quanto segue:
      • log-bucket-name: il nome del bucket.
    • Opzioni di eliminazione dell'origine: seleziona Non eliminare mai i file. I dati nel bucket S3 vengono conservati per 7 giorni prima di essere eliminati.
    • Età massima dei file: include i file modificati negli ultimi giorni. Il valore predefinito è 180 giorni.
    • ID chiave di accesso: chiave di accesso utente con accesso al bucket S3.
    • Chiave di accesso segreta: chiave segreta dell'utente con accesso al bucket S3.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza e poi fai clic su Invia.

    Tabella di mappatura UDM

Campo del log mappatura UDM Logica
indicator_value about.file.full_path Mappatura diretta
indicator_value about.url Mappatura diretta
_field additional.fields Unita
alertProvider_label additional.fields Unita
eventSourceType_label additional.fields Unita
hostId_label additional.fields Unita
incidentId_label additional.fields Unita
logKey_label additional.fields Unita
model_label additional.fields Unita
mpname_label additional.fields Unita
mpver_label additional.fields Unita
productCode_label additional.fields Unita
rtDate_label additional.fields Unita
description metadata.description Mappatura diretta
createdDateTime metadata.event_timestamp Analizzato come ISO8601
logReceivedTime metadata.event_timestamp Analizzato come UNIX_MS
rt metadata.event_timestamp Analizzato come ISO8601
updatedDateTime metadata.event_timestamp Analizzato come ISO8601
fileOperation metadata.event_type Mappatura: Updated → FILE_MODIFICATION
has_principal metadata.event_type Mapped: true → FILE_UNCATEGORIZED, true → FILE_MODIFICATION, true → `PROCESS_UNCAT…
eventName metadata.product_event_type Mappatura diretta
eventId metadata.product_log_id Mappatura diretta
id metadata.product_log_id Mappatura diretta
pname metadata.product_name Mappatura diretta
pver metadata.product_version Mappatura diretta
schemaVersion metadata.product_version Mappatura diretta
indicator_value network.email.mail_id Mappatura diretta
indicator.value network.email.subject Unita
AccountDomain principal.administrative_domain Mappatura diretta
domain principal.administrative_domain Mappatura diretta
mDeviceGUID principal.asset.asset_id Mappatura diretta
endpointHostName principal.asset.hostname Mappatura diretta
entity.entityValue.name principal.asset.hostname Mappatura diretta
entityValue_name principal.asset.ip Unita
ip principal.asset.ip Unita
src_ip principal.asset.ip Unita
endpointHostName principal.hostname Mappatura diretta
entity.entityValue.name principal.hostname Mappatura diretta
entityValue_name principal.ip Unita
ip principal.ip Unita
src_ip principal.ip Unita
indicator_value principal.process.command_line Mappatura diretta
indicator_value principal.process.file.sha256 Mappatura diretta
indicator_value principal.process.parent_process.command_line Mappatura diretta
_field principal.resource.attribute.labels Unita
endpointGUID_label principal.resource.attribute.labels Unita
entityId_label principal.resource.attribute.labels Unita
entityValue_name_label principal.resource.attribute.labels Unita
key principal.resource.attribute.labels Mappatura: srchwvendor → _field
managementScopeGroupId_label principal.resource.attribute.labels Unita
managementScopeInstanceId_label principal.resource.attribute.labels Unita
managementScopePartitionKey_label principal.resource.attribute.labels Unita
senderGUID_label principal.resource.attribute.labels Unita
uuid_label principal.resource.attribute.labels Unita
entity.entityValue principal.user.email_addresses Unita
indicator_value principal.user.email_addresses Unita
domain_value principal.user.user_display_name Mappatura diretta
AccountName principal.user.userid Mappatura diretta
entity_entityValue principal.user.userid Mappatura diretta
indicator_value principal.user.userid Mappatura diretta
suid principal.user.userid Mappatura diretta
user_id_value principal.user.userid Mappatura diretta
SecurityID principal.user.windows_sid Mappatura diretta
sec security_result Unita
sec_isEntity security_result Unita
sec_res security_result Unita
sec_wasEntity security_result Unita
investigationResult security_result.about.investigation.comments Unita
investigationStatus security_result.about.investigation.status Mappatura: New → NEW, Closed → CLOSED, Open → OPEN, Reviewed → REVIEWED
fileOperation security_result.action_details Mappatura diretta
cat security_result.category_details Unita
msg security_result.description Mappatura diretta
LogonID_label security_result.detection_fields Unita
_field security_result.detection_fields Unita
access_right_label security_result.detection_fields Unita
detectionType_label security_result.detection_fields Unita
key security_result.detection_fields Mappatura: "status", "auditid" → _field
modelId_label security_result.detection_fields Unita
modelType_label security_result.detection_fields Unita
ownerIds_label security_result.detection_fields Unita
prov_enance_label security_result.detection_fields Unita
proven_ance_label security_result.detection_fields Unita
relatedEntitie_label security_result.detection_fields Unita
relatedIndicatorId_label security_result.detection_fields Unita
status_label security_result.detection_fields Unita
subRuleId_label security_result.detection_fields Unita
subRuleName_label security_result.detection_fields Unita
winEventId_label security_result.detection_fields Unita
createdDateTime security_result.first_discovered_time Rinominato/mappato
updatedDateTime security_result.last_updated_time Rinominato/mappato
Score security_result.risk_score Rinominato/mappato
score security_result.risk_score Rinominato/mappato
ruleId security_result.rule_id Mappatura diretta
ruleName security_result.rule_name Mappatura diretta
severity security_result.severity_details Mappatura diretta
workbenchLink security_result.url_back_to_product Rinominato/mappato
filePathName target.file.full_path Mappatura diretta
fullPath target.file.full_path Mappatura diretta
file target.file.names Unita
indicator_value target.process.command_line Mappatura diretta
processName target.process.file.full_path Mappatura diretta
TarAccountName target.user.userid Mappatura diretta
duser.0 target.user.userid Mappatura diretta
TarAccountName target.user.windows_sid Mappatura diretta
N/D metadata.event_type Costante: GENERIC_EVENT
N/D metadata.product_name Costante: TRENDMICRO VISION ONE WORKBENCH
N/D metadata.vendor_name Costante: TRENDMICRO VISION ONE WORKBENCH
N/D security_result.about.investigation.status Costante: NEW
N/D security_result.severity Costante: CRITICAL

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.