Trend Micro Vision One Workbench ログを収集する
以下でサポートされています。
Google SecOps
SIEM
このドキュメントでは、AWS S3 を使用して Trend Micro Vision One Workbench ログを Google Security Operations に取り込む方法について説明します。パーサーは、Trend Micro Vision One Workbench ログを JSON 形式から Unified Data Model（UDM）に変換します。
始める前に
- Google SecOps インスタンス
- Trend Micro Vision One への特権アクセス
Trend Micro Vision One でロギングを構成する
- Trend Micro Vision One コンソールにログインします。
- [Workflow and Automation] > [Third-Party Integration] に移動します。
- [Google Security Operations SIEM] をクリックします。
- [アクセスキー] で、[キーを生成] をクリックします。
- アクセスキー ID とシークレット アクセスキーをコピーして保存します。
- [データ転送] で、[Workbench データ] の横にある切り替えを有効にします。
- S3 URI が生成され、対応する S3 バケットへのデータの送信が開始されます。
- 後で使用するために、S3 URL をコピーして保存します。
フィードを設定する
フィードを構成する手順は次のとおりです。
- [SIEM 設定] > [フィード] に移動します。
- [Add New Feed] をクリックします。
- 次のページで、[単一のフィードを設定] をクリックします。
- [フィード名] フィールドに、フィードの名前を入力します（例:
Trend Micro Vision One Workbench Logs）。 - [ソースタイプ] として [Amazon S3 V2] を選択します。
- [ログタイプ] として [Trend Micro Vision One Workbench] を選択します。
- [次へ] をクリックします。
次の入力パラメータの値を指定します。
- S3 URI: バケット URI（形式は
s3://log-bucket-name/にする必要があります）。 次の項目を置き換えます。log-bucket-name: バケットの名前。
- ソース削除オプション: [ファイルを削除しない] を選択します。S3 バケット内のデータは、削除されるまで 7 日間保持されます。
- ファイルの最大経過日数: 指定した日数以内に変更されたファイルを含めます。デフォルトは 180 日です。
- アクセスキー ID: S3 バケットにアクセスできるユーザー アクセスキー。
- シークレット アクセスキー: S3 バケットにアクセスできるユーザーのシークレット キー。
- S3 URI: バケット URI（形式は
[次へ] をクリックします。
[Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。
UDM マッピング テーブル
| ログフィールド | UDM マッピング | ロジック |
|---|---|---|
indicator_value |
about.file.full_path |
直接マッピングされます。 |
indicator_value |
about.url |
直接マッピングされます。 |
_field |
additional.fields |
統合済み |
alertProvider_label |
additional.fields |
統合済み |
eventSourceType_label |
additional.fields |
統合済み |
hostId_label |
additional.fields |
統合済み |
incidentId_label |
additional.fields |
統合済み |
logKey_label |
additional.fields |
統合済み |
model_label |
additional.fields |
統合済み |
mpname_label |
additional.fields |
統合済み |
mpver_label |
additional.fields |
統合済み |
productCode_label |
additional.fields |
統合済み |
rtDate_label |
additional.fields |
統合済み |
description |
metadata.description |
直接マッピングされます。 |
createdDateTime |
metadata.event_timestamp |
ISO8601 として解析済み |
logReceivedTime |
metadata.event_timestamp |
UNIX_MS として解析済み |
rt |
metadata.event_timestamp |
ISO8601 として解析済み |
updatedDateTime |
metadata.event_timestamp |
ISO8601 として解析済み |
fileOperation |
metadata.event_type |
マッピング: Updated → FILE_MODIFICATION |
has_principal |
metadata.event_type |
マッピング: true → FILE_UNCATEGORIZED、true → FILE_MODIFICATION、true → `PROCESS_UNCAT... |
eventName |
metadata.product_event_type |
直接マッピングされます。 |
eventId |
metadata.product_log_id |
直接マッピングされます。 |
id |
metadata.product_log_id |
直接マッピングされます。 |
pname |
metadata.product_name |
直接マッピングされます。 |
pver |
metadata.product_version |
直接マッピングされます。 |
schemaVersion |
metadata.product_version |
直接マッピングされます。 |
indicator_value |
network.email.mail_id |
直接マッピングされます。 |
indicator.value |
network.email.subject |
統合済み |
AccountDomain |
principal.administrative_domain |
直接マッピングされます。 |
domain |
principal.administrative_domain |
直接マッピングされます。 |
mDeviceGUID |
principal.asset.asset_id |
直接マッピングされます。 |
endpointHostName |
principal.asset.hostname |
直接マッピングされます。 |
entity.entityValue.name |
principal.asset.hostname |
直接マッピングされます。 |
entityValue_name |
principal.asset.ip |
統合済み |
ip |
principal.asset.ip |
統合済み |
src_ip |
principal.asset.ip |
統合済み |
endpointHostName |
principal.hostname |
直接マッピングされます。 |
entity.entityValue.name |
principal.hostname |
直接マッピングされます。 |
entityValue_name |
principal.ip |
統合済み |
ip |
principal.ip |
統合済み |
src_ip |
principal.ip |
統合済み |
indicator_value |
principal.process.command_line |
直接マッピングされます。 |
indicator_value |
principal.process.file.sha256 |
直接マッピングされます。 |
indicator_value |
principal.process.parent_process.command_line |
直接マッピングされます。 |
_field |
principal.resource.attribute.labels |
統合済み |
endpointGUID_label |
