收集 Trend Micro Deep Security 記錄

支援的國家/地區：

本文說明如何使用 Bindplane，將 Trend Micro Deep Security 記錄擷取至 Google Security Operations。Trend Micro Deep Security 是一種伺服器安全平台，可為實體、虛擬和雲端工作負載提供惡意軟體防護、IPS、防火牆、完整性監控、記錄檢查和應用程式控制功能。Deep Security 正在整合至 Trend Vision One 平台，但 Deep Security Manager 會繼續為所有防護模組產生系統記錄事件。

詳情請參閱「收集 Trend Micro Deep Security 記錄」。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體。
  • 搭載 systemd 的 Windows 2016 以上版本或 Linux 主機。
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟。
  • 以管理員或稽核員角色，取得 Trend Micro Deep Security Manager 網頁版控制台的特殊存取權。
  • Deep Security Manager 20.0 以上版本。

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案。
    • 將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。
  3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

其他安裝資源

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

  1. 存取設定檔：

    • 找出 config.yaml 檔案。通常位於 Linux 的 /opt/observiq-otel-collector/config.yaml 目錄，或 Windows 的安裝目錄。
    • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

  2. 按照下列方式編輯 config.yaml 檔案：

    receivers:
    tcplog:
        listen_address: "0.0.0.0:1514"

exporters:
    chronicle/trendmicro_ds:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: '<CUSTOMER_ID>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: TRENDMICRO_DEEP_SECURITY
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/trendmicro_ds_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/trendmicro_ds
  • 視基礎架構需求，替換通訊埠和 IP 位址。
  • 將 <CUSTOMER_ID> 替換為實際的客戶 ID。
  • 將 /path/to/ingestion-authentication-file.json 更新為驗證檔案的儲存路徑。

重新啟動 Bindplane 代理程式，以套用變更

  1. 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

    sudo systemctl restart observiq-otel-collector

  2. 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，也可以輸入下列指令：

    net stop observiq-otel-collector && net start observiq-otel-collector

在 Trend Micro Deep Security 上設定系統記錄轉送

在 Deep Security Manager 中設定系統記錄設定

  1. 登入 Trend Micro Deep Security Manager 網頁控制台。
  2. 依序前往「管理」>「系統設定」>「事件轉送」。
  3. 在「SIEM」部分，選取「Forward Events to a remote computer (via Syslog)」(將事件轉送至遠端電腦 (透過 Syslog))。

  4. 按一下 Syslog 設定旁的「編輯」。

  5. 請提供下列設定詳細資料：

    • 伺服器名稱：輸入 Bindplane 代理程式主機的 IP 位址。
    • 「Server Port」(伺服器通訊埠)：輸入 1514 (或您設定的通訊埠)。
    • 傳輸：選取「TCP」。
    • 事件格式：選取「Common Event Format (CEF)」。

  6. 按一下「確定」，儲存系統記錄伺服器設定。

選取要轉送的事件類型

  1. 在「事件轉送」分頁中，設定要轉送的事件類型：

    • 惡意軟體事件：選取「將惡意軟體事件轉送至系統記錄檔」。
    • 網頁信譽事件：選取「將網頁信譽事件轉送至 Syslog」。
    • 防火牆事件：選取「將防火牆事件轉送至 Syslog」。
    • 入侵防禦事件：選取「將入侵防禦事件轉送至系統記錄」。
    • 完整性監控事件：選取「將完整性監控事件轉送至系統記錄」。
    • 記錄檢查事件：選取「將記錄檢查事件轉送至系統記錄」。
    • 應用程式控制事件：選取「將應用程式控制事件轉送至 Syslog」。
    • 系統事件：選取「將系統事件轉送至 Syslog」。

  2. 按一下 [儲存]。

設定政策層級的系統記錄 (選用)

如要為特定政策設定系統記錄轉送功能，請按照下列步驟操作：

  1. 前往「政策」。
  2. 按兩下要設定的政策。

  3. 依序前往「設定」>「事件轉送」。

  4. 您可以針對每個保護模組覆寫全域系統記錄設定：

    • 選取「沿用」即可使用全域設定。
    • 選取「是」，為特定政策啟用系統記錄轉送功能。
    • 選取「否」，即可停用特定政策的系統記錄轉寄功能。

  5. 按一下 [儲存]。

確認系統記錄檔轉送功能

  1. 在 Deep Security Manager 中，依序前往「Events & Reports」(事件與報表) >「Events」(事件)。
  2. 確認是否正在產生安全性事件。

