Raccogliere i log di Cribl Stream

Versione parser: 1.0

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di Cribl Stream in Google Security Operations utilizzando la destinazione Google SecOps integrata. Cribl Stream produce dati operativi sotto forma di log, metriche ed eventi. Questa integrazione ti consente di inviare questi log a Google SecOps per l'analisi e il monitoraggio.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps.
• Accesso alla console di gestione o al cluster di Cribl Stream.
• Credenziali dell'account di servizio Google Cloud.

Recuperare le credenziali di Google SecOps

Per autenticare Cribl Stream in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'importazione (opzione 2) fino alla disattivazione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla Google Cloud console e seleziona il Google Cloud progetto collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio, cribl-stream-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio, Cribl Stream log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Editor Chronicle.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
11. Salva il file della chiave in modo sicuro per utilizzarlo nella configurazione della destinazione Cribl Stream.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file e ruota la chiave in base alle norme della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'importazione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'importazione.
4. Salva il file in modo sicuro per utilizzarlo nella configurazione della destinazione Cribl Stream.

Nota: questo file esegue l'autenticazione all'API Ingestion legacy (malachiteingestion-pa.googleapis.com), la cui fine del ciclo di vita è prevista da Google per il 20 luglio 2027. Pianifica di passare all'opzione 1 prima di questa data.

Configurare la destinazione Google SecOps in Cribl Stream

1. Accedi alla console di gestione di Cribl Stream.
2. Vai a Dati > Destinazioni.
3. Fai clic su Aggiungi destinazione.
4. Seleziona Google Cloud > Operazioni di sicurezza (SecOps).
5. Fornisci i seguenti dettagli di configurazione:
   • ID output: inserisci un nome univoco (ad esempio, google-secops-destination).
   • Descrizione: inserisci una descrizione per questa destinazione.
   • Invia eventi come: seleziona Non strutturato (opzione consigliata per l'analisi standard dei log).
   • Versione API: seleziona V2.
   • Tipo di log predefinito: seleziona CRIBL_STREAM dall'elenco.
   • (Facoltativo) Spazio dei nomi: inserisci uno spazio dei nomi per identificare i log di questa origine (ad esempio, cribl-logs).
6. Nella sezione Autenticazione :
   • Metodo di autenticazione: service account (JSON).
   • Chiave service account: carica o incolla i contenuti del file delle credenziali JSON.
7. Nella sezione Elaborazione :
   • Campo di testo del log: inserisci facoltativamente _raw. Se non è impostato, Cribl invierà la rappresentazione JSON dell'intero evento; utilizza _raw solo se memorizzi effettivamente testo non elaborato in questo campo.
8. Fai clic su Salva.

Creare una route per inviare i log di Cribl Stream

1. Vai a Dati > Route.
2. Fai clic su Aggiungi route.
3. Fornisci i seguenti dettagli di configurazione:
   • Nome route: inserisci un nome significativo (ad esempio, cribl-logs-to-secops).
   • Filtro: inserisci source.match(/cribl.*/) per acquisire i log interni di Cribl (log operativi di Cribl stesso).
   • Output: seleziona la destinazione Google SecOps creata in the previous section.
   • Pipeline: seleziona passthru o crea una pipeline personalizzata per l'arricchimento dei log.
4. Fai clic su Salva.
5. Esegui il commit e il deployment della configurazione per applicare le modifiche.

Configurare il filtro e l'arricchimento dei log (facoltativo)

Se devi filtrare o arricchire i log di Cribl Stream prima di inviarli a Google SecOps:

1. Vai a Dati > Pipeline in Cribl Stream.
2. Fai clic su Aggiungi pipeline.
3. Fornisci i seguenti dettagli di configurazione:
   • ID pipeline: inserisci un nome significativo (ad esempio, cribl-log-processing).
   • Descrizione: inserisci una descrizione per la pipeline.
4. Aggiungi le funzioni in base alle esigenze:
   • Eval: aggiungi campi di metadati o modifica i campi esistenti.
   • Regex Extract: estrai informazioni specifiche dai messaggi di log.
   • Drop: rimuovi eventi o campi non necessari.
   • Mask: oscuramento delle informazioni sensibili.
5. Fai clic su Salva.
6. Aggiorna la route in modo che utilizzi questa pipeline anziché passthru.

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.