收集 Trend Micro Deep Security 日志

支持的语言：

本文档介绍了如何使用 Bindplane 将趋势科技 Deep Security 日志注入到 Google Security Operations。Trend Micro Deep Security 是一个服务器安全平台，可为物理、虚拟和云工作负载提供反恶意软件、IPS、防火墙、完整性监控、日志检查和应用控制。Deep Security 正在整合到 Trend Vision One 平台下，但 Deep Security Manager 会继续为所有保护模块生成 syslog 事件。

如需了解详情，请参阅收集 Trend Micro Deep Security 日志。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例。
  • 搭载 systemd 的 Windows 2016 或更高版本或 Linux 主机。
  • 如果在代理后面运行，请确保防火墙端口根据 Bindplane 代理要求处于打开状态。
  • 拥有管理员或审计员角色的 Trend Micro Deep Security Manager Web 控制台的特权访问权限。
  • Deep Security Manager 20.0 或更高版本。

获取 Bindplane 代理的 Google SecOps 凭据

如需向 Google SecOps 验证 Bindplane 代理的身份，请选择以下方法之一：

  • 新部署：使用 Chronicle API（选项 1）。
  • 旧版部署：继续使用数据注入身份验证文件（方法 2），直到 Ingestion API 于 2027 年 7 月 20 日停用。
  1. 登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
  2. 前往 IAM 和管理 > 服务账号。
  3. 点击创建服务账号。
  4. 提供以下配置详细信息：
    • 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
    • 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
  5. 点击创建并继续。
  6. 在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
  7. 点击继续，然后点击完成。
  8. 点击您创建的服务账号，然后前往密钥标签页。
  9. 依次点击添加密钥> 创建新密钥。
  10. 选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
  11. 将密钥文件另存为 Bindplane 收集器目录（Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的 ingestion-auth.json，或更新 config.yaml 中的 creds_file_path 以匹配您保存该文件的路径。
  12. 前往 IAM 和管理 > 设置，然后复制项目编号。您在配置导出器时需要用到该名称。

方法 2：下载数据注入身份验证文件（旧版）

  1. 登录 Google SecOps 控制台。
  2. 前往 SIEM 设置> 收集代理。
  3. 下载数据注入身份验证文件。
  4. 将文件安全地保存在将安装 Bindplane 代理的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 配置文件。
  3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

根据以下说明，在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

其他安装资源

  • 如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

  1. 访问配置文件：

    • 找到 config.yaml 文件。通常，该文件位于 Linux 上的 /opt/observiq-otel-collector/config.yaml 目录中，或 Windows 上的安装目录中。
    • 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

  2. 按如下方式修改 config.yaml 文件：

    receivers:
  tcplog:
    listen_address: "0.0.0.0:1514"

exporters:
  chronicle/trendmicro_ds:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: TRENDMICRO_DEEP_SECURITY
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/trendmicro_ds_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/trendmicro_ds
  • 根据您基础设施的需要替换端口和 IP 地址。
  • 将 <LOCATION> 替换为 Google SecOps 实例所在的区域（例如 us、europe 或 asia-southeast1）。导出工具会为此值添加 chronicle.googleapis.com 前缀。
  • 将 <PROJECT_NUMBER> 替换为 IAM 和管理 > 设置中的项目编号。
  • 将 <CUSTOMER_ID> 替换为实际的客户 ID。
  • 将 /path/to/ingestion-authentication-file.json 更新为服务账号密钥文件（选项 1）的保存路径。

旧版提取 API

  • 如果您使用选项 2 中的提取身份验证文件，请将 exporters 代码块替换为以下内容。将 creds_file_path 设置为数据注入身份验证文件的路径，如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的区域端点（例如 europe-malachiteingestion-pa.googleapis.com）。

    exporters:
  chronicle/trendmicro_ds:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: TRENDMICRO_DEEP_SECURITY
    raw_log_field: body
    ingestion_labels:

重启 Bindplane 代理以应用更改

  1. 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

    sudo systemctl restart observiq-otel-collector

  2. 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

    net stop observiq-otel-collector && net start observiq-otel-collector

在 Trend Micro Deep Security 上配置 syslog 转发

在 Deep Security Manager 中配置 syslog 设置

  1. 登录 Trend Micro Deep Security Manager Web 控制台。
  2. 依次前往 Administration（管理）> System Settings（系统设置）> Event Forwarding（事件转发）。
  3. 在 SIEM 部分中，选择将事件转发到远程计算机（通过 Syslog）。

  4. 点击 syslog 配置旁边的修改。

  5. 提供以下配置详细信息：

    • 服务器名称：输入 Bindplane 代理主机的 IP 地址。
    • 服务器端口：输入 1514（或您配置的端口）。
    • 传输：选择 TCP。
    • 事件格式：选择通用事件格式 (CEF)。

  6. 点击 OK（确定）以保存 syslog 服务器配置。

选择要转发的事件类型

  1. 在事件转发标签页中，配置要转发的事件类型：

    • 反恶意软件事件：选择将反恶意软件事件转发到 Syslog。
    • Web Reputation Events（Web 信誉事件）：选择 Forward Web Reputation Events to Syslog（将 Web 信誉事件转发到 Syslog）。
    • 防火墙事件：选择将防火墙事件转发到 Syslog。
    • 入侵防御事件：选择将入侵防御事件转发到 Syslog。
    • 完整性监控事件：选择将完整性监控事件转发到 Syslog。
    • 日志检查事件：选择将日志检查事件转发到 Syslog。
    • 应用控制事件：选择将应用控制事件转发到 Syslog。
    • 系统事件：选择将系统事件转发到 Syslog。

