收集 Trend Micro Deep Security 記錄
支援的國家/地區：
Google SecOps
SIEM
本文說明如何使用 Google Security Operations 收集 Trend Micro Deep Security 記錄。這個剖析器會將 LEEF+CEF 或 CEF 格式的記錄檔剖析為統一資料模型 (UDM)。這個外掛程式會使用 Grok 模式和鍵值組，從記錄檔訊息中擷取欄位，然後將這些欄位對應至相應的 UDM 欄位，同時處理各種資料清理和正規化工作。
事前準備
- 確認您擁有 Google SecOps 執行個體。
- 確認您使用的是 Windows 2016 以上版本，或是搭載
systemd的 Linux 主機。 - 如果透過 Proxy 執行，請確認防火牆通訊埠已開啟。
- 請確認您擁有 TrendMicro Deep Security 控制台的特殊權限。
取得 Google SecOps 擷取驗證檔案
- 登入 Google SecOps 控制台。
- 依序前往「SIEM 設定」>「收集代理程式」。
- 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。
取得 Google SecOps 客戶 ID
- 登入 Google SecOps 控制台。
- 依序前往「SIEM 設定」>「設定檔」。
- 複製並儲存「機構詳細資料」專區中的客戶 ID。
安裝 Bindplane 代理程式
Windows 安裝
- 以系統管理員身分開啟「命令提示字元」或「PowerShell」。
執行下列指令：
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
Linux 安裝
- 開啟具有根層級或 sudo 權限的終端機。
執行下列指令：
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
其他安裝資源
- 如需其他安裝選項，請參閱這份安裝指南。
設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps
存取設定檔：
- 找出
config.yaml檔案。通常位於 Linux 的/etc/bindplane-agent/目錄，或 Windows 的安裝目錄。 - 使用文字編輯器 (例如
nano、vi或記事本) 開啟檔案。
- 找出
按照下列方式編輯
config.yaml檔案：receivers: udplog: # Replace the below port <54525> and IP <0.0.0.0> with your specific values listen_address: "0.0.0.0:54525" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the creds location below according the placement of the credentials file you downloaded creds: '{ json file for creds }' # Replace <customer_id> below with your actual ID that you copied customer_id: <customer_id> endpoint: malachiteingestion-pa.googleapis.com # You can apply ingestion labels below as preferred ingestion_labels: log_type: SYSLOG namespace: trendmicro_deep_security raw_log_field: body service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels視基礎架構需求，替換通訊埠和 IP 位址。
將
<customer_id>替換為實際的客戶 ID。將
/path/to/ingestion-authentication-file.json更新為「取得 Google SecOps 擷取驗證檔案」一節中儲存驗證檔案的路徑。
重新啟動 Bindplane 代理程式，以套用變更
在 Linux 中，如要重新啟動 Bindplane 代理程式，請執行下列指令：
sudo systemctl restart bindplane-agent在 Windows 中，如要重新啟動 Bindplane 代理程式，可以使用「服務」主控台，也可以輸入下列指令：
net stop BindPlaneAgent && net start BindPlaneAgent
在 TrendMicro Deep Security 中設定 Syslog
- 登入 Trend Micro Deep Security 控制台。
- 依序前往「Policies」>「Common Objects」>「Other」>「Syslog Configurations」。
- 依序點選「新增」>「新增設定」。
- 提供下列設定詳細資料：
- 名稱：識別設定的不重複名稱 (例如「Google SecOps Bindplane」)
- 選用：說明：新增說明。
- 記錄來源 ID：如要使用 ID，而非 Deep Security Manager 的主機名稱，請指定 ID。
- 伺服器名稱：輸入 Syslog 伺服器 (Bindplane) 的主機名稱或 IP 位址。
- 伺服器通訊埠：指定伺服器 (Bindplane) 上的監聽通訊埠號碼。
- 傳輸：選取 UDP 做為傳輸通訊協定。
- 事件格式：選取 LEEF 或 CEF (LEEF 格式需要將「代理程式應轉送記錄」設為「透過 Deep Security Manager」)。
- 選用：在活動中加入時區：是否要在活動中加入完整日期 (包括年份和時區)。
- 選用：代理程式應轉送記錄：如果記錄採用 LEEF 格式，請選取「透過 Deep Security Manager」。
- 按一下「套用」即可完成設定。
設定轉送安全性事件
- 前往「政策」，然後選取要設定的電腦所套用的政策。
- 按一下「詳細資料」。
- 在「政策編輯器」視窗中，依序點選「設定」> 事件轉送」。
- 在「傳送事件之間的時間間隔」部分，將時間間隔值設為 10 到 60 秒之間。
- 預設值為 60 秒，建議值為 10 秒。
- 針對每個保護模組：
- 惡意軟體防制系統記錄設定
- 網頁信譽 Syslog 設定
- 防火牆
- 入侵預防 Syslog 設定
- 記錄檢查和完整性監控 Syslog 設定
- 從內容選單中選取要使用的系統記錄設定：
- Syslog Configuration Name：選取適當的設定。
- 按一下「儲存」即可套用設定。
設定轉送系統事件
- 依序前往「管理」>「系統設定」>「事件轉送」。
- 從「Forward System Events to a remote computer (via Syslog) using configuration」中，選取先前建立的現有設定。
- 按一下 [儲存]。
UDM 對應表
| 記錄欄位 | UDM 對應 | 邏輯 |
|---|---|---|
| act | read_only_udm.security_result.action_details | |
| aggregationType | read_only_udm.additional.fields.value.string_value | 已轉換為字串。 |
| cat | read_only_udm.security_result.category_details | |
| cef_host | read_only_udm.target.hostname read_only_udm.target.asset.hostname |
如果 dvchost 為空，則做為主機名稱。 |
| cn1 | read_only_udm.target.asset_id | 開頭為「主機 ID：」。 |
| cs1 | read_only_udm.security_result.detection_fields.value | |
| cs1Label | read_only_udm.security_result.detection_fields.key | |
| cs2 | read_only_udm.target.file.sha1 read_only_udm.security_result.detection_fields.value |
如果 cs2Label 為「sha1」，則會轉換為小寫並對應至 sha1，否則會對應至 detection_fields。 |
