Recoger registros de Trend Micro Cloud One

Información general

Este analizador gestiona los registros con formato syslog y JSON de Trend Micro Cloud One. Extrae pares clave-valor de mensajes con formato LEEF, normaliza los valores de gravedad, identifica las entidades principales y de destino (IP, nombre de host y usuario) y asigna los datos al esquema de UDM. Si no se detecta el formato LEEF, el analizador intenta procesar la entrada como JSON y extraer los campos pertinentes.

Antes de empezar

• Asegúrate de que tienes una instancia de Google SecOps.
• Asegúrate de que tienes acceso privilegiado a Trend Micro Cloud One.
• Asegúrate de tener un host Windows 2012 SP2 o posterior, o un host Linux con systemd.
• Si se ejecuta a través de un proxy, asegúrate de que los puertos del cortafuegos estén abiertos.

Obtener el archivo de autenticación de ingestión de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recogida.
3. Descarga el archivo de autenticación de ingestión.

Obtener el ID de cliente de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

1. Para instalar en Windows, ejecuta la siguiente secuencia de comandos: msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet.
2. Para instalar Linux, ejecuta la siguiente secuencia de comandos: sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh.
3. Puedes consultar otras opciones de instalación en esta guía de instalación.

Configurar el agente de Bindplane para ingerir Syslog y enviarlo a Google SecOps

1. Accede a la máquina con el agente de Bindplane.

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     udplog:
       # Replace the below port <5514> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:514" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: 
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reinicia el agente de Bindplane para aplicar los cambios con el siguiente comando: sudo systemctl bindplane restart

Configurar Syslog desde Trend Micro Cloud One

1. Vaya a Políticas > Objetos comunes > Otro > Configuraciones de Syslog.
2. Haz clic en Nuevo > Nueva configuración > General.
3. Especifique los valores de los siguientes parámetros:
   • Nombre: nombre único que identifica la configuración (por ejemplo, Servidor BindPlane de Google SecOps).
   • Nombre del servidor: introduce la dirección IP del agente de Bindplane.
   • Puerto del servidor: introduce el puerto del agente de Bindplane (por ejemplo, 514).
   • Transporte: selecciona UDP.
   • Formato de evento: selecciona Syslog.
   • Incluir zona horaria en los eventos: no selecciones esta opción.
   • Instalación: tipo de proceso con el que se asociarán los eventos.
   • Los agentes deben reenviar los registros: selecciona el servidor Syslog.
   • Haz clic en Guardar.

Exportar eventos del sistema en Trend Micro Cloud One

1. Ve a Administración > Configuración del sistema > Reenvío de eventos.
2. Reenviar eventos del sistema a un ordenador remoto (mediante Syslog) usando la configuración, selecciona la configuración creada en el paso anterior.
3. Haz clic en Guardar.

Exportar eventos de seguridad en Trend Micro Cloud One

1. Ve a Políticas.
2. Haz clic en la política que usan los ordenadores.
3. Ve a Ajustes > Reenvío de eventos.
4. Frecuencia de reenvío de eventos (desde el agente o el dispositivo): elige Periodo entre el envío de eventos y selecciona la frecuencia con la que se reenviarán los eventos de seguridad.
5. Configuración de reenvío de eventos (desde el agente o el dispositivo): elija Configuración de Syslog antimalware y seleccione la configuración creada en el paso anterior.
6. Haz clic en Guardar.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.