Trend Micro Vision One Workbench 로그 수집
다음에서 지원:
Google SecOps
SIEM
이 문서에서는 AWS S3를 사용하여 Trend Micro Vision One Workbench 로그를 Google Security Operations로 수집하는 방법을 설명합니다. 파서는 Trend Micro Vision One Workbench 로그를 JSON 형식에서 통합 데이터 모델 (UDM)로 변환합니다.
시작하기 전에
- Google SecOps 인스턴스
- Trend Micro Vision One에 대한 액세스 권한
Trend Micro Vision One에서 로깅 구성
- Trend Micro Vision One 콘솔에 로그인합니다.
- 워크플로 및 자동화 > 서드 파티 통합으로 이동합니다.
- Google Security Operations SIEM을 클릭합니다.
- 액세스 키에서 키 생성을 클릭합니다.
- 액세스 키 ID와 보안 비밀 액세스 키를 복사하여 저장합니다.
- 데이터 전송에서 Workbench 데이터 옆의 전환 버튼을 사용 설정합니다.
- S3 URI가 생성되고 데이터가 해당 S3 버킷으로 전송되기 시작합니다.
- 나중에 사용할 수 있도록 S3 URL을 복사하여 저장합니다.
피드 설정
피드를 구성하려면 다음 단계를 따르세요.
- SIEM 설정 > 피드로 이동합니다.
- 새 피드 추가를 클릭합니다.
- 다음 페이지에서 단일 피드 구성을 클릭합니다.
- 피드 이름 필드에 피드 이름을 입력합니다(예:
Trend Micro Vision One Workbench Logs). - 소스 유형으로 Amazon S3 V2를 선택합니다.
- 로그 유형으로 Trend Micro Vision One Workbench를 선택합니다.
- 다음을 클릭합니다.
다음 입력 매개변수의 값을 지정합니다.
- S3 URI: 버킷 URI (형식은
s3://log-bucket-name/여야 함). 다음을 대체하세요.log-bucket-name: 버킷의 이름입니다.
- 소스 삭제 옵션: 파일 삭제 안함을 선택합니다. S3 버킷의 데이터는 삭제되기 전 7일 동안 보관됩니다.
- 최대 파일 기간: 지난 일수 동안 수정된 파일을 포함합니다. 기본값은 180일입니다.
- 액세스 키 ID: S3 버킷에 대한 액세스 권한이 있는 사용자 액세스 키입니다.
- 보안 비밀 액세스 키: S3 버킷에 액세스할 수 있는 사용자 보안 비밀 키입니다.
- S3 URI: 버킷 URI (형식은
다음을 클릭합니다.
확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.
UDM 매핑 테이블
| 로그 필드 | UDM 매핑 | 로직 |
|---|---|---|
indicator_value |
about.file.full_path |
직접 매핑됨 |
indicator_value |
about.url |
직접 매핑됨 |
_field |
additional.fields |
병합됨 |
alertProvider_label |
additional.fields |
병합됨 |
eventSourceType_label |
additional.fields |
병합됨 |
hostId_label |
additional.fields |
병합됨 |
incidentId_label |
additional.fields |
병합됨 |
logKey_label |
additional.fields |
병합됨 |
model_label |
additional.fields |
병합됨 |
mpname_label |
additional.fields |
병합됨 |
mpver_label |
additional.fields |
병합됨 |
productCode_label |
additional.fields |
병합됨 |
rtDate_label |
additional.fields |
병합됨 |
description |
metadata.description |
직접 매핑됨 |
createdDateTime |
metadata.event_timestamp |
ISO8601로 파싱됨 |
logReceivedTime |
metadata.event_timestamp |
UNIX_MS로 파싱됨 |
rt |
metadata.event_timestamp |
ISO8601로 파싱됨 |
updatedDateTime |
metadata.event_timestamp |
ISO8601로 파싱됨 |
fileOperation |
metadata.event_type |
매핑됨: Updated → FILE_MODIFICATION |
has_principal |
metadata.event_type |
매핑됨: true → FILE_UNCATEGORIZED, true → FILE_MODIFICATION, true → `PROCESS_UNCAT… |
eventName |
metadata.product_event_type |
직접 매핑됨 |
eventId |
metadata.product_log_id |
직접 매핑됨 |
id |
metadata.product_log_id |
직접 매핑됨 |
pname |
metadata.product_name |
직접 매핑됨 |
pver |
metadata.product_version |
직접 매핑됨 |
schemaVersion |
metadata.product_version |
직접 매핑됨 |
indicator_value |
network.email.mail_id |
직접 매핑됨 |
indicator.value |
network.email.subject |
병합됨 |
AccountDomain |
principal.administrative_domain |
직접 매핑됨 |
domain |
principal.administrative_domain |
직접 매핑됨 |
mDeviceGUID |
principal.asset.asset_id |
직접 매핑됨 |
endpointHostName |
principal.asset.hostname |
직접 매핑됨 |
entity.entityValue.name |
principal.asset.hostname |
직접 매핑됨 |
entityValue_name |
principal.asset.ip |
병합됨 |
ip |
principal.asset.ip |
병합됨 |
src_ip |
principal.asset.ip |
병합됨 |
endpointHostName |
principal.hostname |
직접 매핑됨 |
entity.entityValue.name |
principal.hostname |
직접 매핑됨 |
entityValue_name |
principal.ip |
병합됨 |
ip |
principal.ip |
병합됨 |
src_ip |
principal.ip |
병합됨 |
indicator_value |
principal.process.command_line |
직접 매핑됨 |
indicator_value |
principal.process.file.sha256 |
직접 매핑됨 |
indicator_value |
principal.process.parent_process.command_line |
직접 매핑됨 |
_field |
principal.resource.attribute.labels |
병합됨 |
endpointGUID_label |
principal.resource.attribute.labels |
병합됨 |
entityId_label |
