Trend Micro Deep Security のログを収集する

このドキュメントでは、Google Security Operations を使用して Trend Micro Deep Security のログを収集する方法について説明します。このパーサーは、LEEF+CEF 形式または CEF 形式のログを統合データモデル（UDM）に解析します。Grok パターンと Key-Value ペアを使用してログ メッセージからフィールドを抽出し、対応する UDM フィールドにマッピングします。この処理中に、さまざまなデータのクリーニングと正規化タスクも処理されます。

始める前に

• Google SecOps インスタンスがあることを確認します。
• Windows 2016 以降、または systemd を使用する Linux ホストを使用していることを確認します。
• プロキシの背後で実行している場合は、ファイアウォール ポートが開いていることを確認します。
• TrendMicro Deep Security コンソールへの特権アクセス権があることを確認します。

Google SecOps の取り込み認証ファイルを取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [コレクション エージェント] に移動します。
3. Ingestion Authentication File をダウンロードします。Bindplane エージェントがインストールされるシステムに、ファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [プロファイル] に移動します。
3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

Windows へのインストール

1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

2. 次のコマンドを実行します。

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux へのインストール

1. root 権限または sudo 権限でターミナルを開きます。

2. 次のコマンドを実行します。

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

その他のインストール リソース

• その他のインストール オプションについては、こちらのインストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane Agent を構成する

1. 構成ファイルにアクセスします。

   • config.yaml ファイルを見つけます。通常、Linux では /etc/bindplane-agent/ ディレクトリに、Windows ではインストール ディレクトリにあります。
   • テキスト エディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

2. config.yaml ファイルを次のように編集します。

   receivers:
       udplog:
           # Replace the below port <54525> and IP <0.0.0.0> with your specific values
           listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: trendmicro_deep_security
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。

4. <customer_id> は、実際の顧客 ID に置き換えます。

5. /path/to/ingestion-authentication-file.json の値を、Google SecOps の取り込み認証ファイルを取得するで認証ファイルを保存したパスに更新します。

Bindplane Agent を再起動して変更を適用する

• Linux で Bindplane Agent を再起動するには、次のコマンドを実行します。

  sudo systemctl restart bindplane-agent
  

• Windows で Bindplane Agent を再起動するには、Services コンソールを使用するか、次のコマンドを入力します。

  net stop BindPlaneAgent && net start BindPlaneAgent
  

TrendMicro Deep Security で Syslog を構成する

1. TrendMicro Deep Security コンソールにログインします。
2. [Policies] > [Common Objects] > [Other] > [Syslog Configurations] に移動します。
3. [New] > [New Configuration] をクリックします。
4. 構成の次の詳細を指定します。
   • Name: 構成を識別する一意の名前（Google SecOps Bindplane など）
   • 省略可: Description: 説明を追加します。
   • ログソース ID: 必要に応じて、Deep Security Manager のホスト名の代わりに使用する ID を指定します。
   • サーバー名: Syslog サーバー（Bindplane）のホスト名または IP アドレスを入力します。
   • サーバーポート: サーバー（Bindplane）でリッスンするポート番号を指定します。
   • トランスポート: トランスポート プロトコルとして [UDP] を選択します。
   • Event Format: [LEEF] または [CEF] を選択します（LEEF 形式では、[Agents should forward logs] を [Via the Deep Security Manager] に設定する必要があります）。
   • 省略可: Include time zone in events: 日付全体（年とタイムゾーンを含む）をイベントに追加するかどうか。
   • 省略可: Agents should forward logs: ログが LEEF 形式である場合は、[Via the Deep Security Manager] を選択します。
5. [適用] をクリックして設定を確定します。

セキュリティ イベントの転送を構成する

1. [Policies] に移動し、構成するパソコンに適用するポリシーを選択します。
2. [詳細] をクリックします。
3. [Policy editor] ウィンドウで、[Settings] > [Event Forwarding] をクリックします。
4. [Period between sending of events] セクションで、期間の値を 10～60 秒の範囲で設定します。
   • デフォルト値は 60 秒、推奨値は 10 秒です。
5. これらの保護モジュールごとに、次の操作を行います。
   • マルウェア対策の Syslog 構成
   • Web レピュテーションの Syslog 構成
   • ファイアウォール
   • 侵入防止の Syslog 構成
   • ログ検査と整合性モニタリングの Syslog 構成
6. コンテキスト メニューから使用する syslog 構成を選択します。
   • Syslog 構成名: 適切な構成を選択します。
7. [Save] をクリックして設定を適用します。

システム イベントの転送を構成する

1. [Administration] > [System Settings] > [Event Forwarding] に移動します。
2. [Forward System Events to a remote computer (via Syslog) using configuration] で、前に作成した既存の構成を選択します。
3. [Save] をクリックします。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。