收集 Trend Micro Apex One 記錄

支援以下發布途徑：

本文說明如何收集 Trend Micro Apex One 記錄檔。剖析器會從 syslog 訊息中擷取資料，特別是使用鍵/值組合格式，且前面加上「CEF:」的訊息。這個工具會使用規則運算式和條件邏輯，將 CEF 欄位對應至 UDM，並根據使用者或系統資訊的存在情況分類事件，以及識別作業系統平台。系統會捨棄非 CEF 格式的訊息。

事前準備

  • 確認您有 Google Security Operations 執行個體。
  • 請確認您使用的是 Windows 2016 或更新版本，或是支援 systemd 的 Linux 主機。
  • 如果在 Proxy 後方執行，請確認防火牆通訊埠已開啟。
  • 確認您具有 Apex Central 控制台的管理員存取權

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案。請在將要安裝 Bindplane 的系統上，安全地儲存檔案。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。
  3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

Windows 安裝

  1. 以系統管理員身分開啟命令提示字元或 PowerShell。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

  1. 開啟具有 root 或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

設定 Bindplane Agent 擷取 Syslog 並傳送至 Google SecOps

  1. 存取設定檔：

    • 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄或 Windows 的安裝目錄。
    • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

  2. 按照下列方式編輯 config.yaml 檔案：

    receivers:
    udplog:
        # Replace the below port <54525> and IP <0.0.0.0> with your specific values
        listen_address: "0.0.0.0:54525" 

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the creds location below according the placement of the credentials file you downloaded
        creds: '{ json file for creds }'
        # Replace <customer_id> below with your actual ID that you copied
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # You can apply ingestion labels below as preferred
        ingestion_labels:
        log_type: SYSLOG
        namespace: trendmicro_apex_one
        raw_log_field: body
service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. 視基礎架構需求替換通訊埠和 IP 位址。

  4. 將 <customer_id> 替換為實際的客戶 ID。

  5. 在「取得 Google SecOps 攝入驗證檔案」部分，將 /path/to/ingestion-authentication-file.json 更新為驗證檔案的儲存路徑。

重新啟動 Bindplane 代理程式以套用變更

  • 在 Linux 中，如要重新啟動 Bindplane 代理程式，請執行下列指令：

    sudo systemctl restart bindplane-agent

  • 在 Windows 中，如要重新啟動 Bindplane 代理程式，您可以使用「Services」主控台，也可以輸入下列指令：

    net stop BindPlaneAgent && net start BindPlaneAgent

在 Trend Micro Apex One 中設定 Syslog 轉送

  1. 使用管理員憑證登入 Apex Central 主控台。
  2. 依序前往「管理」>「設定」>「Syslog 設定」。
  3. 勾選「Enable syslog forwarding」核取方塊。

  4. 設定 Syslog 伺服器詳細資料：

    • 伺服器位址：輸入 Syslog 伺服器 (Bindplane) 的 IP 位址或 FQDN。
    • Port：指定 Syslog 伺服器監聽的通訊埠編號 (Bindplane)。
    • 通訊協定：選取「UDP」做為傳輸通訊協定 ()。

