收集 Trellix Endpoint Security (HX) 批量采集结果软件包

本文档介绍了如何使用第三方 API 设置 Google Security Operations Feed，以收集 Trellix Endpoint Security (HX) 批量数据采集结果。

您可以使用端点安全 (HX) Web 界面从主机获取数据。可以同时从主机请求多次数据采集。此外，您还可以选择多个主机并请求从这些主机获取数据。

此 Feed 支持以下类型的事件缓冲区审核结果：

• ipv4NetworkEvent
• processEvent
• fileWriteEvent
• dnsLookupEvent
• imageLoadEvent
• regKeyEvent
• urlMonitorEvent

准备工作

确保您满足以下前提条件：

• Google SecOps 实例
• 对 Trellix Endpoint Security (HX) 管理控制台的特权访问权限
• 已启用 API 访问权限的 Trellix Endpoint Security (HX)
• 已配置以下任一身份验证凭据（请参阅下一部分）

配置 Trellix HX API 访问权限

为了让 Google SecOps 拉取审核事件数据，您需要从 Trellix HX 环境获取 API 凭据。Trellix 本地身份验证使用 HX 设备上的本地用户账号生成 API 令牌。

1. 以管理员身份登录终端威胁防护 (HX) Web 界面。
2. 依次前往管理 > 设备设置 > 用户账号。
3. 添加一个具有 api_analyst 角色的新用户账号，以便与 Google SecOps 搭配使用。请勿重复使用内置的 api_analyst 账号。
4. 复制并保存以下值：
   • 用户名：本地 HX 账号用户名。
   • 密码：本地 HX 账号密码。

在 Google SecOps 中配置 Feed 以注入 Trellix HX 审核事件日志

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称（例如 Trellix HX Audit Events）。
5. 选择第三方 API 作为来源类型。
6. 选择 Trellix HX 审核事件作为日志类型。
7. 点击下一步。

8. 为以下输入参数指定值：

   • HX 设备网址：HX 设备的网址（例如 https://irbvzh7894.hex3.helix.apps.fireeye.com/）。

   • 身份验证：Trellix 本地身份验证

     • 用户名：输入为此集成创建的本地 HX 账号用户名。
     • 密码：为用户名输入密码。
     • 令牌 API 端点路径：/hx/api/v3/token
     • 令牌标头：X-FeApi-Token

   • 资产命名空间：资产命名空间。

   • 注入标签：要应用于此 Feed 中事件的标签。

9. 点击下一步。

10. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

设置完成后，该 Feed 会开始按时间顺序从 Trellix HX 实例检索审核事件日志。

UDM 映射表

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。