| cs2Label | read_only_udm.security_result.detection_fields.key | |
| cs3 | read_only_udm.target.file.md5 read_only_udm.security_result.detection_fields.value |
如果 cs3Label 為「md5」，則轉換為小寫並對應至 md5；否則對應至 detection_fields。 |
| cs3Label | read_only_udm.security_result.detection_fields.key | |
| cs5 | read_only_udm.security_result.detection_fields.value | |
| cs5Label | read_only_udm.security_result.detection_fields.key | |
| cs6 | read_only_udm.security_result.detection_fields.value | |
| cs6Label | read_only_udm.security_result.detection_fields.key | |
| cs7 | read_only_udm.security_result.detection_fields.value | |
| cs7Label | read_only_udm.security_result.detection_fields.key | |
| cnt | read_only_udm.additional.fields.value.string_value | 已轉換為字串。 |
| 遞減 | read_only_udm.metadata.description | |
| dst | read_only_udm.target.ip read_only_udm.target.asset.ip |
|
| dstMAC | read_only_udm.target.mac | 轉換為小寫。 |
| dstPort | read_only_udm.target.port | 轉換成整數。 |
| duser | read_only_udm.target.user.user_display_name | |
| dvc | read_only_udm.about.ip | |
| dvchost | read_only_udm.target.hostname read_only_udm.target.asset.hostname |
|
| event_id | read_only_udm.metadata.product_event_type | 如果 event_name 不為空白，則做為 product_event_type 使用，否則單獨使用。 |
| event_name | read_only_udm.metadata.product_event_type | 前置字串為「[event_id] - 」，並做為 product_event_type 使用。 |
| fileHash | read_only_udm.target.file.sha256 | 轉換為小寫。 |
| filePath | read_only_udm.target.file.full_path | 「ProgramFiles\(x86\)」已替換為「Program Files (x86)」。 |
| fsize | read_only_udm.target.file.size | 已轉換為無正負號整數。 |
| 主機名稱 | read_only_udm.target.hostname read_only_udm.target.asset.hostname |
如果目標為空白，則做為主機名稱。 |
| 在 | read_only_udm.network.received_bytes | 已轉換為無正負號整數。 |
| msg | read_only_udm.security_result.description | |
| 名稱 | read_only_udm.security_result.summary | |
| 組織 | read_only_udm.target.administrative_domain read_only_udm.metadata.vendor_name |
|
| proto | read_only_udm.network.ip_protocol | 如果為「ICMPv6」，則取代為「ICMP」。 |
| product_version | read_only_udm.metadata.product_version | |
| result | read_only_udm.security_result.summary | |
| sev | read_only_udm.security_result.severity read_only_udm.security_result.severity_details |
根據值對應至嚴重程度，也對應至 severity_details。 |
| shost | read_only_udm.principal.hostname read_only_udm.principal.asset.hostname |
|
| src | read_only_udm.principal.ip read_only_udm.principal.asset.ip |
|
| srcMAC | read_only_udm.principal.mac | 轉換為小寫。 |
| srcPort | read_only_udm.principal.port | 轉換成整數。 |
| suid | read_only_udm.principal.user.userid | |
| suser | read_only_udm.principal.user.user_display_name | |
| 目標 | read_only_udm.target.hostname read_only_udm.target.asset.hostname |
|
| 時間戳記 | read_only_udm.metadata.event_timestamp.seconds read_only_udm.metadata.event_timestamp.nanos |
剖析為時間戳記。 |
| TrendMicroDsBehaviorType | read_only_udm.security_result.detection_fields.value | |
| TrendMicroDsFileSHA1 | read_only_udm.target.file.sha1 | 轉換為小寫。 |
| TrendMicroDsFrameType | read_only_udm.security_result.detection_fields.value | |
| TrendMicroDsMalwareTarget | read_only_udm.security_result.detection_fields.value | |
| TrendMicroDsMalwareTargetCount | read_only_udm.security_result.detection_fields.value | |
| TrendMicroDsMalwareTargetType | read_only_udm.security_result.detection_fields.value | |
| TrendMicroDsProcess | read_only_udm.security_result.detection_fields.value | 「ProgramFiles\(x86\)」已替換為「Program Files (x86)」。 |
| TrendMicroDsTenant | read_only_udm.security_result.detection_fields.value | |
| TrendMicroDsTenantId | read_only_udm.security_result.detection_fields.value | |
| usrName | read_only_udm.principal.user.userid | |
| read_only_udm.metadata.event_type | 如果來源和目的地都有，請設為「NETWORK_HTTP」，否則請設為「GENERIC_EVENT」。 | |
| read_only_udm.metadata.log_type | 設為「TRENDMICRO_DEEP_SECURITY」。 |
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。