收集 Fidelis CloudPassage Halo 記錄

剖析器版本：3.0

支援的服務：

Google SecOps SIEM

本文說明如何使用第三方 API 設定 Google Security Operations 動態饋給，收集 CloudPassage Halo (舊稱 CloudPassage) 記錄。

擷取標籤會識別剖析器，將原始記錄資料正規化為結構化 UDM 格式。本文資訊適用於具有 CLOUD_PASSAGE 擷取標籤的剖析器。

事前準備

請確認您符合下列必要條件：

• Google SecOps 執行個體
• 具備管理員權限，可存取 CloudPassage Halo 入口網站
• 有效的 CloudPassage Halo 帳戶，且已啟用 API 存取權

設定 CloudPassage Halo API 存取權

如要讓 Google SecOps 提取事件記錄，請建立具備唯讀權限的 API 金鑰組。

建立 API 金鑰組

1. 登入 CloudPassage Halo 入口網站。
2. 依序前往「Settings」>「Site Administration」>「API Keys」。
3. 按一下「Create Key」或「New API 金鑰」。
4. 提供下列設定詳細資料：
   • Key Name：輸入描述性名稱 (例如 Google SecOps Integration)。
   • Read Only：選取「Yes」(基於安全考量，建議使用唯讀存取權)。
5. 點選「建立」。

記錄 API 憑證

建立 API 金鑰後，您會收到下列憑證：

• 金鑰 ID：專屬 API 金鑰 ID (例如 abc123def456)
• Secret Key：API 密鑰 (例如 xyz789uvw012)

重要事項：請立即複製並儲存金鑰 ID 和 Secret Key。關閉建立對話方塊後，就無法擷取 Secret Key。

注意：請妥善儲存這些憑證。設定 Google SecOps 動態饋給時，您需要這兩個值。

必要的 API 權限

CloudPassage Halo API 金鑰支援下列權限層級：

權限等級	存取權	目的
唯讀	讀取	擷取事件資料和設定 (建議)
完整存取權	讀取 + 寫入	擷取事件並修改設定 (非必要)

注意：使用唯讀 API 金鑰符合最小權限安全原則。唯讀存取權足以將記錄擷取至 Google SecOps。不需授予寫入權限。

設定動態饋給

如要設定動態饋給，請按照下列步驟操作：

1. 依序前往「設定」>「資料管理」>「動態饋給」。如果使用的是 SIEM 專用平台，請依序前往「設定」>「動態饋給」。
2. 按一下「新增動態饋給」。
3. 在下一頁，點按「設定單一動態饋給」。
4. 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給名稱 (例如 CloudPassage Halo Events)。
5. 在「Source type」(來源類型) 中選取「Third party API」(第三方 API)。
6. 選取「Cloud Passage」做為「記錄類型」。
7. 點選「下一步」。

指定下列輸入參數的值：

1. Username：輸入先前建立的 CloudPassage Halo API 金鑰組中的金鑰 ID。
2. Secret：輸入先前建立的 CloudPassage Halo API 金鑰組密鑰。

3. 事件類型 (選用)：指定要擷取的事件類型。每行輸入一個事件類型。

   如果將這個欄位留空，動態饋給會自動擷取下列預設事件類型：

   • fim_target_integrity_changed (檔案完整性監控事件)
   • lids_rule_failed (記錄檔入侵偵測系統事件)
   • sca_rule_failed (安全性設定評估事件)

   如要擷取其他事件類型，請逐行輸入。例如：

     fim\_target\_integrity\_changed
     lids\_rule\_failed
     sca\_rule\_failed
     lids\_rule\_passed
     sca\_rule\_passed
     agent\_connection\_lost
   

   注意：可用的事件類型包括但不限於：fim_*、lids_*、sca_*、agent_*、firewall_* 和 server_* 事件。如需完整的事件類型清單，請參閱 CloudPassage Halo API 說明文件。

4. Asset namespace：資產命名空間。

5. 擷取標籤：要套用至這個動態饋給事件的標籤。

6. 點選「下一步」。

7. 在「完成」畫面中檢查新的新聞動態消息設定，然後按一下「提交」。

設定完成後，動態饋給會開始依時間順序，從 CloudPassage Halo API 擷取事件記錄。

UDM 對應表

記錄欄位	UDM 對應	邏輯
id	metadata.product_log_id	專屬事件 ID
created_at	metadata.event_timestamp	事件建立時間戳記
type	metadata.product_event_type	事件類型 (例如 fim_target_integrity_changed)
server_hostname	target.hostname	受影響伺服器的主機名稱
server_platform	target.platform	作業系統平台
server_primary_ip_address	target.ip	伺服器的主要 IP 位址
rule_name	security_result.rule_name	觸發事件的安全規則名稱
critical	security_result.severity	事件的重要程度
policy_name	security_result.category	安全性政策名稱
user	principal.user.userid	與事件相關聯的使用者
message	security_result.description	事件說明或訊息
policy_name	security_result.detection_fields	從變更記錄對應
server_group_name	target.group.attribute.labels	從變更記錄對應
server_group_path	target.group.product_object_id	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。