Recopila registros de Trend Micro Apex One

Compatible con:

En este documento, se describe cómo puedes recopilar los registros de Trend Micro Apex One. El analizador extrae datos de los mensajes de syslog, específicamente aquellos con formato de pares clave-valor y con el prefijo "CEF:". Utiliza expresiones regulares y lógica condicional para asignar campos de CEF al UDM, categorizar eventos según la presencia de información del usuario o del sistema, y para identificar la plataforma del sistema operativo. Se descartan los mensajes que no tienen formato CEF.

Antes de comenzar

  • Asegúrate de tener una instancia de Google Security Operations.
  • Asegúrate de usar Windows 2016 o una versión posterior, o un host de Linux con systemd.
  • Si ejecutas la herramienta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos.
  • Asegúrate de tener acceso administrativo a la consola de Apex Central.

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Collection Agents.
  3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Profile.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos adicionales de instalación

Configura el agente de Bindplane para que ingiera Syslog y lo envíe a Google SecOps

  1. Accede al archivo de configuración:

    • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    udplog:
        # Replace the below port <54525> and IP <0.0.0.0> with your specific values
        listen_address: "0.0.0.0:54525" 

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the creds location below according the placement of the credentials file you downloaded
        creds: '{ json file for creds }'
        # Replace <customer_id> below with your actual ID that you copied
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # You can apply ingestion labels below as preferred
        ingestion_labels:
        log_type: SYSLOG
        namespace: trendmicro_apex_one
        raw_log_field: body
service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.

  4. Reemplaza <customer_id> por el ID de cliente real.

  5. Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso en la que se guardó el archivo de autenticación en la sección Cómo obtener el archivo de autenticación de la transferencia de datos de Google SecOps.

Reinicia el agente de Bindplane para aplicar los cambios

  • En Linux, para reiniciar el agente de Bindplane, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • En Windows, para reiniciar el agente de Bindplane, puedes usar la consola de Servicios o ingresar el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura el reenvío de Syslog en Trend Micro Apex One

  1. Accede a la consola de Apex Central con tus credenciales de administrador.
  2. Ve a Administración > Configuración > Configuración de Syslog.
  3. Marca la casilla Habilitar el reenvío de syslog.

  4. Configura los detalles del servidor Syslog:

    • Dirección del servidor: Ingresa la dirección IP o el FQDN del servidor Syslog (Bindplane).
    • Puerto: Especifica el número de puerto en el que escucha el servidor Syslog (Bindplane).
    • Protocolo: Selecciona UDP como el protocolo de transmisión ().

    • Opcional: Configura los parámetros del proxy: Marca Usar un servidor proxy SOCKS.

    • Log Format: Selecciona CEF.

    • Frecuencia: Define con qué frecuencia se reenvían los registros al servidor de Syslog.

    • Tipo de registro: Selecciona Registros de seguridad y Información del producto.

  5. Haz clic en Probar conexión para asegurarte de que Apex Central pueda comunicarse con el servidor Syslog (Bindplane).

  6. Haz clic en Guardar para aplicar la configuración.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
act security_result.action_details Se asigna directamente desde el campo act.
ApexCentralHost about.asset.asset_id Se usa como parte de la lógica de generación de asset_id. El valor "Trend Micro.Apex Central:" se antepone al campo deviceExternalId.
app target.port Se asigna directamente desde el campo app.
cat security_result.category_details Se asigna directamente desde el campo cat.
cn1 additional.fields[4].value.string_value Se asigna directamente desde el campo cn1. La clave se deriva de cn1Label.
cn1Label additional.fields[4].key Se asigna directamente desde el campo cn1Label.
cn2 additional.fields[6].value.string_value Se asigna directamente desde el campo cn2. La clave se deriva de cn2Label.
cn2Label additional.fields[6].key Se asigna directamente desde el campo cn2Label.
cn3 additional.fields[2].value.string_value Se asigna directamente desde el campo cn3. La clave se deriva de cn3Label.
cn3Label additional.fields[2].key Se asigna directamente desde el campo cn3Label.
cs1 additional.fields[0].value.string_value Se asigna directamente desde el campo cs1. La clave se deriva de cs1Label.
cs1Label additional.fields[0].key Se asigna directamente desde el campo cs1Label.
cs2 additional.fields[1].value.string_value Se asigna directamente desde el campo cs2. La clave se deriva de cs2Label.
cs2Label additional.fields[1].key Se asigna directamente desde el campo cs2Label.
cs3 additional.fields[5].value.string_value Se asigna directamente desde el campo cs3. La clave se deriva de cs3Label.
cs3Label additional.fields[5].key Se asigna directamente desde el campo cs3Label.
cs4 additional.fields[0].value.string_value Se asigna directamente desde el campo cs4. La clave se deriva de cs4Label.
cs4Label additional.fields[0].key Se asigna directamente desde el campo cs4Label.
cs5 additional.fields[2].value.string_value Se asigna directamente desde el campo cs5. La clave se deriva de cs5Label.
cs5Label additional.fields[2].key Se asigna directamente desde el campo cs5Label.
cs6 additional.fields[7].value.string_value Se asigna directamente desde el campo cs6. La clave se deriva de cs6Label.
cs6Label additional.fields[7].key Se asigna directamente desde el campo cs6Label.
deviceExternalId about.asset.asset_id Se usa como parte de la lógica de generación de asset_id. El valor "Trend Micro.Apex Central:" se antepone a este campo.
deviceNtDomain about.administrative_domain Se asigna directamente desde el campo deviceNtDomain.
devicePayloadId additional.fields[3].value.string_value Se asigna directamente desde el campo devicePayloadId. La clave está codificada como "devicePayloadId".
deviceProcessName about.process.command_line Se asigna directamente desde el campo deviceProcessName.
dhost target.hostname Se asigna directamente desde el campo dhost.
dntdom target.administrative_domain Se asigna directamente desde el campo dntdom.
dst target.ip Se asigna directamente desde el campo dst.
duser target.user.userid, target.user.user_display_name Se asigna directamente desde el campo duser.
dvchost about.hostname Se asigna directamente desde el campo dvchost.
fileHash about.file.full_path Se asigna directamente desde el campo fileHash.
fname additional.fields[9].value.string_value Se asigna directamente desde el campo fname. La clave está codificada como "fname".
message metadata.product_event_type El encabezado de CEF se extrae del campo de mensaje.
request target.url Se asigna directamente desde el campo request.
rt metadata.event_timestamp Se asigna directamente desde el campo rt.
shost principal.hostname Se asigna directamente desde el campo shost.
src principal.ip Se asigna directamente desde el campo src.
TMCMdevicePlatform principal.platform Se asigna según la lógica del analizador. Los valores se normalizan a "WINDOWS", "MAC" o "LINUX".
TMCMLogDetectedHost principal.hostname Se asigna directamente desde el campo TMCMLogDetectedHost.
TMCMLogDetectedIP principal.ip Se asigna directamente desde el campo TMCMLogDetectedIP. Se deriva de la lógica del analizador en función de la presencia de otros campos. Los valores posibles son "USER_UNCATEGORIZED", "STATUS_UPDATE" o "GENERIC_EVENT". Está codificado como "TRENDMICRO_APEX_ONE". Está codificado como "TRENDMICRO_APEX_ONE". Se extrae del encabezado de CEF en el campo message. Se codificó de forma rígida como "LOW".

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.