收集 Fidelis CloudPassage Halo 日志

解析器版本：3.0

支持范围：

Google SecOps SIEM

本文档介绍了如何通过使用第三方 API 设置 Google Security Operations Feed 来收集 CloudPassage Halo（以前称为 CloudPassage）日志。

注入标签标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 CLOUD_PASSAGE 注入标签的解析器。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例
• 拥有管理员权限，可对 CloudPassage Halo 门户进行特权访问
• 已启用 API 访问权限的有效 CloudPassage Halo 账号

配置 CloudPassage Halo API 访问权限

如需使 Google SecOps 能够拉取事件日志，您需要创建具有只读权限的 API 密钥对。

创建 API 密钥对

1. 登录 CloudPassage Halo 门户。
2. 依次前往设置 > 网站管理 > API 密钥。
3. 点击创建密钥或新建 API 密钥。
4. 提供以下配置详细信息：
   • 密钥名称：输入描述性名称（例如 Google SecOps Integration）。
   • Read Only（只读）：选择 Yes（出于安全考虑，建议选择只读权限）。
5. 点击创建。

记录 API 凭证

创建 API 密钥后，您将收到以下凭证：

• 密钥 ID：您的唯一 API 密钥标识符（例如 abc123def456）
• 密钥：您的 API 密钥（例如 xyz789uvw012）

重要提示：请立即复制并保存密钥 ID 和密钥。关闭创建对话框后，将无法检索密钥。

注意：请妥善存储这些凭据。在配置 Google SecOps Feed 时，您需要这两个值。

所需 API 权限

CloudPassage Halo API 密钥支持以下权限级别：

权限级别	访问	用途
只读	读取	检索事件数据和配置（推荐）
完整访问权限	读写	检索事件并修改配置（非必需）

注意：使用只读 API 密钥符合最小权限安全原则。只读权限足以将日志注入 Google SecOps。不需要写入权限，也不应授予写入权限。

设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往设置 > 数据管理 > Feed。如果您使用的是仅 SIEM 平台，请依次前往设置 > Feed。
2. 点击添加新新闻信息流。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称（例如 CloudPassage Halo Events）。
5. 选择第三方 API 作为来源类型。
6. 选择 Cloud Passage 作为日志类型。
7. 点击下一步。

为以下输入参数指定值：

1. 用户名：输入之前创建的 CloudPassage Halo API 密钥对中的密钥 ID。
2. Secret：输入之前创建的 CloudPassage Halo API 密钥对中的密钥。

3. 事件类型（可选）：指定要注入的事件类型。每行输入一种事件类型。

   如果您将此字段留空，Feed 将自动检索以下默认事件类型：

   • fim_target_integrity_changed（文件完整性监控事件）
   • lids_rule_failed（基于日志的 Intrusion Detection System 事件）
   • sca_rule_failed（安全配置评估事件）

   如需检索其他事件类型，请每行输入一个事件类型。例如：

     fim\_target\_integrity\_changed
     lids\_rule\_failed
     sca\_rule\_failed
     lids\_rule\_passed
     sca\_rule\_passed
     agent\_connection\_lost
   

   注意：可用的事件类型包括但不限于：fim_*、lids_*、sca_*、agent_*、firewall_* 和 server_* 事件。如需查看事件类型的完整列表，请参阅 CloudPassage Halo API 文档。

4. 资产命名空间：资产命名空间。

5. 注入标签：要应用于此 Feed 中的事件的标签。

6. 点击下一步。

7. 在最终确定界面中查看新的新闻信息流配置，然后点击提交。

设置完成后，Feed 会开始按时间顺序从 CloudPassage Halo API 检索事件日志。

UDM 映射表

日志字段	UDM 映射	逻辑
id	metadata.product_log_id	具有唯一性的事件标识符
created_at	metadata.event_timestamp	事件创建时间戳
type	metadata.product_event_type	事件类型（例如 fim_target_integrity_changed）
server_hostname	target.hostname	受影响服务器的主机名
server_platform	target.platform	操作系统平台
server_primary_ip_address	target.ip	服务器的主要 IP 地址
rule_name	security_result.rule_name	触发事件的安全规则的名称
critical	security_result.severity	事件的重要性级别
policy_name	security_result.category	安全政策名称
user	principal.user.userid	与事件关联的用户
message	security_result.description	活动说明或消息
policy_name	security_result.detection_fields	从更新日志映射
server_group_name	target.group.attribute.labels	从更新日志映射
server_group_path	target.group.product_object_id	从更新日志映射

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。