Coletar registros do Trend Micro Cloud One

Visão geral

Esse analisador processa registros formatados em syslog e JSON do Trend Micro Cloud One. Ele extrai pares de chave-valor de mensagens formatadas em LEEF, normaliza valores de gravidade, identifica entidades principais e de destino (IP, nome do host, usuário) e mapeia os dados para o esquema da UDM. Se o formato LEEF não for detectado, o analisador tentará processar a entrada como JSON e extrair os campos relevantes de acordo.

Antes de começar

• Verifique se você tem uma instância do Google SecOps.
• Verifique se você tem acesso privilegiado ao Trend Micro Cloud One.
• Verifique se você tem um host Windows 2012 SP2 ou mais recente ou Linux com systemd.
• Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas.

Receber o arquivo de autenticação de ingestão do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Baixe o arquivo de autenticação de ingestão.

Receber o ID do cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.
3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

1. Para instalação no Windows, execute o seguinte script: msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet.
2. Para instalação no Linux, execute o seguinte script: sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh.
3. Outras opções de instalação estão disponíveis neste guia de instalação.

Configurar o agente do Bindplane para ingerir Syslog e enviar ao Google SecOps

1. Acesse a máquina com o agente do Bindplane.

2. Edite o arquivo config.yaml da seguinte forma:

   receivers:
     udplog:
       # Replace the below port <5514> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:514" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: 
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reinicie o agente do Bindplane para aplicar as mudanças usando o seguinte comando: sudo systemctl bindplane restart

Configurar o Syslog no Trend Micro Cloud One

1. Acesse Políticas > Objetos comuns > Outros > Configurações do Syslog.
2. Clique em Novo > Nova configuração > Geral
3. Especifique valores para os seguintes parâmetros:
   • Nome: nome exclusivo que identifica a configuração (por exemplo, Servidor do BindPlane SecOps do Google).
   • Nome do servidor: insira o endereço IP do agente do Bindplane.
   • Porta do servidor: digite a porta do agente do Bindplane (por exemplo, 514).
   • Transporte: selecione UDP.
   • Formato do evento: selecione Syslog.
   • Incluir fuso horário nos eventos: mantenha a opção desmarcada.
   • Instalação: tipo de processo com que os eventos serão associados.
   • Os agentes precisam encaminhar registros: selecione o servidor Syslog.
   • Clique em Salvar.

Exportar eventos do sistema no Trend Micro Cloud One

1. Acesse Administração > Configurações do sistema > Encaminhamento de eventos.
2. Encaminhe eventos do sistema para um computador remoto (via Syslog) usando a configuração criada na etapa anterior.
3. Clique em Salvar.

Exportar eventos de segurança no Trend Micro Cloud One

1. Acesse Políticas.
2. Clique na política usada pelos computadores.
3. Acesse Configurações > Encaminhamento de eventos.
4. Frequência de encaminhamento de eventos (do agente/dispositivo): escolha Período entre o envio de eventos e selecione a frequência com que os eventos de segurança serão encaminhados.
5. Configuração de encaminhamento de eventos (do agente/dispositivo): escolha Configuração do Syslog antimalware e selecione a configuração criada na etapa anterior.
6. Clique em Salvar.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.