收集 Trellix Endpoint Security (HX) 快訊記錄檔

本文說明如何使用第三方 API 設定 Google Security Operations 資訊提供，藉此收集 Trellix Endpoint Security (HX) 警示記錄。

Trellix Endpoint Security (HX) 是一種端點偵測與回應平台，會在受管理端點上偵測到威脅時產生快訊，包括偵測到惡意軟體、嘗試利用漏洞、IOC 比對結果和即時指標快訊。在 Google SecOps 中收集這些警示，可集中顯示端點威脅，方便您進行偵測、調查及應變工作流程。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• Trellix Endpoint Security (HX) 管理主控台的特殊存取權
• 已啟用 API 存取的 Trellix Endpoint Security (HX)
• 已設定下列其中一種驗證憑證 (請參閱下一節)

設定 Trellix HX API 存取權

如要讓 Google SecOps 擷取快訊資料，您需要 Trellix HX 環境的 API 憑證。

1. 以管理員身分登入 Endpoint Security (HX) 網頁介面。
2. 依序前往「管理」>「裝置設定」>「使用者帳戶」。
3. 新增具有 api_analyst 角色的使用者帳戶，以便搭配 Google SecOps 使用。請勿重複使用內建的 api_analyst 帳戶。
4. 複製並儲存下列值：
   • 使用者名稱：本機 HX 帳戶的使用者名稱。
   • 密碼：本機 HX 帳戶密碼。

在 Google SecOps 中設定動態饋給，擷取 Trellix HX 警報記錄

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Trellix HX Alerts)。
5. 選取「第三方 API」做為「來源類型」。
6. 選取「Trellix HX Alerts」做為「記錄類型」。
7. 點選「下一步」。

8. 指定下列輸入參數的值：

   • HX 端點網址：HX 設備的基準網址 (例如 https://htapdeviceproxy.md.mandiant.net/dphb/hx/e32c3284-8317-48f4-b29d-7feb3babc4fc)。

   • 驗證：Trellix Local Auth

     • 使用者名稱：輸入為這項整合功能建立的本機 HX 帳戶使用者名稱。
     • 密碼：輸入使用者名稱的密碼。
     • 權杖 API 端點路徑：/hx/api/v3/token
     • 權杖標頭：X-FeApi-Token

   • 資產命名空間：資產命名空間。

   • 擷取標籤：要套用至這個動態饋給事件的標籤。

9. 點選「下一步」。

10. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

設定完成後，動態消息會開始依時間順序從 Trellix HX 執行個體擷取快訊記錄。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。