principal.resource.attribute.labels |
統合済み |
entityId_label |
principal.resource.attribute.labels |
統合済み |
entityValue_name_label |
principal.resource.attribute.labels |
統合済み |
key |
principal.resource.attribute.labels |
マッピング: srchwvendor → _field |
managementScopeGroupId_label |
principal.resource.attribute.labels |
統合済み |
managementScopeInstanceId_label |
principal.resource.attribute.labels |
統合済み |
managementScopePartitionKey_label |
principal.resource.attribute.labels |
統合済み |
senderGUID_label |
principal.resource.attribute.labels |
統合済み |
uuid_label |
principal.resource.attribute.labels |
統合済み |
entity.entityValue |
principal.user.email_addresses |
統合済み |
indicator_value |
principal.user.email_addresses |
統合済み |
domain_value |
principal.user.user_display_name |
直接マッピングされます。 |
AccountName |
principal.user.userid |
直接マッピングされます。 |
entity_entityValue |
principal.user.userid |
直接マッピングされます。 |
indicator_value |
principal.user.userid |
直接マッピングされます。 |
suid |
principal.user.userid |
直接マッピングされます。 |
user_id_value |
principal.user.userid |
直接マッピングされます。 |
SecurityID |
principal.user.windows_sid |
直接マッピングされます。 |
sec |
security_result |
統合済み |
sec_isEntity |
security_result |
統合済み |
sec_res |
security_result |
統合済み |
sec_wasEntity |
security_result |
統合済み |
investigationResult |
security_result.about.investigation.comments |
統合済み |
investigationStatus |
security_result.about.investigation.status |
マッピング: New → NEW、Closed → CLOSED、Open → OPEN、Reviewed → REVIEWED |
fileOperation |
security_result.action_details |
直接マッピングされます。 |
cat |
security_result.category_details |
統合済み |
msg |
security_result.description |
直接マッピングされます。 |
LogonID_label |
security_result.detection_fields |
統合済み |
_field |
security_result.detection_fields |
統合済み |
access_right_label |
security_result.detection_fields |
統合済み |
detectionType_label |
security_result.detection_fields |
統合済み |
key |
security_result.detection_fields |
マッピング: "status", "auditid" → _field |
modelId_label |
security_result.detection_fields |
統合済み |
modelType_label |
security_result.detection_fields |
統合済み |
ownerIds_label |
security_result.detection_fields |
統合済み |
prov_enance_label |
security_result.detection_fields |
統合済み |
proven_ance_label |
security_result.detection_fields |
統合済み |
relatedEntitie_label |
security_result.detection_fields |
統合済み |
relatedIndicatorId_label |
security_result.detection_fields |
統合済み |
status_label |
security_result.detection_fields |
統合済み |
subRuleId_label |
security_result.detection_fields |
統合済み |
subRuleName_label |
security_result.detection_fields |
統合済み |
winEventId_label |
security_result.detection_fields |
統合済み |
createdDateTime |
security_result.first_discovered_time |
名前変更済み/マッピング済み |
updatedDateTime |
security_result.last_updated_time |
名前変更済み/マッピング済み |
Score |
security_result.risk_score |
名前変更済み/マッピング済み |
score |
security_result.risk_score |
名前変更済み/マッピング済み |
ruleId |
security_result.rule_id |
直接マッピングされます。 |
ruleName |
security_result.rule_name |
直接マッピングされます。 |
severity |
security_result.severity_details |
直接マッピングされます。 |
workbenchLink |
security_result.url_back_to_product |
名前変更済み/マッピング済み |
filePathName |
target.file.full_path |
直接マッピングされます。 |
fullPath |
target.file.full_path |
直接マッピングされます。 |
file |
target.file.names |
統合済み |
indicator_value |
target.process.command_line |
直接マッピングされます。 |
processName |
target.process.file.full_path |
直接マッピングされます。 |
TarAccountName |
target.user.userid |
直接マッピングされます。 |
duser.0 |
target.user.userid |
直接マッピングされます。 |
TarAccountName |
target.user.windows_sid |
直接マッピングされます。 |
| なし | metadata.event_type |
定数: GENERIC_EVENT |
| なし | metadata.product_name |
定数: TRENDMICRO VISION ONE WORKBENCH |
| なし | metadata.vendor_name |
定数: TRENDMICRO VISION ONE WORKBENCH |
| なし | security_result.about.investigation.status |
定数: NEW |
| なし | security_result.severity |
定数: CRITICAL |
変更ログ
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。