  3. 查看 Bindplane 代理程式記錄，確認 TCP 接聽程式是否收到 Syslog 訊息：

    sudo journalctl -u observiq-otel-collector -f

詳情請參閱 Trend Micro Deep Security syslog 說明文件。

UDM 對應表

記錄欄位 UDM 對應 邏輯
dvc about.ip 已合併
aggregation_type_label additional.fields 已合併
cn1Label additional.fields 已對應：Host ID → cn1_label
cn1_label additional.fields 已合併
fileInCompressedFile_label additional.fields 已合併
repeat_count_label additional.fields 已合併
cef_host intermediary.hostname 直接對應
hostname intermediary.hostname 直接對應
cef_host intermediary.ip 已合併
hostname intermediary.ip 已合併
desc metadata.description 直接對應
timestamp metadata.event_timestamp 已剖析為 ISO8601
has_principal metadata.event_type 已對應：true → NETWORK_HTTP、true → STATUS_UPDATE
TrendMicroDsTenant metadata.product_deployment_id 直接對應
event_id metadata.product_event_type 直接對應
log_type metadata.product_name 直接對應
product_version metadata.product_version 直接對應
organization metadata.vendor_name 直接對應
proto network.ip_protocol 已對應：ICMPv6 → ICMP
in network.received_bytes 已重新命名/對應
out network.sent_bytes 已重新命名/對應
dvchost principal.asset.hostname 直接對應
shost principal.asset.hostname 直接對應
src principal.asset.ip 已合併
dvchost principal.hostname 直接對應
shost principal.hostname 直接對應
src principal.ip 已合併
smac principal.mac 已合併
srcMAC principal.mac 已合併
spt principal.port 直接對應
srcPort principal.port 直接對應
TrendMicroDsProcessPid principal.process.pid 直接對應
suser principal.user.user_display_name 直接對應
suid principal.user.userid 直接對應
usrName principal.user.userid 直接對應
action security_result.action 已合併
act security_result.action_details 直接對應
result security_result.action_details 直接對應
cat security_result.category_details 已合併
msg security_result.description 直接對應
TrendMicroDsPacketData_label security_result.detection_fields 已合併
behaviour_type_field security_result.detection_fields 已合併
cn3_label security_result.detection_fields 已合併
count_label security_result.detection_fields 已合併
cs1_label security_result.detection_fields 已合併
cs2_label security_result.detection_fields 已合併
cs3_label security_result.detection_fields 已合併
cs4_label security_result.detection_fields 已合併
cs5_label security_result.detection_fields 已合併
cs6_label security_result.detection_fields 已合併
cs7_label security_result.detection_fields 已合併
frame_type_field security_result.detection_fields 已合併
malware_target security_result.detection_fields 已合併
process_label security_result.detection_fields 已合併
target_type security_result.detection_fields 已合併
tenant_field security_result.detection_fields 已合併
tenant_id_field security_result.detection_fields 已合併
sev security_result.severity 已對應："0", "1", "2", "3", "LOW" → LOW、"4", "5", "6", "MEDIUM" → MEDIUM、`"7"、"8"...
sev security_result.severity_details 直接對應
name security_result.summary 直接對應
result security_result.summary 直接對應
event_name security_result.threat_name 直接對應
organization target.administrative_domain 直接對應
cef_host target.asset.hostname 直接對應
hostname target.asset.hostname 直接對應
target target.asset.hostname 直接對應
dst target.asset.ip 已合併
filePath target.file.full_path 直接對應
cs3 target.file.md5 直接對應
TrendMicroDsFileSHA1 target.file.sha1 直接對應
cs2 target.file.sha1 直接對應
fileHash target.file.sha256 直接對應
cn2 target.file.size 已重新命名/對應
fsize target.file.size 已重新命名/對應
cef_host target.hostname 直接對應
hostname target.hostname 直接對應
target target.hostname 直接對應
dst target.ip 已合併
dmac target.mac 已合併
dstMAC target.mac 已合併
dpt target.port 直接對應
dstPort target.port 直接對應
duser target.user.user_display_name 直接對應
不適用 metadata.event_type 常數：NETWORK_HTTP
不適用 network.ip_protocol 常數：ICMP
不適用 security_result.severity 常數：LOW
cs4" , "TrendMicroDsPacketData" and "cn3 security_result.detection_fields 從變更記錄對應
cn1 principal.asset_id 從變更記錄對應
security_result.action BLOCK 從變更記錄對應
cef_host" and "hostname intermediary.ip 從變更記錄對應
TrendMicroDsMalwareTarget","TrendMicroDsProcess", "TrendMicroDsMalwareTargetCount","TrendMicroDsMalwareTargetType" and "TrendMicroDsBehaviorType security_result.detection_fields 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。