Cribl Stream-Logs erfassen

Parserversion:1.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Cribl Stream-Logs mit dem integrierten Google SecOps-Ziel in Google Security Operations aufnehmen. Cribl Stream erzeugt Betriebsdaten in Form von Logs, Messwerten und Ereignissen. Mit dieser Integration können Sie diese Logs zur Analyse und Überwachung an Google SecOps senden.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz.
• Zugriff auf die Cribl Stream-Verwaltungskonsole oder den Cluster.
• Anmeldedaten für das Google Cloud-Dienstkonto.

Google SecOps-Anmeldedaten abrufen

Wählen Sie eine der folgenden Methoden aus, um Cribl Stream bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Ältere Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Aufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud Konsole an und wählen Sie das Google Cloud Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. cribl-stream-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Cribl Stream log ingestion.
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei sicher, damit sie in der Cribl Stream-Zielkonfiguration verwendet werden kann.

Hinweis: Der JSON-Schlüssel ist ein Anmeldedatum. Beschränken Sie den Zugriff auf die Datei und rotieren Sie den Schlüssel gemäß der Richtlinie Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (alt)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie SIEM-Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
4. Speichern Sie die Datei sicher, damit sie in der Cribl Stream-Zielkonfiguration verwendet werden kann.

Hinweis: Mit dieser Datei wird die Authentifizierung bei der alten Ingestion API (malachiteingestion-pa.googleapis.com) durchgeführt, die Google am 20. Juli 2027 einstellen wird. Planen Sie, vor diesem Datum zu Option 1 zu wechseln.

Google SecOps-Ziel in Cribl Stream konfigurieren

1. Melden Sie sich in der Cribl Stream-Verwaltungskonsole an.
2. Rufen Sie Daten > Ziele auf.
3. Klicken Sie auf Ziel hinzufügen.
4. Wählen Sie Google Cloud > Security Operations (SecOps) aus.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Ausgabe-ID: Geben Sie einen eindeutigen Namen ein, z. B. google-secops-destination.
   • Beschreibung: Geben Sie eine Beschreibung für dieses Ziel ein.
   • Ereignisse senden als: Wählen Sie Unstrukturiert aus (empfohlen für die Standard-Loganalyse).
   • API-Version: Wählen Sie V2 aus.
   • Standardmäßiger Logtyp: Wählen Sie in der Liste CRIBL_STREAM aus.
   • Optional: Namespace: Geben Sie einen Namespace ein, um Logs aus dieser Quelle zu identifizieren, z. B. cribl-logs.
6. Im Abschnitt Authentifizierung :
   • Authentifizierungsmethode: Dienstkonto (JSON).
   • Dienstkontoschlüssel: Laden Sie die JSON-Anmeldedatendatei hoch oder fügen Sie ihren Inhalt ein.
7. Im Abschnitt Verarbeitung :
   • Log-Textfeld: Geben Sie optional _raw ein. Wenn nichts festgelegt ist, sendet Cribl die JSON-Darstellung des gesamten Ereignisses. Verwenden Sie _raw nur, wenn Sie in diesem Feld tatsächlich Rohtext speichern.
8. Klicken Sie auf Speichern.

Route zum Senden von Cribl Stream-Logs erstellen

1. Rufen Sie Daten > Routen auf.
2. Klicken Sie auf Route hinzufügen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Routenname: Geben Sie einen aussagekräftigen Namen ein, z. B. cribl-logs-to-secops.
   • Filter: Geben Sie source.match(/cribl.*/) ein, um interne Cribl-Logs zu erfassen (Betriebslogs von Cribl selbst).
   • Ausgabe: Wählen Sie das im vorherigen Abschnitt erstellte Google SecOps-Ziel aus.
   • Pipeline: Wählen Sie passthru aus oder erstellen Sie eine benutzerdefinierte Pipeline für die Loganreicherung.
4. Klicken Sie auf Speichern.
5. Commit &Deploy Sie die Konfiguration, um die Änderungen zu übernehmen.

Logfilterung und -anreicherung konfigurieren (optional)

Wenn Sie Cribl Stream-Logs filtern oder anreichern müssen, bevor Sie sie an Google SecOps senden:

1. Rufen Sie in Cribl Stream Daten > Pipelines auf.
2. Klicken Sie auf Pipeline hinzufügen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Pipeline-ID: Geben Sie einen aussagekräftigen Namen ein, z. B. cribl-log-processing.
   • Beschreibung: Geben Sie eine Beschreibung für die Pipeline ein.
4. Fügen Sie nach Bedarf Funktionen hinzu:
   • Eval: Fügen Sie Metadatenfelder hinzu oder ändern Sie vorhandene Felder.
   • Regex Extract: Extrahieren Sie bestimmte Informationen aus Logeinträgen.
   • Drop: Entfernen Sie unnötige Ereignisse oder Felder.
   • Mask: Entfernen Sie sensible Informationen.
5. Klicken Sie auf Speichern.
6. Aktualisieren Sie die Route, um diese Pipeline anstelle von passthru zu verwenden.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten