Collecter les journaux Trend Micro Apex One

Compatible avec:

Google SecOps SIEM

Remarque :Cette fonctionnalité est couverte par les Conditions des offres avant disponibilité générale des conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Consignes relatives au service d'assistance technique Google Security Operations et les Conditions spécifiques du service Google Security Operations.

Ce document explique comment collecter les journaux Trend Micro Apex One. L'analyseur extrait les données des messages syslog, en particulier ceux mis en forme avec des paires clé-valeur et précédés du préfixe "CEF:". Il utilise des expressions régulières et une logique conditionnelle pour mapper les champs CEF sur l'UDM, en catégorisant les événements en fonction de la présence d'informations utilisateur ou système, et en identifiant la plate-forme du système d'exploitation. Les messages au format autre que CEF sont supprimés.

Avant de commencer

• Assurez-vous de disposer d'une instance Google Security Operations.
• Assurez-vous d'utiliser Windows 2016 ou une version ultérieure, ou un hôte Linux avec systemd.
• Si vous exécutez l'application derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts.
• Assurez-vous de disposer d'un accès administrateur à la console Apex Central.

Obtenir le fichier d'authentification d'ingestion Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres du SIEM > Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel BindPlane sera installé.

Obtenir le numéro client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres du SIEM > Profil.
3. Copiez et sauvegardez l'ID client dans la section Détails de l'organisation.

Installer l'agent BindPlane

Installation de Windows

1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

2. Exécutez la commande suivante :

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installation de Linux

1. Ouvrez un terminal avec des droits root ou sudo.

2. Exécutez la commande suivante :

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Autres ressources d'installation

• Pour plus d'options d'installation, consultez ce guide d'installation.

Configurer l'agent BindPlane pour ingérer Syslog et l'envoyer à Google SecOps

1. Accédez au fichier de configuration:

   • Recherchez le fichier config.yaml. En règle générale, il se trouve dans le répertoire /etc/bindplane-agent/ sous Linux ou dans le répertoire d'installation sous Windows.
   • Ouvrez le fichier à l'aide d'un éditeur de texte (nano, vi ou Bloc-notes, par exemple).

2. Modifiez le fichier config.yaml comme suit :

   receivers:
       udplog:
           # Replace the below port <54525> and IP <0.0.0.0> with your specific values
           listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: trendmicro_apex_one
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Remplacez le port et l'adresse IP dans votre infrastructure si nécessaire.

4. Remplacez <customer_id> par le numéro client réel.

5. Remplacez /path/to/ingestion-authentication-file.json par le chemin d'accès où le fichier d'authentification a été enregistré dans la section Obtenir le fichier d'authentification d'ingestion Google SecOps.

Redémarrez l'agent BindPlane pour appliquer les modifications

• Sous Linux, pour redémarrer l'agent BindPlane, exécutez la commande suivante:

  sudo systemctl restart bindplane-agent
  

• Sous Windows, pour redémarrer l'agent BindPlane, vous pouvez utiliser la console Services ou saisir la commande suivante:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurer le transfert syslog dans Trend Micro Apex One

1. Connectez-vous à la console Apex Central à l'aide de vos identifiants administrateur.
2. Accédez à Administration > Paramètres > Paramètres Syslog.
3. Cochez la case Enable syslog forwarding (Activer le transfert syslog).

4. Configurez les détails du serveur Syslog:

   • Adresse du serveur: saisissez l'adresse IP ou le nom de domaine complet du serveur syslog (Bindplane).
   • Port: spécifiez le numéro de port sur lequel le serveur Syslog écoute (Bindplane).
   • Protocole: sélectionnez UDP comme protocole de transmission ().

   • Facultatif: Configurer les paramètres de proxy: cochez Utiliser un serveur proxy SOCKS.

     Remarque :Assurez-vous que les paramètres du proxy sont configurés sous Administration > Paramètres > Paramètres du proxy.

   • Format de journal: sélectionnez CEF.

   • Fréquence: définit la fréquence à laquelle les journaux sont transférés vers le serveur Syslog.

   • Type de journal: sélectionnez Journaux de sécurité et Informations sur le produit.

5. Cliquez sur Test Connection (Tester la connexion) pour vous assurer qu'Apex Central peut communiquer avec le serveur Syslog (Bindplane).

