Mengumpulkan log Cribl Stream

Versi Parser: 1.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Cribl Stream ke Google Security Operations menggunakan tujuan Google SecOps bawaan. Cribl Stream menghasilkan data operasional dalam bentuk log, metrik, dan peristiwa. Integrasi ini memungkinkan Anda mengirim log ini ke Google SecOps untuk analisis dan pemantauan.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps.
• Akses ke konsol atau cluster pengelolaan Cribl Stream.
• Kredensial akun layanan Google Cloud.

Mendapatkan kredensial Google SecOps

Untuk mengautentikasi Cribl Stream ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, cribl-stream-ingest).
   • Service account description: Masukkan deskripsi (misalnya, Cribl Stream log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON dan klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci dengan aman untuk digunakan dalam konfigurasi tujuan Cribl Stream.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka Settings > Data Management > Collection Agents. Jika Anda menggunakan platform khusus SIEM, buka Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman untuk digunakan dalam konfigurasi tujuan Cribl Stream.

Catatan: File ini melakukan autentikasi ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mengonfigurasi tujuan Google SecOps di Cribl Stream

1. Login ke Cribl Stream Management Console.
2. Buka Data > Destinations.
3. Klik Add Destination.
4. Pilih Google Cloud > Security Operations (SecOps).
5. Berikan detail konfigurasi berikut:
   • Output ID: Masukkan nama unik (misalnya, google-secops-destination).
   • Description: Masukkan deskripsi untuk tujuan ini.
   • Send events as: Pilih Unstructured (direkomendasikan untuk penguraian log standar).
   • API version: Pilih V2.
   • Default log type: Pilih CRIBL_STREAM dari daftar.
   • Opsional: Namespace: Masukkan namespace untuk mengidentifikasi log dari sumber ini (misalnya, cribl-logs).
6. Di bagian Authentication:
   • Metode autentikasi: Akun layanan (JSON).
   • Kunci akun layanan: Upload atau tempel konten file kredensial JSON.
7. Di bagian Processing:
   • Log text field: Masukkan _raw jika perlu. Jika tidak ditetapkan, Cribl akan mengirimkan representasi JSON dari seluruh peristiwa; gunakan _raw hanya jika Anda benar-benar menyimpan teks mentah di kolom ini.
8. Klik Simpan.

Membuat rute untuk mengirim log Cribl Stream

1. Buka Data > Rute.
2. Klik Tambahkan Rute.
3. Berikan detail konfigurasi berikut:
   • Route name: Masukkan nama yang bermakna (misalnya, cribl-logs-to-secops).
   • Filter: Masukkan source.match(/cribl.*/) untuk mengambil log internal Cribl (log operasional dari Cribl itu sendiri).
   • Output: Pilih tujuan Google SecOps yang dibuat di bagian sebelumnya.
   • Pipeline: Pilih passthru atau buat pipeline kustom untuk pengayaan log.
4. Klik Simpan.
5. Commit & Deploy konfigurasi untuk menerapkan perubahan.

Mengonfigurasi pemfilteran dan pengayaan log (Opsional)

Jika Anda perlu memfilter atau memperkaya log Cribl Stream sebelum mengirimkannya ke Google SecOps:

1. Buka Data > Pipelines di Cribl Stream.
2. Klik Add Pipeline.
3. Berikan detail konfigurasi berikut:
   • ID Pipeline: Masukkan nama yang bermakna (misalnya, cribl-log-processing).
   • Description: Masukkan deskripsi untuk pipeline.
4. Tambahkan fungsi sesuai kebutuhan:
   • Eval: Tambahkan kolom metadata atau ubah kolom yang ada.
   • Regex Extract: Mengekstrak informasi tertentu dari pesan log.
   • Drop: Menghapus peristiwa atau kolom yang tidak diperlukan.
   • Mask: Menyamarkan informasi sensitif.
5. Klik Simpan.
6. Perbarui rute Anda untuk menggunakan pipeline ini, bukan passthru.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.