Trend Micro Apex One 로그 수집

다음에서 지원:

Google SecOps SIEM

참고: 이 기능에는 Google Security Operations 서비스 특정 약관의 GA 이전 서비스 약관이 적용됩니다. GA 이전 기능에서 지원이 제한될 수 있으며 GA 이전 기능의 변경사항은 다른 GA 이전 버전과 호환되지 않을 수 있습니다. 자세한 내용은 Google Security Operations 기술 지원 서비스 가이드라인 및 Google Security Operations 서비스 특정 약관을 참조하세요.

이 문서에서는 Trend Micro Apex One 로그를 수집하는 방법을 설명합니다. 파서는 syslog 메시지, 특히 키-값 쌍으로 형식이 지정되고 접두사로 'CEF:'가 있는 메시지에서 데이터를 추출합니다. 정규 표현식과 조건부 로직을 사용하여 CEF 필드를 UDM에 매핑하고, 사용자 또는 시스템 정보의 존재 여부에 따라 이벤트를 분류하며, 운영체제 플랫폼을 식별합니다. CEF 형식이 아닌 메시지는 삭제됩니다.

시작하기 전에

• Google Security Operations 인스턴스가 있어야 합니다.
• Windows 2016 이상 또는 systemd를 사용하는 Linux 호스트를 사용하고 있는지 확인합니다.
• 프록시 뒤에서 실행하는 경우 방화벽 포트가 열려 있는지 확인합니다.
• Apex Central 콘솔에 대한 관리 액세스 권한이 있는지 확인합니다.

Google SecOps 처리 인증 파일 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 수집 에이전트로 이동합니다.
3. 처리 인증 파일을 다운로드합니다. Bindplane가 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 프로필로 이동합니다.
3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

Bindplane 에이전트 설치

Windows 설치

1. 관리자 권한으로 명령 프롬프트 또는 PowerShell을 엽니다.

2. 다음 명령어를 실행합니다.

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 설치

1. 루트 또는 sudo 권한으로 터미널을 엽니다.

2. 다음 명령어를 실행합니다.

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

추가 설치 리소스

• 추가 설치 옵션은 이 설치 가이드를 참고하세요.

Syslog를 수집하고 Google SecOps로 전송하도록 Bindplane 에이전트 구성

1. 구성 파일에 액세스합니다.

   • config.yaml 파일을 찾습니다. 일반적으로 Linux의 /etc/bindplane-agent/ 디렉터리 또는 Windows의 설치 디렉터리에 있습니다.
   • 텍스트 편집기 (예: nano, vi, 메모장)를 사용하여 파일을 엽니다.

2. 다음과 같이 config.yaml 파일을 수정합니다.

   receivers:
       udplog:
           # Replace the below port <54525> and IP <0.0.0.0> with your specific values
           listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: trendmicro_apex_one
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 인프라에서 필요에 따라 포트와 IP 주소를 바꿉니다.

4. <customer_id>를 실제 고객 ID로 바꿉니다.

5. /path/to/ingestion-authentication-file.json를 Google SecOps 처리 인증 파일 가져오기 섹션에서 인증 파일이 저장된 경로로 업데이트합니다.

Bindplane 에이전트를 다시 시작하여 변경사항 적용

• Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

  sudo systemctl restart bindplane-agent
  

• Windows에서 Bindplane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Trend Micro Apex One에서 Syslog 전달 구성

1. 관리자 사용자 인증 정보를 사용하여 Apex Central 콘솔에 로그인합니다.
2. 관리 > 설정 > Syslog 설정으로 이동합니다.
3. Enable syslog forwarding(Syslog 전달 사용 설정) 체크박스를 선택합니다.

4. Syslog 서버 세부정보를 구성합니다.

   • 서버 주소: syslog 서버 (Bindplane)의 IP 주소 또는 FQDN을 입력합니다.
   • 포트: syslog 서버가 리슨하는 포트 번호 (Bindplane)를 지정합니다.
   • 프로토콜: 전송 프로토콜로 UDP를 선택합니다 ().

   • 선택사항: 프록시 설정 구성: SOCKS 프록시 서버 사용을 선택합니다.

     참고: 관리 > 설정 > 프록시 설정에서 프록시 설정이 구성되어 있는지 확인합니다.

   • 로그 형식: CEF를 선택합니다.

   • 빈도: 로그가 Syslog 서버로 전달되는 빈도를 정의합니다.

   • 로그 유형: 보안 로그 및 제품 정보를 선택합니다.

5. 연결 테스트를 클릭하여 Apex Central이 Syslog 서버 (Bindplane)와 통신할 수 있는지 확인합니다.

6. 저장을 클릭하여 설정을 적용합니다.

