Trend Micro Vision One Workbench のログを収集する

以下でサポートされています。

このドキュメントでは、AWS S3 を使用して Trend Micro Vision One Workbench ログを Google Security Operations に取り込む方法について説明します。パーサーは、Trend Micro Vision One Workbench ログを JSON 形式から統合データモデル（UDM）に変換します。

始める前に

  • Google SecOps インスタンス
  • Trend Micro Vision One への特権アクセス

Trend Micro Vision One でロギングを構成する

  1. Trend Micro Vision One コンソールにログインします。
  2. [Workflow and Automation] > [Third-Party Integration] に移動します。
  3. [Google Security Operations SIEM] をクリックします。
  4. [アクセスキー] で [キーを生成] をクリックします。
  5. アクセスキー ID とシークレット アクセスキーをコピーして保存します。
  6. [データ転送] で、[ワークベンチ データ] の横にある切り替えを有効にします。
  7. S3 URI が生成され、対応する S3 バケットへのデータの送信が開始されます。
  8. 後で使用するために、S3 URL をコピーして保存します。

フィードを設定する

フィードを構成する手順は次のとおりです。

  1. [設定] > [データ管理] > [フィード] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [フィード] に移動します。
  2. [Add New Feed] をクリックします。
  3. 次のページで、[単一のフィードを構成する] をクリックします。
  4. [フィード名] フィールドに、フィードの名前を入力します（例: Trend Micro Vision One Workbench Logs）。
  5. [ソースタイプ] として [Amazon S3 V2] を選択します。
  6. [ログタイプ] として [Trend Micro Vision One Workbench] を選択します。
  7. [次へ] をクリックします。

  8. 次の入力パラメータの値を指定します。

    • S3 URI: バケット URI（形式は s3://log-bucket-name/）。次のように置き換えます。
      • log-bucket-name: バケットの名前。
    • ソース削除オプション: [ファイルを削除しない] を選択します。S3 バケット内のデータは 7 日間保持された後、パージされます。
    • ファイルの最長存続期間: 過去数日間に変更されたファイルが含まれます。デフォルトは 180 日です。
    • アクセスキー ID: S3 バケットにアクセスできるユーザー アクセスキー。
    • シークレット アクセスキー: S3 バケットにアクセスできるユーザーのシークレット キー。

