收集 Trellix Endpoint Security (HX) 提醒日志

本文档介绍了如何使用第三方 API 设置 Google Security Operations Feed，以收集 Trellix Endpoint Security (HX) 提醒日志。

Trellix Endpoint Security (HX) 是一种端点检测和响应平台，可在受管理的端点上检测到威胁时生成提醒，包括恶意软件检测、漏洞利用尝试、IOC 匹配和实时指标提醒。在 Google SecOps 中收集这些提醒，可集中了解端点威胁，以便进行检测、调查和响应工作流程。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例
• 对 Trellix Endpoint Security (HX) 管理控制台的特权访问权限
• 已启用 API 访问权限的 Trellix Endpoint Security (HX)
• 已配置以下任一身份验证凭据（请参阅下一部分）

配置 Trellix HX API 访问权限

如需让 Google SecOps 提取提醒数据，您需要从 Trellix HX 环境获取 API 凭据。

1. 以管理员身份登录终端威胁防护 (HX) Web 界面。
2. 依次前往管理 > 设备设置 > 用户账号。
3. 添加一个具有 api_analyst 角色的新用户账号，以便与 Google SecOps 搭配使用。请勿重复使用内置的 api_analyst 账号。
4. 复制并保存以下值：
   • 用户名：本地 HX 账号用户名。
   • 密码：本地 HX 账号密码。

在 Google SecOps 中配置 Feed 以注入 Trellix HX 提醒日志

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称（例如 Trellix HX Alerts）。
5. 选择第三方 API 作为来源类型。
6. 选择 Trellix HX 提醒作为日志类型。
7. 点击下一步。

8. 为以下输入参数指定值：

   • HX 端点网址：HX 设备的基础网址（例如 https://htapdeviceproxy.md.mandiant.net/dphb/hx/e32c3284-8317-48f4-b29d-7feb3babc4fc）。

   • 身份验证：Trellix 本地身份验证

     • 用户名：输入为此集成创建的本地 HX 账号用户名。
     • 密码：为用户名输入密码。
     • 令牌 API 端点路径：/hx/api/v3/token
     • 令牌标头：X-FeApi-Token

   • 资产命名空间：资产命名空间。

   • 注入标签：要应用于此 Feed 中事件的标签。

9. 点击下一步。

10. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

设置完成后，该 Feed 会开始按时间顺序从 Trellix HX 实例检索提醒日志。

UDM 映射表

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。