    • 選用步驟：設定 Proxy 設定：勾選「使用 SOCKS Proxy 伺服器」。

    • 記錄檔格式：選取「CEF」。

    • 頻率：定義記錄轉送至 Syslog 伺服器的頻率。

    • 記錄類型：選取「安全性記錄」和「產品資訊」。

  5. 按一下「測試連線」，確認 Apex Central 可與 Syslog 伺服器 (Bindplane) 通訊。

  6. 按一下「儲存」套用設定。

UDM 對應表

記錄欄位 UDM 對應 邏輯
act security_result.action_details 直接從 act 欄位對應。
ApexCentralHost about.asset.asset_id 用於 asset_id 產生邏輯。值「Trend Micro.Apex Central:」會附加到 deviceExternalId 欄位。
app target.port 直接從 app 欄位對應。
cat security_result.category_details 直接從 cat 欄位對應。
cn1 additional.fields[4].value.string_value 直接從 cn1 欄位對應。金鑰是從 cn1Label 衍生而來。
cn1Label additional.fields[4].key 直接從 cn1Label 欄位對應。
cn2 additional.fields[6].value.string_value 直接從 cn2 欄位對應。金鑰是從 cn2Label 衍生而來。
cn2Label additional.fields[6].key 直接從 cn2Label 欄位對應。
cn3 additional.fields[2].value.string_value 直接從 cn3 欄位對應。金鑰是從 cn3Label 衍生而來。
cn3Label additional.fields[2].key 直接從 cn3Label 欄位對應。
cs1 additional.fields[0].value.string_value 直接從 cs1 欄位對應。金鑰是從 cs1Label 衍生而來。
cs1Label additional.fields[0].key 直接從 cs1Label 欄位對應。
cs2 additional.fields[1].value.string_value 直接從 cs2 欄位對應。金鑰是從 cs2Label 衍生而來。
cs2Label additional.fields[1].key 直接從 cs2Label 欄位對應。
cs3 additional.fields[5].value.string_value 直接從 cs3 欄位對應。金鑰是從 cs3Label 衍生而來。
cs3Label additional.fields[5].key 直接從 cs3Label 欄位對應。
cs4 additional.fields[0].value.string_value 直接從 cs4 欄位對應。金鑰是從 cs4Label 衍生而來。
cs4Label additional.fields[0].key 直接從 cs4Label 欄位對應。
cs5 additional.fields[2].value.string_value 直接從 cs5 欄位對應。金鑰是從 cs5Label 衍生而來。
cs5Label additional.fields[2].key 直接從 cs5Label 欄位對應。
cs6 additional.fields[7].value.string_value 直接從 cs6 欄位對應。金鑰是從 cs6Label 衍生而來。
cs6Label additional.fields[7].key 直接從 cs6Label 欄位對應。
deviceExternalId about.asset.asset_id 用於 asset_id 產生邏輯。這個欄位會加上「Trend Micro.Apex Central:」值。
deviceNtDomain about.administrative_domain 直接從 deviceNtDomain 欄位對應。
devicePayloadId additional.fields[3].value.string_value 直接從 devicePayloadId 欄位對應。以硬式編碼方式將鍵設為「devicePayloadId」。
deviceProcessName about.process.command_line 直接從 deviceProcessName 欄位對應。
dhost target.hostname 直接從 dhost 欄位對應。
dntdom target.administrative_domain 直接從 dntdom 欄位對應。
dst target.ip 直接從 dst 欄位對應。
duser target.user.userid、target.user.user_display_name 直接從 duser 欄位對應。
dvchost about.hostname 直接從 dvchost 欄位對應。
fileHash about.file.full_path 直接從 fileHash 欄位對應。
fname additional.fields[9].value.string_value 直接從 fname 欄位對應。以「fname」做為硬式編碼的鍵。
message metadata.product_event_type CEF 標頭會從訊息欄位中擷取。
request target.url 直接從 request 欄位對應。
rt metadata.event_timestamp 直接從 rt 欄位對應。
shost principal.hostname 直接從 shost 欄位對應。
src principal.ip 直接從 src 欄位對應。
TMCMdevicePlatform principal.platform 根據剖析器中的邏輯對應。值會經過正規化處理，轉換為「WINDOWS」、「MAC」或「LINUX」。
TMCMLogDetectedHost principal.hostname 直接從 TMCMLogDetectedHost 欄位對應。
TMCMLogDetectedIP principal.ip 直接從 TMCMLogDetectedIP 欄位對應。根據其他欄位的存在情況，從剖析器邏輯衍生而來。可能的值為「USER_UNCATEGORIZED」、「STATUS_UPDATE」或「GENERIC_EVENT」。硬式編碼為「TRENDMICRO_APEX_ONE」。硬式編碼為「TRENDMICRO_APEX_ONE」。從 message 欄位中的 CEF 標頭擷取。已硬式編碼為「LOW」。

異動

2023-12-18

  • 新建的剖析器。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。