  9. [次へ] をクリックします。

  10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

    UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
indicator_value about.file.full_path 直接マッピングされます。
indicator_value about.url 直接マッピングされます。
_field additional.fields 統合済み
alertProvider_label additional.fields 統合済み
eventSourceType_label additional.fields 統合済み
hostId_label additional.fields 統合済み
incidentId_label additional.fields 統合済み
logKey_label additional.fields 統合済み
model_label additional.fields 統合済み
mpname_label additional.fields 統合済み
mpver_label additional.fields 統合済み
productCode_label additional.fields 統合済み
rtDate_label additional.fields 統合済み
description metadata.description 直接マッピングされます。
createdDateTime metadata.event_timestamp ISO8601 として解析
logReceivedTime metadata.event_timestamp UNIX_MS として解析
rt metadata.event_timestamp ISO8601 として解析
updatedDateTime metadata.event_timestamp ISO8601 として解析
fileOperation metadata.event_type マッピング済み: Updated → FILE_MODIFICATION
has_principal metadata.event_type マッピング済み: true → FILE_UNCATEGORIZED、true → FILE_MODIFICATION、true → `PROCESS_UNCAT...
eventName metadata.product_event_type 直接マッピングされます。
eventId metadata.product_log_id 直接マッピングされます。
id metadata.product_log_id 直接マッピングされます。
pname metadata.product_name 直接マッピングされます。
pver metadata.product_version 直接マッピングされます。
schemaVersion metadata.product_version 直接マッピングされます。
indicator_value network.email.mail_id 直接マッピングされます。
indicator.value network.email.subject 統合済み
AccountDomain principal.administrative_domain 直接マッピングされます。
domain principal.administrative_domain 直接マッピングされます。
mDeviceGUID principal.asset.asset_id 直接マッピングされます。
endpointHostName principal.asset.hostname 直接マッピングされます。
entity.entityValue.name principal.asset.hostname 直接マッピングされます。
entityValue_name principal.asset.ip 統合済み
ip principal.asset.ip 統合済み
src_ip principal.asset.ip 統合済み
endpointHostName principal.hostname 直接マッピングされます。
entity.entityValue.name principal.hostname 直接マッピングされます。
entityValue_name principal.ip 統合済み
ip principal.ip 統合済み
src_ip principal.ip 統合済み
indicator_value principal.process.command_line 直接マッピングされます。
indicator_value principal.process.file.sha256 直接マッピングされます。
indicator_value principal.process.parent_process.command_line 直接マッピングされます。
_field principal.resource.attribute.labels 統合済み
endpointGUID_label principal.resource.attribute.labels 統合済み
entityId_label principal.resource.attribute.labels 統合済み
entityValue_name_label principal.resource.attribute.labels 統合済み
key principal.resource.attribute.labels マッピング済み: srchwvendor → _field
managementScopeGroupId_label principal.resource.attribute.labels 統合済み
managementScopeInstanceId_label principal.resource.attribute.labels 統合済み
managementScopePartitionKey_label principal.resource.attribute.labels 統合済み
senderGUID_label principal.resource.attribute.labels 統合済み
uuid_label principal.resource.attribute.labels 統合済み
entity.entityValue principal.user.email_addresses 統合済み
indicator_value principal.user.email_addresses 統合済み
domain_value principal.user.user_display_name 直接マッピングされます。
AccountName principal.user.userid 直接マッピングされます。
entity_entityValue principal.user.userid 直接マッピングされます。
indicator_value principal.user.userid 直接マッピングされます。
suid principal.user.userid 直接マッピングされます。
user_id_value principal.user.userid 直接マッピングされます。
SecurityID principal.user.windows_sid 直接マッピングされます。
sec security_result 統合済み
sec_isEntity security_result 統合済み
sec_res security_result 統合済み
sec_wasEntity security_result 統合済み
investigationResult security_result.about.investigation.comments 統合済み
investigationStatus security_result.about.investigation.status マッピング: New → NEW、Closed → CLOSED、Open → OPEN、Reviewed → REVIEWED
fileOperation security_result.action_details 直接マッピングされます。
cat security_result.category_details 統合済み
msg security_result.description 直接マッピングされます。
LogonID_label security_result.detection_fields 統合済み
_field security_result.detection_fields 統合済み
access_right_label security_result.detection_fields 統合済み
detectionType_label security_result.detection_fields 統合済み
key security_result.detection_fields マッピング済み: "status", "auditid" → _field
modelId_label security_result.detection_fields 統合済み
modelType_label security_result.detection_fields 統合済み
ownerIds_label security_result.detection_fields 統合済み
prov_enance_label security_result.detection_fields 統合済み
proven_ance_label security_result.detection_fields 統合済み
relatedEntitie_label security_result.detection_fields 統合済み
relatedIndicatorId_label security_result.detection_fields 統合済み
status_label security_result.detection_fields 統合済み
subRuleId_label security_result.detection_fields 統合済み
subRuleName_label security_result.detection_fields 統合済み
winEventId_label security_result.detection_fields 統合済み
createdDateTime security_result.first_discovered_time 名前変更 / マッピング
updatedDateTime security_result.last_updated_time 名前変更 / マッピング
Score security_result.risk_score 名前変更 / マッピング
score security_result.risk_score 名前変更 / マッピング
ruleId security_result.rule_id 直接マッピングされます。
ruleName security_result.rule_name 直接マッピングされます。
severity security_result.severity_details 直接マッピングされます。
workbenchLink security_result.url_back_to_product 名前変更 / マッピング
filePathName target.file.full_path 直接マッピングされます。
fullPath target.file.full_path 直接マッピングされます。
file target.file.names 統合済み
indicator_value target.process.command_line 直接マッピングされます。
processName target.process.file.full_path 直接マッピングされます。
TarAccountName target.user.userid 直接マッピングされます。
duser.0 target.user.userid 直接マッピングされます。
TarAccountName target.user.windows_sid 直接マッピングされます。
なし metadata.event_type 定数: GENERIC_EVENT
なし metadata.product_name 定数: TRENDMICRO VISION ONE WORKBENCH
なし metadata.vendor_name 定数: TRENDMICRO VISION ONE WORKBENCH
なし security_result.about.investigation.status 定数: NEW
なし security_result.severity 定数: CRITICAL

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。