收集 Trend Micro Deep Security 日志

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将 Trend Micro Deep Security 日志注入到 Google Security Operations。Trend Micro Deep Security 是一款服务器安全平台，可为物理、虚拟和云工作负载提供反恶意软件、IPS、防火墙、完整性监控、日志检查和应用控制功能。Deep Security 正在整合到 Trend Vision One 平台下，但 Deep Security Manager 仍会为所有保护模块生成 syslog 事件。

如需了解详情，请参阅收集 Trend Micro Deep Security 日志。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例。
• 搭载 systemd 的 Windows 2016 或更高版本或 Linux 主机。
• 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开。
• 以管理员或审核员身份对 Trend Micro Deep Security Manager Web 控制台拥有特权访问权限。
• Deep Security Manager 20.0 或更高版本。

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载数据注入身份验证文件。
   • 将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

其他安装资源

• 如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

注意： Trend Micro Deep Security 使用 TCP 进行 syslog 转发，以确保可靠地传送安全事件。必须为 Bindplane 代理配置 tcplog 接收器。

1. 访问配置文件：

   • 找到 config.yaml 文件。通常，它位于 Linux 上的 /opt/observiq-otel-collector/config.yaml 目录中或 Windows 上的安装目录中。
   • 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

2. 按如下方式修改 config.yaml 文件：

   receivers:
       tcplog:
           listen_address: "0.0.0.0:1514"
   
   exporters:
       chronicle/trendmicro_ds:
           compression: gzip
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           customer_id: '<CUSTOMER_ID>'
           endpoint: malachiteingestion-pa.googleapis.com
           log_type: TRENDMICRO_DEEP_SECURITY
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/trendmicro_ds_to_chronicle:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/trendmicro_ds
   

• 根据基础架构的需要替换端口和 IP 地址。
• 将 <CUSTOMER_ID> 替换为实际的客户 ID。
• 将 /path/to/ingestion-authentication-file.json 更新为保存身份验证文件的路径。

重启 Bindplane 代理以应用更改

1. 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

   sudo systemctl restart observiq-otel-collector
   

2. 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

在 Trend Micro Deep Security 上配置 syslog 转发

在 Deep Security Manager 中配置 syslog 设置

1. 登录 Trend Micro Deep Security Manager Web 控制台。
2. 依次前往管理 > 系统设置 > 事件转发。
3. 在 SIEM 部分中，选择将事件转发到远程计算机（通过 Syslog）。

4. 点击 syslog 配置旁边的修改。

5. 提供以下配置详细信息：

   • 服务器名称：输入 Bindplane 代理主机 IP 地址。
   • 服务器端口：输入 1514（或您配置的端口）。
   • 传输：选择 TCP。
   • 事件格式：选择 Common Event Format (CEF)。
   注意： 建议使用 CEF 格式，以便通过 Google SecOps 进行最佳解析。

6. 点击 OK 以保存 syslog 服务器配置。

选择要转发的事件类型

1. 在事件转发标签页中，配置要转发的事件类型：

   • 反恶意软件事件：选择将反恶意软件事件转发到 Syslog。
   • 网站信誉事件：选择将网站信誉事件转发到 Syslog。
   • 防火墙事件：选择将防火墙事件转发到 Syslog。
   • 入侵防御事件：选择将入侵防御事件转发到 Syslog。
   • 完整性监控事件：选择将完整性监控事件转发到 Syslog。
   • 日志检查事件：选择将日志检查事件转发到 Syslog。
   • 应用控制事件：选择将应用控制事件转发到 Syslog。
   • 系统事件：选择将系统事件转发到 Syslog。