  2. 点击保存。

配置政策级 syslog（可选）

如果您需要为特定政策配置 syslog 转发，请执行以下操作：

  1. 前往政策。
  2. 双击要配置的政策。

  3. 依次前往设置 > 事件转发。

  4. 对于每个保护模块，您可以替换全局 syslog 设置：

    • 选择继承以使用全局设置。
    • 选择是，为特定政策启用 syslog 转发。
    • 选择否，为特定政策停用 syslog 转发功能。

  5. 点击保存。

验证 syslog 转发

  1. 在 Deep Security Manager 中，前往事件和报告 > 事件。
  2. 验证是否正在生成安全事件。

  3. 检查 Bindplane 代理日志，确认 TCP 监听器正在接收 syslog 消息：

    sudo journalctl -u observiq-otel-collector -f

如需了解详情，请参阅 Trend Micro Deep Security syslog 文档。

UDM 映射表

日志字段 UDM 映射 逻辑
dvc about.ip 已合并
aggregation_type_label additional.fields 已合并
cn1Label additional.fields 已映射：Host ID → cn1_label
cn1_label additional.fields 已合并
fileInCompressedFile_label additional.fields 已合并
repeat_count_label additional.fields 已合并
cef_host intermediary.hostname 直接映射
hostname intermediary.hostname 直接映射
cef_host intermediary.ip 已合并
hostname intermediary.ip 已合并
desc metadata.description 直接映射
timestamp metadata.event_timestamp 已解析为 ISO8601
has_principal metadata.event_type 已映射：true → NETWORK_HTTP、true → STATUS_UPDATE
TrendMicroDsTenant metadata.product_deployment_id 直接映射
event_id metadata.product_event_type 直接映射
log_type metadata.product_name 直接映射
product_version metadata.product_version 直接映射
organization metadata.vendor_name 直接映射
proto network.ip_protocol 已映射：ICMPv6 → ICMP
in network.received_bytes 已重命名/映射
out network.sent_bytes 已重命名/已映射
dvchost principal.asset.hostname 直接映射
shost principal.asset.hostname 直接映射
src principal.asset.ip 已合并
dvchost principal.hostname 直接映射
shost principal.hostname 直接映射
src principal.ip 已合并
smac principal.mac 已合并
srcMAC principal.mac 已合并
spt principal.port 直接映射
srcPort principal.port 直接映射
TrendMicroDsProcessPid principal.process.pid 直接映射
suser principal.user.user_display_name 直接映射
suid principal.user.userid 直接映射
usrName principal.user.userid 直接映射
action security_result.action 已合并
act security_result.action_details 直接映射
result security_result.action_details 直接映射
cat security_result.category_details 已合并
msg security_result.description 直接映射
TrendMicroDsPacketData_label security_result.detection_fields 已合并
behaviour_type_field security_result.detection_fields 已合并
cn3_label security_result.detection_fields 已合并
count_label security_result.detection_fields 已合并
cs1_label security_result.detection_fields 已合并
cs2_label security_result.detection_fields 已合并
cs3_label security_result.detection_fields 已合并
cs4_label security_result.detection_fields 已合并
cs5_label security_result.detection_fields 已合并
cs6_label security_result.detection_fields 已合并
cs7_label security_result.detection_fields 已合并
frame_type_field security_result.detection_fields 已合并
malware_target security_result.detection_fields 已合并
process_label security_result.detection_fields 已合并
target_type security_result.detection_fields 已合并
tenant_field security_result.detection_fields 已合并
tenant_id_field security_result.detection_fields 已合并
sev security_result.severity 映射："0", "1", "2", "3", "LOW" → LOW、"4", "5", "6", "MEDIUM" → MEDIUM、`“7”、“8”…
sev security_result.severity_details 直接映射
name security_result.summary 直接映射
result security_result.summary 直接映射
event_name security_result.threat_name 直接映射
organization target.administrative_domain 直接映射
cef_host target.asset.hostname 直接映射
hostname target.asset.hostname 直接映射
target target.asset.hostname 直接映射
dst target.asset.ip 已合并
filePath target.file.full_path 直接映射
cs3 target.file.md5 直接映射
TrendMicroDsFileSHA1 target.file.sha1 直接映射
cs2 target.file.sha1 直接映射
fileHash target.file.sha256 直接映射
cn2 target.file.size 已重命名/已映射
fsize target.file.size 已重命名/已映射
cef_host target.hostname 直接映射
hostname target.hostname 直接映射
target target.hostname 直接映射
dst target.ip 已合并
dmac target.mac 已合并
dstMAC target.mac 已合并
dpt target.port 直接映射
dstPort target.port 直接映射
duser target.user.user_display_name 直接映射
不适用 metadata.event_type 常量：NETWORK_HTTP
不适用 network.ip_protocol 常量：ICMP
不适用 security_result.severity 常量：LOW
cs4" , "TrendMicroDsPacketData" and "cn3 security_result.detection_fields 从更新日志映射
cn1 principal.asset_id 从更新日志映射
security_result.action BLOCK 从更新日志映射
cef_host" and "hostname intermediary.ip 从更新日志映射
TrendMicroDsMalwareTarget","TrendMicroDsProcess", "TrendMicroDsMalwareTargetCount","TrendMicroDsMalwareTargetType" and "TrendMicroDsBehaviorType security_result.detection_fields 从更新日志映射

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。