Collecter les journaux Cribl Stream

Version de l'analyseur : 1.0

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux Cribl Stream dans Google Security Operations à l'aide de la destination Google SecOps intégrée. Cribl Stream génère des données opérationnelles sous forme de journaux, de métriques et d'événements. Cette intégration vous permet d'envoyer ces journaux à Google SecOps pour analyse et surveillance.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Une instance Google SecOps.
• Accès à la console de gestion ou au cluster Cribl Stream.
• Identifiants de compte de service Google Cloud.

Obtenir les identifiants Google SecOps

Pour authentifier Cribl Stream auprès de Google SecOps, choisissez l'une des méthodes suivantes :

• Nouveaux déploiements : utilisez l'API Chronicle (option 1).
• Déploiements hérités : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API d'ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

1. Connectez-vous à la Google Cloud console et sélectionnez le Google Cloud projet associé à votre instance Google SecOps.
2. Accédez à IAM et administration > Comptes de service.
3. Cliquez sur Créer un compte de service.
4. Fournissez les informations de configuration suivantes :
   • Nom du compte de service : saisissez un nom pour le compte (par exemple, cribl-stream-ingest).
   • Description du compte de service : saisissez une description (par exemple, Cribl Stream log ingestion).
5. Cliquez sur Créer et continuer.
6. Dans la section Autoriser ce compte de service à accéder au projet , cliquez sur Sélectionner un rôle , puis sélectionnez Éditeur Chronicle.
7. Cliquez sur Continuer, puis sur OK.
8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
9. Cliquez sur Ajouter une clé > Créer une clé.
10. Sélectionnez JSON , puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
11. Enregistrez le fichier de clé de manière sécurisée pour l'utiliser dans la configuration de la destination Cribl Stream.

Remarque : La clé JSON est un identifiant. Limitez l'accès au fichier et faites pivoter la clé conformément à la politique de votre organisation.

Option 2 : Télécharger le fichier d'authentification d'ingestion (hérité)

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM > Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion.
4. Enregistrez le fichier de manière sécurisée pour l'utiliser dans la configuration de la destination Cribl Stream.

Remarque : Ce fichier s'authentifie auprès de l'ancienne API d'ingestion (malachiteingestion-pa.googleapis.com), dont Google a prévu l'arrêt le 20 juillet 2027. Prévoyez de passer à l'option 1 avant cette date.

Configurer la destination Google SecOps dans Cribl Stream

1. Connectez-vous à la console de gestion Cribl Stream.
2. Accédez à Data > Destinations.
3. Cliquez sur Add Destination.
4. Sélectionnez Google Cloud > Opérations de sécurité (SecOps).
5. Fournissez les informations de configuration suivantes :
   • ID de sortie : saisissez un nom unique (par exemple, google-secops-destination).
   • Description : saisissez une description pour cette destination.
   • Send events as : sélectionnez Unstructured (recommandé pour l'analyse des journaux standards).
   • Version de l'API : sélectionnez V2.
   • Default log type : sélectionnez CRIBL_STREAM dans la liste.
   • Facultatif : Namespace : saisissez un espace de noms pour identifier les journaux de cette source (par exemple, cribl-logs).
6. Dans la section Authentication :
   • Méthode d'authentification : compte de service (JSON).
   • Service account key : importez ou collez le contenu du fichier d'identifiants JSON.
7. Dans la section Processing :
   • Log text field : vous pouvez saisir _raw (facultatif). Si ce champ n'est pas défini, Cribl envoie une représentation JSON de l'événement entier. N'utilisez _raw que si vous stockez réellement du texte brut dans ce champ.
8. Cliquez sur Enregistrer.

Créer une route pour envoyer des journaux Cribl Stream

1. Accédez à Data > Routes.
2. Cliquez sur Add Route.
3. Fournissez les informations de configuration suivantes :
   • Nom de la route : saisissez un nom explicite (par exemple, cribl-logs-to-secops).
   • Filtre : saisissez source.match(/cribl.*/) pour capturer les journaux internes de Cribl (journaux opérationnels de Cribl lui-même).
   • Sortie : sélectionnez la destination Google SecOps créée dans la section précédente.
   • Pipeline : sélectionnez passthru ou créez un pipeline personnalisé pour l'enrichissement des journaux.
4. Cliquez sur Enregistrer.
5. Commit &Deploy (Validez et déployez) la configuration pour appliquer les modifications.

Configurer le filtrage et l'enrichissement des journaux (facultatif)

Si vous devez filtrer ou enrichir les journaux Cribl Stream avant de les envoyer à Google SecOps :

1. Accédez à Data > Pipelines dans Cribl Stream.
2. Cliquez sur Add Pipeline.
3. Fournissez les informations de configuration suivantes :
   • ID du pipeline : saisissez un nom explicite (par exemple, cribl-log-processing).
   • Description : saisissez une description pour le pipeline.
4. Ajoutez des fonctions selon vos besoins :
   • Eval : ajoutez des champs de métadonnées ou modifiez des champs existants.
   • Regex Extract : extrayez des informations spécifiques des messages de journal.
   • Drop : supprimez les événements ou les champs inutiles.
   • Masque : masquez les informations sensibles.
5. Cliquez sur Enregistrer.
6. Mettez à jour votre route pour utiliser ce pipeline au lieu de passthru.

Journal des modifications

Consulter le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.