Mengumpulkan log Cribl Stream

Versi Parser: 1.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Cribl Stream ke Google Security Operations menggunakan tujuan Google SecOps bawaan. Cribl Stream menghasilkan data operasional dalam bentuk log, metrik, dan peristiwa. Integrasi ini memungkinkan Anda mengirim log ini ke Google SecOps untuk analisis dan pemantauan.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps.
• Akses ke konsol atau cluster pengelolaan Cribl Stream.
• Kredensial akun layanan Google Cloud.

Mendapatkan kredensial Google SecOps

Untuk mengautentikasi Cribl Stream ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke Google Cloud konsol dan pilih Google Cloud project yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Nama akun layanan: Masukkan nama untuk akun (misalnya, cribl-stream-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Cribl Stream log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project , klik Select a role , lalu pilih Chronicle Editor.
7. Klik Continue, lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON , lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci dengan aman untuk digunakan dalam konfigurasi tujuan Cribl Stream.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file dan ganti kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman untuk digunakan dalam konfigurasi tujuan Cribl Stream.

Catatan: File ini mengautentikasi ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang telah dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mengonfigurasi tujuan Google SecOps di Cribl Stream

1. Login ke Cribl Stream Management Console.
2. Buka Data > Destinations.
3. Klik Add Destination.
4. Pilih Google Cloud > Security Operations (SecOps).
5. Berikan detail konfigurasi berikut:
   • Output ID: Masukkan nama unik (misalnya, google-secops-destination).
   • Deskripsi: Masukkan deskripsi untuk tujuan ini.
   • Send events as: Pilih Unstructured (direkomendasikan untuk penguraian log standar).
   • Versi API: Pilih V2.
   • Default log type: Pilih CRIBL_STREAM dari daftar.
   • Opsional: Namespace: Masukkan namespace untuk mengidentifikasi log dari sumber ini (misalnya, cribl-logs).
6. Di bagian Authentication :
   • Metode autentikasi: Akun layanan (JSON).
   • Kunci akun layanan: Upload atau tempel konten file kredensial JSON.
7. Di bagian Processing :
   • Kolom teks log: Masukkan _raw secara opsional. Jika tidak ditetapkan, Cribl akan mengirim representasi JSON dari seluruh peristiwa; gunakan _raw hanya jika Anda benar-benar menyimpan teks mentah di kolom ini.
8. Klik Save.

Membuat rute untuk mengirim log Cribl Stream

1. Buka Data > Routes.
2. Klik Add Route.
3. Berikan detail konfigurasi berikut:
   • Nama Rute: Masukkan nama yang bermakna (misalnya, cribl-logs-to-secops).
   • Filter: Masukkan source.match(/cribl.*/) untuk menangkap log internal Cribl (log operasional dari Cribl itu sendiri).
   • Output: Pilih tujuan Google SecOps yang dibuat di bagian sebelumnya.
   • Pipeline: Pilih passthru atau buat pipeline kustom untuk pengayaan log.
4. Klik Save.
5. Commit &Deploy konfigurasi untuk menerapkan perubahan.

Mengonfigurasi pemfilteran dan pengayaan log (Opsional)

Jika Anda perlu memfilter atau memperkaya log Cribl Stream sebelum mengirim ke Google SecOps:

1. Buka Data > Pipelines di Cribl Stream.
2. Klik Add Pipeline.
3. Berikan detail konfigurasi berikut:
   • ID Pipeline: Masukkan nama yang bermakna (misalnya, cribl-log-processing).
   • Deskripsi: Masukkan deskripsi untuk pipeline.
4. Tambahkan fungsi sesuai kebutuhan:
   • Eval: Tambahkan kolom metadata atau ubah kolom yang ada.
   • Regex Extract: Ekstrak informasi tertentu dari pesan log.
   • Drop: Hapus peristiwa atau kolom yang tidak diperlukan.
   • Mask: Samarkan informasi sensitif.
5. Klik Save.
6. Perbarui rute Anda untuk menggunakan pipeline ini, bukan passthru.

Log Perubahan

Lihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.