收集 Tripwire 記錄

本文說明如何使用 Google Security Operations 轉送器收集 Tripwire 記錄。

詳情請參閱「將資料擷取至 Google Security Operations」。

擷取標籤會標示剖析器，將原始記錄資料正規化為具結構性的 UDM 格式。本文中的資訊適用於使用 TRIPWIRE_FIM 攝入標籤的剖析器。

設定 Tripwire Enterprise

1. 使用管理員憑證登入 Tripwire Enterprise 網路控制台。
2. 如要編輯「記錄管理」設定，請按一下「設定」分頁標籤。
3. 依序選取「Tripwire」>「系統」>「記錄管理」。
4. 在「Log management preferences」視窗中執行下列操作：
   1. 勾選「將 TE 記錄訊息轉送至 syslog」核取方塊。
   2. 在「TCP 主機」欄位中輸入 Google 安全作業轉送器的 IP 位址或主機名稱。
   3. 在「TCP 通訊埠」欄位中，輸入透過 TCP 傳送記錄訊息的通訊埠。
   4. 如要測試設定，請按一下「測試連線」。
5. 如要儲存變更，請按一下「套用」。

設定 Google Security Operations 轉送器，以便擷取 Tripwire 記錄

1. 依序前往「SIEM 設定」>「轉送器」。
2. 按一下「新增轉寄者」。
3. 在「轉介者名稱」欄位中，輸入轉介者的專屬名稱。
4. 按一下「提交」。系統會新增轉送器，並顯示「Add collector configuration」視窗。
5. 在「收集器名稱」欄位中輸入名稱。
6. 選取「Tripwire」做為「記錄類型」。
7. 選取「Syslog」做為「收集器類型」。
8. 設定下列必要輸入參數：
   • Protocol：指定收集器用來監聽 syslog 資料的連線通訊協定 (TCP)。
   • Address：指定收集器所在位置的目標 IP 位址或主機名稱，並監聽 Syslog 資料。
   • Port：指定收集器所在位置，並監聽 syslog 資料。
9. 點選「提交」。

如要進一步瞭解 Google Security Operations 轉送程式，請參閱「透過 Google Security Operations UI 管理轉送程式設定」。

如果在建立轉送器時遇到問題，請與 Google 安全作業支援團隊聯絡。

欄位對應參考資料

簡介：這個剖析器會從 Tripwire 檔案完整性管理工具 (FIM) syslog 訊息中擷取欄位，並將這些欄位正規化為 UDM 格式。它會處理各種記錄類別，包括系統事件、安全性事件、變更和稽核，並將這些項目對應至相應的 UDM 事件類型，並透過使用者資訊、受影響的資源和安全性結果等詳細資料，強化資料。

UDM 對應表

異動

2023-06-21

• 新增 gsub 來處理 CEF 格式記錄。

2023-06-07

• 新增 Grok 模式，以便處理 CEF 格式的記錄。

2022-06-14

• 錯誤修正：- 新增 grok 來剖析「HKEY_」類型的記錄，其中 registry_key 和 value 之間沒有空格。
• 在將 event_type 對應至 NETWORK_CONNECTION 之前，新增對 target_hostname 或 target_ip 的驗證檢查。
• 在對應至 udm 之前，新增使用者名稱的空值檢查。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。