收集 Trellix Endpoint Security (HX) 大量擷取結果套件

本文說明如何使用第三方 API 設定 Google Security Operations 資訊提供，藉此收集 Trellix Endpoint Security (HX) 大量資料擷取結果。

您可以使用 Endpoint Security (HX) 網頁使用者介面，從主機取得資料。主機可以同時要求多筆資料擷取作業。此外，您也可以選取多個主機，並要求從這些主機取得資料。

這個動態消息支援下列類型的事件緩衝區稽核結果：

• ipv4NetworkEvent
• processEvent
• fileWriteEvent
• dnsLookupEvent
• imageLoadEvent
• regKeyEvent
• urlMonitorEvent

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• Trellix Endpoint Security (HX) 管理主控台的特殊存取權
• 已啟用 API 存取的 Trellix Endpoint Security (HX)
• 已設定下列其中一種驗證憑證 (請參閱下一節)

設定 Trellix HX API 存取權

如要讓 Google SecOps 擷取稽核事件資料，您需要 Trellix HX 環境的 API 憑證。Trellix 本機驗證會使用 HX 設備上的本機使用者帳戶產生 API 權杖。

1. 以管理員身分登入 Endpoint Security (HX) 網頁介面。
2. 依序前往「管理」>「裝置設定」>「使用者帳戶」。
3. 新增具有 api_analyst 角色的使用者帳戶，以便搭配 Google SecOps 使用。請勿重複使用內建的 api_analyst 帳戶。
4. 複製並儲存下列值：
   • 使用者名稱：本機 HX 帳戶的使用者名稱。
   • 密碼：本機 HX 帳戶密碼。

在 Google SecOps 中設定動態饋給，以便擷取 Trellix HX 稽核事件記錄

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Trellix HX Audit Events)。
5. 選取「第三方 API」做為「來源類型」。
6. 選取「Trellix HX Audit Events」做為「記錄類型」。
7. 點選「下一步」。

8. 指定下列輸入參數的值：

   • HX 裝置網址：HX 裝置的網址 (例如 https://irbvzh7894.hex3.helix.apps.fireeye.com/)。

   • 驗證：Trellix Local Auth

     • 使用者名稱：輸入為這項整合功能建立的本機 HX 帳戶使用者名稱。
     • 密碼：輸入使用者名稱的密碼。
     • 權杖 API 端點路徑：/hx/api/v3/token
     • 權杖標頭：X-FeApi-Token

   • 資產命名空間：資產命名空間。

   • 擷取標籤：要套用至這個動態饋給事件的標籤。

9. 點選「下一步」。

10. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

設定完成後，動態消息會開始依時間順序從 Trellix HX 執行個體擷取稽核事件記錄。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。