Recoger registros de Trend Micro Apex One

Disponible en:

En este documento se explica cómo recoger los registros de Trend Micro Apex One. El analizador extrae datos de mensajes syslog, concretamente de los que tienen el formato de pares clave-valor y el prefijo CEF:. Utiliza expresiones regulares y lógica condicional para asignar campos CEF al UDM, categorizando los eventos en función de la presencia de información del usuario o del sistema e identificando la plataforma del sistema operativo. Los mensajes con formato no CEF se descartan.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host Linux con systemd
  • Si se ejecuta a través de un proxy, los puertos del cortafuegos están abiertos
  • Asegúrate de que tienes acceso de administrador a la consola de Apex Central.

Obtener el archivo de autenticación de ingestión de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recogida.
  3. Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux siguiendo las instrucciones que se indican a continuación.

Instalación de ventanas

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación de Linux

  1. Abre un terminal con privilegios de superusuario o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para ver más opciones de instalación, consulta la guía de instalación.

Configurar el agente de BindPlane para ingerir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Busca el archivo config.yaml. Normalmente, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

        receivers:
      udplog:
        # Using high port to avoid requiring root privileges
        listen_address: "0.0.0.0:514"

    exporters:
        chronicle/awx:
          endpoint: malachiteingestion-pa.googleapis.com
          creds_file_path: '/path/to/ingestion-authentication-file.json'
          customer_id: YOUR_CUSTOMER_ID
          log_type: 'TRENDMICRO_APEX_ONE'
          raw_log_field: body

    service:
        pipelines:
          logs/awx:
              receivers:
                - udplog
              exporters:
                - chronicle/awx

Reinicia el agente de Bindplane para aplicar los cambios

  1. Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  2. Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurar el reenvío de Syslog en Trend Micro Apex One

  1. Inicia sesión en la consola de Apex Central con tus credenciales de administrador:
  2. Ve a Administración > Ajustes > Ajustes de Syslog.
  3. Marca la casilla Habilitar reenvío de syslog.

  4. Configura los detalles del servidor Syslog:

    • Dirección del servidor: introduce la dirección IP o el FQDN del agente de Bindplane.
    • Puerto: introduce el número de puerto del agente de Bindplane (por ejemplo, 514 para UDP).
    • Protocolo: selecciona UDP como protocolo de transmisión.

    • Opcional: Configurar ajustes de proxy: marca la opción Usar un servidor proxy SOCKS.

    • Formato de registro: seleccione CEF.

    • Frecuencia: define la frecuencia con la que se reenvían los registros al servidor Syslog.

    • Tipo de registro: selecciona Registros de seguridad e Información del producto.

  5. Haga clic en Probar conexión para asegurarse de que Apex Central puede comunicarse con el servidor Syslog (Bindplane).

  6. Haz clic en Guardar para aplicar la configuración.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
act security_result.action_details Se asigna directamente desde el campo act.
ApexCentralHost about.asset.asset_id Se usa como parte de la lógica de generación de asset_id. El valor "Trend Micro.Apex Central:" se añade al principio del campo deviceExternalId.
app target.port Se asigna directamente desde el campo app.
cat security_result.category_details Se asigna directamente desde el campo cat.
cn1 additional.fields[4].value.string_value Se asigna directamente desde el campo cn1. La clave se deriva de cn1Label.
cn1Label additional.fields[4].key Se asigna directamente desde el campo cn1Label.
cn2 additional.fields[6].value.string_value Se asigna directamente desde el campo cn2. La clave se deriva de cn2Label.
cn2Label additional.fields[6].key Se asigna directamente desde el campo cn2Label.
cn3 additional.fields[2].value.string_value Se asigna directamente desde el campo cn3. La clave se deriva de cn3Label.
cn3Label additional.fields[2].key Se asigna directamente desde el campo cn3Label.
cs1 additional.fields[0].value.string_value Se asigna directamente desde el campo cs1. La clave se deriva de cs1Label.
cs1Label additional.fields[0].key Se asigna directamente desde el campo cs1Label.
cs2 additional.fields[1].value.string_value Se asigna directamente desde el campo cs2. La clave se deriva de cs2Label.
cs2Label additional.fields[1].key Se asigna directamente desde el campo cs2Label.
cs3 additional.fields[5].value.string_value Se asigna directamente desde el campo cs3. La clave se deriva de cs3Label.
cs3Label additional.fields[5].key Se asigna directamente desde el campo cs3Label.
cs4 additional.fields[0].value.string_value Se asigna directamente desde el campo cs4. La clave se deriva de cs4Label.
cs4Label additional.fields[0].key Se asigna directamente desde el campo cs4Label.
cs5 additional.fields[2].value.string_value Se asigna directamente desde el campo cs5. La clave se deriva de cs5Label.
cs5Label additional.fields[2].key Se asigna directamente desde el campo cs5Label.
cs6 additional.fields[7].value.string_value Se asigna directamente desde el campo cs6. La clave se deriva de cs6Label.
cs6Label additional.fields[7].key Se asigna directamente desde el campo cs6Label.
deviceExternalId about.asset.asset_id Se usa como parte de la lógica de generación de asset_id. El valor "Trend Micro.Apex Central:" se añade al principio de este campo.
deviceNtDomain about.administrative_domain Se asigna directamente desde el campo deviceNtDomain.
devicePayloadId additional.fields[3].value.string_value Se asigna directamente desde el campo devicePayloadId. La clave se codifica como "devicePayloadId".
deviceProcessName about.process.command_line Se asigna directamente desde el campo deviceProcessName.
dhost target.hostname Se asigna directamente desde el campo dhost.
dntdom target.administrative_domain Se asigna directamente desde el campo dntdom.
dst target.ip Se asigna directamente desde el campo dst.
duser target.user.userid, target.user.user_display_name Se asigna directamente desde el campo duser.
dvchost about.hostname Se asigna directamente desde el campo dvchost.
fileHash about.file.full_path Se asigna directamente desde el campo fileHash.
fname additional.fields[9].value.string_value Se asigna directamente desde el campo fname. La clave se ha codificado como "fname".
message metadata.product_event_type El encabezado CEF se extrae del campo de mensaje.
request target.url Se asigna directamente desde el campo request.
rt metadata.event_timestamp Se asigna directamente desde el campo rt.
shost principal.hostname Se asigna directamente desde el campo shost.
src principal.ip Se asigna directamente desde el campo src.
TMCMdevicePlatform principal.platform Asignación basada en la lógica del analizador. Los valores se normalizan a "WINDOWS", "MAC" o "LINUX".
TMCMLogDetectedHost principal.hostname Se asigna directamente desde el campo TMCMLogDetectedHost.
TMCMLogDetectedIP principal.ip Se asigna directamente desde el campo TMCMLogDetectedIP. Se deriva de la lógica del analizador en función de la presencia de otros campos. Los valores posibles son "USER_UNCATEGORIZED", "STATUS_UPDATE" o "GENERIC_EVENT". Codificado como "TRENDMICRO_APEX_ONE". Codificado como "TRENDMICRO_APEX_ONE". Se extrae del encabezado CEF del campo message. Codificado como "LOW".

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.