איסוף יומנים מ-Cribl Stream

גרסת כלי הניתוח: 1.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Cribl Stream ב-Google Security Operations באמצעות יעד Google SecOps המובנה. ‫Cribl Stream מייצר נתונים תפעוליים בצורת יומנים, מדדים ואירועים. השילוב הזה מאפשר לשלוח את היומנים האלה ל-Google SecOps לצורך ניתוח ומעקב.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps.
• גישה למסוף הניהול או לאשכול של Cribl Stream.
• פרטי הכניסה לחשבון השירות של Google Cloud.

קבלת פרטי הכניסה ל-Google SecOps

כדי לאמת את Cribl Stream ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים אל Google Cloud המסוף ובוחרים את Google Cloud הפרויקט שמקושר למופע של Google SecOps.
2. נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, cribl-stream-ingest).
   • תיאור חשבון השירות: מזינים תיאור (לדוגמה, Cribl Stream log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח באופן מאובטח כדי להשתמש בו בהגדרת היעד של Cribl Stream.

הערה: מפתח JSON הוא פרטי כניסה. צריך להגביל את הגישה לקובץ ולהחליף את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות SIEM > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ באופן מאובטח לשימוש בהגדרת היעד של Cribl Stream.

הערה: הקובץ הזה מאמת את Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להוציא משימוש ב-20 ביולי 2027. כדאי לתכנן את המעבר לאפשרות 1 לפני התאריך הזה.

הגדרת היעד של Google SecOps ב-Cribl Stream

1. נכנסים למסוף הניהול של Cribl Stream.
2. עוברים אל נתונים > יעדים.
3. לוחצים על הוספת יעד.
4. בוחרים באפשרות Google Cloud > Security Operations (SecOps).
5. מספקים את פרטי ההגדרה הבאים:
   • מזהה הפלט: מזינים שם ייחודי (לדוגמה, google-secops-destination).
   • תיאור: מזינים תיאור של היעד הזה.
   • שליחת אירועים כ: בוחרים באפשרות לא מובנה (מומלץ לניתוח יומנים רגיל).
   • גרסת ה-API: בוחרים באפשרות V2.
   • Default log type: בוחרים באפשרות CRIBL_STREAM מהרשימה.
   • אופציונלי: מרחב שמות: מזינים מרחב שמות כדי לזהות יומנים מהמקור הזה (לדוגמה, cribl-logs).
6. בקטע Authentication (אימות):
   • שיטת אימות: חשבון שירות (JSON).
   • מפתח של חשבון שירות: מעלים או מדביקים את התוכן של קובץ פרטי הכניסה בפורמט JSON.
7. בקטע Processing:
   • שדה טקסט של יומן: אפשר להזין _raw. אם לא מוגדר, Cribl ישלח ייצוג JSON של האירוע כולו. צריך להשתמש ב-_raw רק אם מאחסנים טקסט גולמי בשדה הזה.
8. לוחצים על Save.

יצירת נתיב לשליחת יומנים של Cribl Stream

1. עוברים אל נתונים > מסלולים.
2. לוחצים על הוספת נתיב.
3. מספקים את פרטי ההגדרה הבאים:
   • שם הנתיב: מזינים שם משמעותי (לדוגמה, cribl-logs-to-secops).
   • מסנן: מזינים source.match(/cribl.*/) כדי לתעד יומנים פנימיים של Cribl (יומנים תפעוליים מ-Cribl עצמו).
   • פלט: בוחרים את יעד Google SecOps שנוצר בקטע הקודם.
   • צינור עיבוד נתונים: בוחרים באפשרות passthru או יוצרים צינור עיבוד נתונים מותאם אישית להעשרת יומנים.
4. לוחצים על Save.
5. כדי להחיל את השינויים, לוחצים על Commit & Deploy (שליחה ופריסה) של ההגדרה.

הגדרת סינון והעשרה של יומנים (אופציונלי)

אם אתם צריכים לסנן או להעשיר את היומנים של Cribl Stream לפני שאתם שולחים אותם ל-Google SecOps:

1. עוברים אל Data > Pipelines ב-Cribl Stream.
2. לוחצים על הוספת צינור.
3. מספקים את פרטי ההגדרה הבאים:
   • מזהה צינור עיבוד נתונים: מזינים שם משמעותי (לדוגמה, cribl-log-processing).
   • תיאור: מזינים תיאור של הצינור.
4. מוסיפים פונקציות לפי הצורך:
   • ‫Eval: הוספה של שדות מטא-נתונים או שינוי של שדות קיימים.
   • ‫Regex Extract: חילוץ מידע ספציפי מהודעות ביומן.
   • הסרה: הסרה של אירועים או שדות לא נחוצים.
   • הסתרת מידע: צנזור מידע רגיש.
5. לוחצים על Save.
6. מעדכנים את הנתיב כך שישתמש בצינור עיבוד הנתונים הזה במקום ב-passthru.

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.