2. 点击保存。

配置政策级 Syslog（可选）

如果您需要为特定政策配置 syslog 转发，请执行以下操作：

1. 前往政策。
2. 双击要配置的政策。

3. 前往设置 > 事件转发。

4. 对于每个保护模块，您可以替换全局 syslog 设置：

   • 选择继承以使用全局设置。
   • 选择是，为特定政策启用 syslog 转发。
   • 选择否可针对特定政策停用 syslog 转发功能。

5. 点击保存。

验证 Syslog 转发

1. 在 Deep Security Manager 中，依次前往事件和报告 > 事件。
2. 验证是否正在生成安全事件。

3. 检查 Bindplane 代理日志，确认 TCP 监听器是否正在接收 syslog 消息：

   sudo journalctl -u observiq-otel-collector -f
   

如需了解详情，请参阅 Trend Micro Deep Security syslog 文档。

UDM 映射表

日志字段	UDM 映射	逻辑
dvc	about.ip	已合并
aggregation_type_label	additional.fields	已合并
cn1Label	additional.fields	已映射：Host ID → cn1_label
cn1_label	additional.fields	已合并
fileInCompressedFile_label	additional.fields	已合并
repeat_count_label	additional.fields	已合并
cef_host	intermediary.hostname	直接映射
hostname	intermediary.hostname	直接映射
cef_host	intermediary.ip	已合并
hostname	intermediary.ip	已合并
desc	metadata.description	直接映射
timestamp	metadata.event_timestamp	解析为 ISO8601
has_principal	metadata.event_type	已映射：true → NETWORK_HTTP、true → STATUS_UPDATE
TrendMicroDsTenant	metadata.product_deployment_id	直接映射
event_id	metadata.product_event_type	直接映射
log_type	metadata.product_name	直接映射
product_version	metadata.product_version	直接映射
organization	metadata.vendor_name	直接映射
proto	network.ip_protocol	已映射：ICMPv6 → ICMP
in	network.received_bytes	已重命名/已映射
out	network.sent_bytes	已重命名/已映射
dvchost	principal.asset.hostname	直接映射
shost	principal.asset.hostname	直接映射
src	principal.asset.ip	已合并
dvchost	principal.hostname	直接映射
shost	principal.hostname	直接映射
src	principal.ip	已合并
smac	principal.mac	已合并
srcMAC	principal.mac	已合并
spt	principal.port	直接映射
srcPort	principal.port	直接映射
TrendMicroDsProcessPid	principal.process.pid	直接映射
suser	principal.user.user_display_name	直接映射
suid	principal.user.userid	直接映射
usrName	principal.user.userid	直接映射
action	security_result.action	已合并
act	security_result.action_details	直接映射
result	security_result.action_details	直接映射
cat	security_result.category_details	已合并
msg	security_result.description	直接映射
TrendMicroDsPacketData_label	security_result.detection_fields	已合并
behaviour_type_field	security_result.detection_fields	已合并
cn3_label	security_result.detection_fields	已合并
count_label	security_result.detection_fields	已合并
cs1_label	security_result.detection_fields	已合并
cs2_label	security_result.detection_fields	已合并
cs3_label	security_result.detection_fields	已合并
cs4_label	security_result.detection_fields	已合并
cs5_label	security_result.detection_fields	已合并
cs6_label	security_result.detection_fields	已合并
cs7_label	security_result.detection_fields	已合并
frame_type_field	security_result.detection_fields	已合并
malware_target	security_result.detection_fields	已合并
process_label	security_result.detection_fields	已合并
target_type	security_result.detection_fields	已合并
tenant_field	security_result.detection_fields	已合并
tenant_id_field	security_result.detection_fields	已合并
sev	security_result.severity	已映射："0", "1", "2", "3", "LOW" → LOW、"4", "5", "6", "MEDIUM" → MEDIUM、`"7"、"8"...
sev	security_result.severity_details	直接映射
name	security_result.summary	直接映射
result	security_result.summary	直接映射
event_name	security_result.threat_name	直接映射
organization	target.administrative_domain	直接映射
cef_host	target.asset.hostname	直接映射
hostname	target.asset.hostname	直接映射
target	target.asset.hostname	直接映射
dst	target.asset.ip	已合并
filePath	target.file.full_path	直接映射
cs3	target.file.md5	直接映射
TrendMicroDsFileSHA1	target.file.sha1	直接映射
cs2	target.file.sha1	直接映射
fileHash	target.file.sha256	直接映射
cn2	target.file.size	已重命名/已映射
fsize	target.file.size	已重命名/已映射
cef_host	target.hostname	直接映射
hostname	target.hostname	直接映射
target	target.hostname	直接映射
dst	target.ip	已合并
dmac	target.mac	已合并
dstMAC	target.mac	已合并
dpt	target.port	直接映射
dstPort	target.port	直接映射
duser	target.user.user_display_name	直接映射
不适用	metadata.event_type	常量：NETWORK_HTTP
不适用	network.ip_protocol	常量：ICMP
不适用	security_result.severity	常量：LOW
cs4" , "TrendMicroDsPacketData" and "cn3	security_result.detection_fields	从变更日志映射
cn1	principal.asset_id	从变更日志映射
security_result.action	BLOCK	从变更日志映射
cef_host" and "hostname	intermediary.ip	从变更日志映射
TrendMicroDsMalwareTarget","TrendMicroDsProcess", "TrendMicroDsMalwareTargetCount","TrendMicroDsMalwareTargetType" and "TrendMicroDsBehaviorType	security_result.detection_fields	从变更日志映射

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。