principal.resource.attribute.labels |
병합됨 |
entityValue_name_label |
principal.resource.attribute.labels |
병합됨 |
key |
principal.resource.attribute.labels |
매핑됨: srchwvendor → _field |
managementScopeGroupId_label |
principal.resource.attribute.labels |
병합됨 |
managementScopeInstanceId_label |
principal.resource.attribute.labels |
병합됨 |
managementScopePartitionKey_label |
principal.resource.attribute.labels |
병합됨 |
senderGUID_label |
principal.resource.attribute.labels |
병합됨 |
uuid_label |
principal.resource.attribute.labels |
병합됨 |
entity.entityValue |
principal.user.email_addresses |
병합됨 |
indicator_value |
principal.user.email_addresses |
병합됨 |
domain_value |
principal.user.user_display_name |
직접 매핑됨 |
AccountName |
principal.user.userid |
직접 매핑됨 |
entity_entityValue |
principal.user.userid |
직접 매핑됨 |
indicator_value |
principal.user.userid |
직접 매핑됨 |
suid |
principal.user.userid |
직접 매핑됨 |
user_id_value |
principal.user.userid |
직접 매핑됨 |
SecurityID |
principal.user.windows_sid |
직접 매핑됨 |
sec |
security_result |
병합됨 |
sec_isEntity |
security_result |
병합됨 |
sec_res |
security_result |
병합됨 |
sec_wasEntity |
security_result |
병합됨 |
investigationResult |
security_result.about.investigation.comments |
병합됨 |
investigationStatus |
security_result.about.investigation.status |
매핑됨: New → NEW, Closed → CLOSED, Open → OPEN, Reviewed → REVIEWED |
fileOperation |
security_result.action_details |
직접 매핑됨 |
cat |
security_result.category_details |
병합됨 |
msg |
security_result.description |
직접 매핑됨 |
LogonID_label |
security_result.detection_fields |
병합됨 |
_field |
security_result.detection_fields |
병합됨 |
access_right_label |
security_result.detection_fields |
병합됨 |
detectionType_label |
security_result.detection_fields |
병합됨 |
key |
security_result.detection_fields |
매핑됨: "status", "auditid" → _field |
modelId_label |
security_result.detection_fields |
병합됨 |
modelType_label |
security_result.detection_fields |
병합됨 |
ownerIds_label |
security_result.detection_fields |
병합됨 |
prov_enance_label |
security_result.detection_fields |
병합됨 |
proven_ance_label |
security_result.detection_fields |
병합됨 |
relatedEntitie_label |
security_result.detection_fields |
병합됨 |
relatedIndicatorId_label |
security_result.detection_fields |
병합됨 |
status_label |
security_result.detection_fields |
병합됨 |
subRuleId_label |
security_result.detection_fields |
병합됨 |
subRuleName_label |
security_result.detection_fields |
병합됨 |
winEventId_label |
security_result.detection_fields |
병합됨 |
createdDateTime |
security_result.first_discovered_time |
이름이 변경됨/매핑됨 |
updatedDateTime |
security_result.last_updated_time |
이름이 변경됨/매핑됨 |
Score |
security_result.risk_score |
이름이 변경됨/매핑됨 |
score |
security_result.risk_score |
이름이 변경됨/매핑됨 |
ruleId |
security_result.rule_id |
직접 매핑됨 |
ruleName |
security_result.rule_name |
직접 매핑됨 |
severity |
security_result.severity_details |
직접 매핑됨 |
workbenchLink |
security_result.url_back_to_product |
이름이 변경됨/매핑됨 |
filePathName |
target.file.full_path |
직접 매핑됨 |
fullPath |
target.file.full_path |
직접 매핑됨 |
file |
target.file.names |
병합됨 |
indicator_value |
target.process.command_line |
직접 매핑됨 |
processName |
target.process.file.full_path |
직접 매핑됨 |
TarAccountName |
target.user.userid |
직접 매핑됨 |
duser.0 |
target.user.userid |
직접 매핑됨 |
TarAccountName |
target.user.windows_sid |
직접 매핑됨 |
| 해당 사항 없음 | metadata.event_type |
상수: GENERIC_EVENT |
| 해당 사항 없음 | metadata.product_name |
상수: TRENDMICRO VISION ONE WORKBENCH |
| 해당 사항 없음 | metadata.vendor_name |
상수: TRENDMICRO VISION ONE WORKBENCH |
| 해당 사항 없음 | security_result.about.investigation.status |
상수: NEW |
| 해당 사항 없음 | security_result.severity |
상수: CRITICAL |
변경 로그
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.