Collecter les journaux Trend Micro Cloud One

Présentation

Ce parseur gère les journaux au format syslog et JSON de Trend Micro Cloud One. Il extrait les paires clé-valeur des messages au format LEEF, normalise les valeurs de gravité, identifie les entités principales et cibles (adresse IP, nom d'hôte, utilisateur) et mappe les données dans le schéma UDM. Si le format LEEF n'est pas détecté, l'analyseur tente de traiter l'entrée en tant que JSON et d'extraire les champs pertinents en conséquence.

Avant de commencer

• Assurez-vous de disposer d'une instance Google SecOps.
• Assurez-vous de disposer d'un accès privilégié à Trend Micro Cloud One.
• Assurez-vous de disposer d'un hôte Windows 2012 SP2 ou version ultérieure, ou d'un hôte Linux avec systemd.
• Si vous exécutez le programme derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts.

Obtenir le fichier d'authentification d'ingestion Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM > Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion.

Obtenir l'ID client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM > Profil.
3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent BindPlane

1. Pour l'installation sous Windows, exécutez le script suivant : msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet.
2. Pour installer Linux, exécutez le script suivant : sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh.
3. Vous trouverez d'autres options d'installation dans ce guide d'installation.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

1. Accédez à la machine avec l'agent Bindplane.

2. Modifiez le fichier config.yaml comme suit :

   receivers:
     udplog:
       # Replace the below port <5514> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:514" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: 
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Redémarrez l'agent Bindplane pour appliquer les modifications à l'aide de la commande suivante : sudo systemctl bindplane restart

Configurer Syslog à partir de Trend Micro Cloud One

1. Accédez à Policies > Common Objects > Other > Syslog Configurations.
2. Cliquez sur Nouveau > Nouvelle configuration > Général.
3. Spécifiez les valeurs des paramètres suivants :
   • Nom : nom unique qui identifie la configuration (par exemple, Serveur BindPlane Google SecOps).
   • Nom du serveur : saisissez l'adresse IP de l'agent Bindplane.
   • Port du serveur : saisissez le port de l'agent Bindplane (par exemple, 514).
   • Transport : sélectionnez UDP.
   • Format de l'événement : sélectionnez Syslog.
   • Inclure le fuseau horaire dans les événements : ne cochez pas cette option.
   • Établissement : type de processus auquel les événements seront associés.
   • Les agents doivent transférer les journaux : sélectionnez le serveur Syslog.
   • Cliquez sur Enregistrer.

Exporter des événements système dans Trend Micro Cloud One

1. Accédez à Administration > Paramètres système > Transfert d'événements.
2. Transférer les événements système vers un ordinateur distant (via Syslog) à l'aide d'une configuration : sélectionnez la configuration créée à l'étape précédente.
3. Cliquez sur Enregistrer.

Exporter des événements de sécurité dans Trend Micro Cloud One

1. Accédez à Règles.
2. Cliquez sur la règle utilisée par les ordinateurs.
3. Accédez à Paramètres > Transfert d'événements.
4. Fréquence de transfert des événements (à partir de l'agent/de l'appliance) : sélectionnez Période entre l'envoi des événements et indiquez la fréquence à laquelle les événements de sécurité seront transférés.
5. Configuration du transfert d'événements (à partir de l'agent/de l'appliance) : sélectionnez Configuration Syslog anti-malware, puis la configuration créée à l'étape précédente.
6. Cliquez sur Enregistrer.

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.