UDM 매핑 표

로그 필드	UDM 매핑	논리
act	security_result.action_details	act 필드에서 직접 매핑됩니다.
ApexCentralHost	about.asset.asset_id	asset_id 생성 로직의 일부로 사용됩니다. deviceExternalId 필드 앞에 'Trend Micro.Apex Central:' 값이 추가됩니다.
app	target.port	app 필드에서 직접 매핑됩니다.
cat	security_result.category_details	cat 필드에서 직접 매핑됩니다.
cn1	additional.fields[4].value.string_value	cn1 필드에서 직접 매핑됩니다. 키는 cn1Label에서 파생됩니다.
cn1Label	additional.fields[4].key	cn1Label 필드에서 직접 매핑됩니다.
cn2	additional.fields[6].value.string_value	cn2 필드에서 직접 매핑됩니다. 키는 cn2Label에서 파생됩니다.
cn2Label	additional.fields[6].key	cn2Label 필드에서 직접 매핑됩니다.
cn3	additional.fields[2].value.string_value	cn3 필드에서 직접 매핑됩니다. 키는 cn3Label에서 파생됩니다.
cn3Label	additional.fields[2].key	cn3Label 필드에서 직접 매핑됩니다.
cs1	additional.fields[0].value.string_value	cs1 필드에서 직접 매핑됩니다. 키는 cs1Label에서 파생됩니다.
cs1Label	additional.fields[0].key	cs1Label 필드에서 직접 매핑됩니다.
cs2	additional.fields[1].value.string_value	cs2 필드에서 직접 매핑됩니다. 키는 cs2Label에서 파생됩니다.
cs2Label	additional.fields[1].key	cs2Label 필드에서 직접 매핑됩니다.
cs3	additional.fields[5].value.string_value	cs3 필드에서 직접 매핑됩니다. 키는 cs3Label에서 파생됩니다.
cs3Label	additional.fields[5].key	cs3Label 필드에서 직접 매핑됩니다.
cs4	additional.fields[0].value.string_value	cs4 필드에서 직접 매핑됩니다. 키는 cs4Label에서 파생됩니다.
cs4Label	additional.fields[0].key	cs4Label 필드에서 직접 매핑됩니다.
cs5	additional.fields[2].value.string_value	cs5 필드에서 직접 매핑됩니다. 키는 cs5Label에서 파생됩니다.
cs5Label	additional.fields[2].key	cs5Label 필드에서 직접 매핑됩니다.
cs6	additional.fields[7].value.string_value	cs6 필드에서 직접 매핑됩니다. 키는 cs6Label에서 파생됩니다.
cs6Label	additional.fields[7].key	cs6Label 필드에서 직접 매핑됩니다.
deviceExternalId	about.asset.asset_id	asset_id 생성 로직의 일부로 사용됩니다. 'Trend Micro.Apex Central:' 값이 이 필드 앞에 추가됩니다.
deviceNtDomain	about.administrative_domain	deviceNtDomain 필드에서 직접 매핑됩니다.
devicePayloadId	additional.fields[3].value.string_value	devicePayloadId 필드에서 직접 매핑됩니다. 키는 'devicePayloadId'로 하드 코딩됩니다.
deviceProcessName	about.process.command_line	deviceProcessName 필드에서 직접 매핑됩니다.
dhost	target.hostname	dhost 필드에서 직접 매핑됩니다.
dntdom	target.administrative_domain	dntdom 필드에서 직접 매핑됩니다.
dst	target.ip	dst 필드에서 직접 매핑됩니다.
duser	target.user.userid, target.user.user_display_name	duser 필드에서 직접 매핑됩니다.
dvchost	about.hostname	dvchost 필드에서 직접 매핑됩니다.
fileHash	about.file.full_path	fileHash 필드에서 직접 매핑됩니다.
fname	additional.fields[9].value.string_value	fname 필드에서 직접 매핑됩니다. 키는 'fname'으로 하드 코딩됩니다.
message	metadata.product_event_type	CEF 헤더는 메시지 필드에서 추출됩니다.
request	target.url	request 필드에서 직접 매핑됩니다.
rt	metadata.event_timestamp	rt 필드에서 직접 매핑됩니다.
shost	principal.hostname	shost 필드에서 직접 매핑됩니다.
src	principal.ip	src 필드에서 직접 매핑됩니다.
TMCMdevicePlatform	principal.platform	파서의 로직에 따라 매핑됩니다. 값은 'WINDOWS', 'MAC' 또는 'LINUX'로 정규화됩니다.
TMCMLogDetectedHost	principal.hostname	TMCMLogDetectedHost 필드에서 직접 매핑됩니다.
TMCMLogDetectedIP	principal.ip	TMCMLogDetectedIP 필드에서 직접 매핑됩니다. 다른 필드의 존재를 기반으로 파서 로직에서 파생됩니다. 가능한 값은 'USER_UNCATEGORIZED', 'STATUS_UPDATE', 'GENERIC_EVENT'입니다. 'TRENDMICRO_APEX_ONE'으로 하드코딩됩니다. 'TRENDMICRO_APEX_ONE'으로 하드코딩됩니다. message 필드의 CEF 헤더에서 추출됩니다. 'LOW'로 하드코딩됩니다.

변경사항

2023-12-18

• 파서를 새로 만들었습니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받으세요.