6. Cliquez sur Enregistrer pour appliquer les paramètres.

Tableau de mappage UDM

Champ de journal	Mappage UDM	Logique
act	security_result.action_details	Mappé directement à partir du champ act.
ApexCentralHost	about.asset.asset_id	Utilisé dans la logique de génération de l'ID d'élément. La valeur "Trend Micro.Apex Central:" est ajoutée au début du champ deviceExternalId.
app	target.port	Mappé directement à partir du champ app.
cat	security_result.category_details	Mappé directement à partir du champ cat.
cn1	additional.fields[4].value.string_value	Mappé directement à partir du champ cn1. La clé est dérivée de cn1Label.
cn1Label	additional.fields[4].key	Mappé directement à partir du champ cn1Label.
cn2	additional.fields[6].value.string_value	Mappé directement à partir du champ cn2. La clé est dérivée de cn2Label.
cn2Label	additional.fields[6].key	Mappé directement à partir du champ cn2Label.
cn3	additional.fields[2].value.string_value	Mappé directement à partir du champ cn3. La clé est dérivée de cn3Label.
cn3Label	additional.fields[2].key	Mappé directement à partir du champ cn3Label.
cs1	additional.fields[0].value.string_value	Mappé directement à partir du champ cs1. La clé est dérivée de cs1Label.
cs1Label	additional.fields[0].key	Mappé directement à partir du champ cs1Label.
cs2	additional.fields[1].value.string_value	Mappé directement à partir du champ cs2. La clé est dérivée de cs2Label.
cs2Label	additional.fields[1].key	Mappé directement à partir du champ cs2Label.
cs3	additional.fields[5].value.string_value	Mappé directement à partir du champ cs3. La clé est dérivée de cs3Label.
cs3Label	additional.fields[5].key	Mappé directement à partir du champ cs3Label.
cs4	additional.fields[0].value.string_value	Mappé directement à partir du champ cs4. La clé est dérivée de cs4Label.
cs4Label	additional.fields[0].key	Mappé directement à partir du champ cs4Label.
cs5	additional.fields[2].value.string_value	Mappé directement à partir du champ cs5. La clé est dérivée de cs5Label.
cs5Label	additional.fields[2].key	Mappé directement à partir du champ cs5Label.
cs6	additional.fields[7].value.string_value	Mappé directement à partir du champ cs6. La clé est dérivée de cs6Label.
cs6Label	additional.fields[7].key	Mappé directement à partir du champ cs6Label.
deviceExternalId	about.asset.asset_id	Utilisé dans la logique de génération de l'ID d'élément. La valeur "Trend Micro.Apex Central:" est ajoutée au début de ce champ.
deviceNtDomain	about.administrative_domain	Mappé directement à partir du champ deviceNtDomain.
devicePayloadId	additional.fields[3].value.string_value	Mappé directement à partir du champ devicePayloadId. La clé est codée en dur sous la forme "devicePayloadId".
deviceProcessName	about.process.command_line	Mappé directement à partir du champ deviceProcessName.
dhost	target.hostname	Mappé directement à partir du champ dhost.
dntdom	target.administrative_domain	Mappé directement à partir du champ dntdom.
dst	target.ip	Mappé directement à partir du champ dst.
duser	target.user.userid, target.user.user_display_name	Mappé directement à partir du champ duser.
dvchost	about.hostname	Mappé directement à partir du champ dvchost.
fileHash	about.file.full_path	Mappé directement à partir du champ fileHash.
fname	additional.fields[9].value.string_value	Mappé directement à partir du champ fname. La clé est codée en dur sous la forme "fname".
message	metadata.product_event_type	L'en-tête CEF est extrait du champ de message.
request	target.url	Mappé directement à partir du champ request.
rt	metadata.event_timestamp	Mappé directement à partir du champ rt.
shost	principal.hostname	Mappé directement à partir du champ shost.
src	principal.ip	Mappé directement à partir du champ src.
TMCMdevicePlatform	principal.platform	Mappé en fonction de la logique de l'analyseur. Les valeurs sont normalisées en "WINDOWS", "MAC" ou "LINUX".
TMCMLogDetectedHost	principal.hostname	Mappé directement à partir du champ TMCMLogDetectedHost.
TMCMLogDetectedIP	principal.ip	Mappé directement à partir du champ TMCMLogDetectedIP. Dérivé de la logique de l'analyseur en fonction de la présence d'autres champs. Les valeurs possibles sont "USER_UNCATEGORIZED", "STATUS_UPDATE" ou "GENERIC_EVENT". Code codé en dur sur "TRENDMICRO_APEX_ONE". Code codé en dur sur "TRENDMICRO_APEX_ONE". Extrait de l'en-tête CEF dans le champ message. Valeur codée en dur sur "LOW".

Modifications

2023-12-18

• Analyseur nouvellement créé.