Cribl Stream-Logs erfassen

Parserversion: 1.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Cribl Stream-Logs mit dem integrierten Google SecOps-Ziel in Google Security Operations aufnehmen. Cribl Stream generiert Betriebsdaten in Form von Logs, Messwerten und Ereignissen. Mit dieser Integration können Sie diese Logs zur Analyse und zum Monitoring an Google SecOps senden.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz.
  • Zugriff auf die Cribl Stream-Verwaltungskonsole oder den Cluster.
  • Anmeldedaten für Google Cloud-Dienstkonten.

Authentifizierungsdatei für die Google SecOps-Datenaufnahme abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.

Google SecOps-Ziel in Cribl Stream konfigurieren

  1. Melden Sie sich in der Cribl Stream Management Console an.
  2. Rufen Sie Daten > Ziele auf.
  3. Klicken Sie auf Ziel hinzufügen.
  4. Wählen Sie Google Cloud> Security Operations (SecOps) aus.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Ausgabe-ID: Geben Sie einen eindeutigen Namen ein, z. B. google-secops-destination.
    • Beschreibung: Geben Sie eine Beschreibung für dieses Ziel ein.
    • Ereignisse senden als: Wählen Sie Unstrukturiert aus (empfohlen für die Standardprotokollanalyse).
    • API-Version: Wählen Sie V2 aus.
    • Standardmäßiger Protokolltyp: Wählen Sie CRIBL_STREAM aus der Liste aus.
    • Optional: Namespace: Geben Sie einen Namespace ein, um Logs aus dieser Quelle zu identifizieren (z. B. cribl-logs).
  6. Im Abschnitt Authentifizierung:
    • Authentifizierungsmethode: Dienstkonto (JSON)
    • Dienstkontoschlüssel: Laden Sie den Inhalt der JSON-Datei mit den Anmeldedaten hoch oder fügen Sie ihn ein.
  7. Im Abschnitt Verarbeitung:
    • Logtextfeld: Geben Sie optional _raw ein. Wenn nicht festgelegt, sendet Cribl eine JSON-Darstellung des gesamten Ereignisses. Verwenden Sie _raw nur, wenn Sie tatsächlich Rohtext in diesem Feld speichern.
  8. Klicken Sie auf Speichern.

Route zum Senden von Cribl Stream-Logs erstellen

  1. Gehen Sie zu Daten > Routen.
  2. Klicken Sie auf Route hinzufügen.
  3. Geben Sie die folgenden Konfigurationsdetails an:
    • Routennamen: Geben Sie einen aussagekräftigen Namen ein, z. B. cribl-logs-to-secops.
    • Filter: Geben Sie source.match(/cribl.*/) ein, um interne Cribl-Logs (Betriebslogs von Cribl selbst) zu erfassen.
    • Ausgabe: Wählen Sie das im vorherigen Abschnitt erstellte Google SecOps-Ziel aus.
    • Pipeline: Wählen Sie passthru aus oder erstellen Sie eine benutzerdefinierte Pipeline für die Log-Anreicherung.
  4. Klicken Sie auf Speichern.
  5. Commit & Deploy (Commit und Bereitstellen) der Konfiguration, um Änderungen anzuwenden.

Logfilterung und -anreicherung konfigurieren (optional)

Wenn Sie Cribl Stream-Logs filtern oder anreichern müssen, bevor Sie sie an Google SecOps senden:

  1. Rufen Sie in Cribl Stream Data > Pipelines auf.
  2. Klicken Sie auf Pipeline hinzufügen.
  3. Geben Sie die folgenden Konfigurationsdetails an:
    • Pipeline-ID: Geben Sie einen aussagekräftigen Namen ein, z. B. cribl-log-processing.
    • Beschreibung: Geben Sie eine Beschreibung für die Pipeline ein.
  4. Fügen Sie nach Bedarf Funktionen hinzu:
    • Eval: Metadatenfelder hinzufügen oder vorhandene Felder ändern.
    • Regex Extract: Bestimmte Informationen aus Logeinträgen extrahieren.
    • Verwerfen: Entfernen Sie unnötige Ereignisse oder Felder.
    • Maskieren: Sensible Informationen unkenntlich machen.
  5. Klicken Sie auf Speichern.
  6. Aktualisieren Sie Ihre Route, damit diese Pipeline anstelle von passthru verwendet wird.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten