Trend Micro Apex Central

Coletor de log

Você pode integrar o Apex Central ao Sophos Central para o envio de dados de auditoria à Sophos para análise.

Essa integração usa um coletor de log hospedado em uma máquina virtual (VM). Juntos, eles são chamados de coletor de dados. O coletor de dados recebe dados de terceiros e os envia ao Sophos Data Lake.

As principais etapas para adicionar uma integração são as seguintes:

• Adicione uma integração deste produto. Isso configura uma imagem para ser usada em uma VM.
• Baixe e implante a imagem na sua VM. Ele se torna seu coletor de dados.
• Configure o Apex Central para enviar dados ao coletor de dados.

Requisitos

Os coletores de dados têm requisitos de acesso ao sistema e à rede. Para verificar se você os atende, consulte Requisitos do coletor de dados.

Adicionar uma integração

Para integrar o Apex Central ao Sophos Central, faça o seguinte:

1. No Sophos Central, vá para o Centro de Análise de Ameaças e clique em Integrações.

2. Clique em Trend Micro Apex Central.

   Se já tiver configurado as conexões ao Apex Central, você as verá aqui.

3. Clique em Adicionar.

   Nota

   Se esta for a primeira integração que você adiciona, solicitaremos detalhes sobre seus domínios internos e IPs. Consulte Meus domínios e IPs.

   Etapas de integração aparece.

Configurar a VM

Em Etapas de configuração de integração, você configura uma VM para receber dados do Apex Central. Você pode usar uma VM existente ou criar uma nova.

Para configurar a VM, faça o seguinte:

1. Adicione um nome e uma descrição para a nova integração.

2. Insira um nome e uma descrição para o coletor de dados.

   Se você já tiver configurado uma integração de coletor de dados, poderá escolhê-la em uma lista.

3. Selecione a plataforma virtual. Atualmente, oferecemos suporte a VMware ESXi 6.7 Update 3 ou posterior e Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) ou posterior.

4. Especifique as configurações de IP das Portas de rede voltadas à Internet. Isso configura a interface de gerenciamento da VM.

   • Selecione DHCP para atribuir o endereço IP automaticamente.

     Nota

     Se você selecionar DHCP, deverá reservar o endereço IP.

   • Selecione Manual para especificar as configurações de rede.

5. Selecione a Versão de IP do syslog e insira o endereço IP de syslog.

   Você precisará desse endereço IP de syslog mais tarde, ao configurar o Apex Central para enviar dados ao seu coletor de dados.

6. Selecione um Protocolo.

   Você deve usar o mesmo protocolo ao configurar o Apex Central para enviar dados ao seu coletor de dados.

7. Clique em Salvar.

   Nós criamos a integração e ela aparece na sua lista.

   Nos detalhes de integração, você pode ver o número da porta do coletor de dados. Você precisará dele mais tarde, ao configurar o Apex Central para enviar dados.

   Pode levar alguns minutos para que a imagem da VM fique pronta.

Implantar a VM

Use a imagem da VM para implantar a VM. Para isso, siga este procedimento:

1. Na lista de integrações, em Ações, clique na ação de download para a sua plataforma, por exemplo, Baixar OVA para ESXi.
2. Quando o download da imagem for concluído, implante-a em sua VM. Consulte Implantar uma VM para integrações.

Quando você tiver implantado a VM, a integração será exibida como Conectado.

Configurar o Apex Central

Agora, configure o Apex Central para enviar os dados de auditoria para o seu coletor de dados da seguinte forma:

1. Vá para Detections > Notifications > Notification Method Settings.

2. Na seção Syslog Settings, insira:

   • Endereço de IP do servidor: O endereço IP do syslog do seu coletor de dados. Você definiu isso anteriormente no Sophos Central.
   • Porta: O número da porta do coletor de dados.
   • Instalação: Selecione o código de facility.

3. Clique em Salvar.

Ativar o encaminhamento de syslog

Usamos o encaminhamento de syslog para enviar dados ao coletor de dados da Sophos.

Para encaminhar o tráfego de rede, faça o seguinte:

1. Faça login no console do Apex Central usando uma conta de administrador.
2. Vá para Administration > Settings > Syslog Settings.
3. Selecione Enable syslog forwarding.

4. Configure os seguintes ajustes:

   • Endereço do servidor: O endereço IP do syslog do seu coletor de dados.
   • Porta: O número da porta do coletor de dados da Sophos.
   • Protocolo: Selecione TCP ou UDP. Escolha o mesmo que você configurou para o seu coletor de dados.

5. Selecione CEF como o formato de log:

6. Selecione os tipos de log para encaminhar:

   1. Selecione uma categoria de log na lista suspensa Log type:

      • Logs de segurança
      • Informações sobre o produto

   2. Marque as caixas de seleção dos logs que deseja encaminhar. O Apex Central mostra o número total de tipos de log selecionados ao lado da lista Log type.

   3. Você pode selecionar outra categoria de log na lista suspensa Log type.

7. Clique em Test Connection para testar a conexão do servidor. O status de conexão do servidor syslog aparece na parte superior da tela.

8. Clique em Salvar.

   O Apex Central começa a encaminhar logs para o seu coletor de dados. Os dados devem aparecer no Sophos Data Lake após a validação.

   Para monitorar o status de encaminhamento de log, vá para Administration > Command Tracking e selecione Forward Syslog na lista suspensa Command.

Mais Informações

• SIEM solutions integration with Apex Central