Cribl Stream 로그 수집

파서 버전: 1.0

다음에서 지원:

이 문서에서는 기본 제공 Google SecOps 대상을 사용하여 Cribl Stream 로그를 Google Security Operations로 수집하는 방법을 설명합니다. Cribl Stream은 로그, 측정항목, 이벤트 형식으로 운영 데이터를 생성합니다. 이 통합을 사용하면 분석 및 모니터링을 위해 이러한 로그를 Google SecOps로 보낼 수 있습니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • Cribl Stream 관리 콘솔 또는 클러스터에 대한 액세스 권한
  • Google Cloud 서비스 계정 사용자 인증 정보

Google SecOps 사용자 인증 정보 가져오기

Cribl Stream을 Google SecOps에 인증하려면 다음 방법 중 하나를 선택합니다.

  • 새 배포: Chronicle API (옵션 1)를 사용합니다.
  • 기존 배포: 2027년 7월 20일에 Ingestion API가 중단될 때까지 데이터 수집 인증 파일 (옵션 2)을 계속 사용합니다.
  1. Google Cloud 콘솔에 로그인하고 Google SecOps 인스턴스에 연결된 Google Cloud 프로젝트를 선택합니다.
  2. IAM 및 관리자 > 서비스 계정 으로 이동합니다.
  3. 서비스 계정 만들기 를 클릭합니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 서비스 계정 이름: 계정 이름을 입력합니다 (예: cribl-stream-ingest).
    • 서비스 계정 설명: 설명을 입력합니다 (예: Cribl Stream log ingestion).
  5. 만들고 계속하기 를 클릭합니다.
  6. 이 서비스 계정에 프로젝트에 대한 액세스 권한 부여 섹션에서 역할 선택 을 클릭하고 Chronicle 편집자 를 선택합니다.
  7. 계속을 클릭한 다음 완료를 클릭합니다.
  8. 만든 서비스 계정을 클릭한 다음 키 탭으로 이동합니다.
  9. 키 추가 > 새 키 만들기 를 클릭합니다.
  10. JSON 을 선택하고 만들기 를 클릭합니다. 키 파일이 컴퓨터에 다운로드됩니다.
  11. Cribl Stream 대상 구성에서 사용할 수 있도록 키 파일을 안전하게 저장합니다.

옵션 2: 데이터 수집 인증 파일 다운로드 (기존)

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 수집 에이전트 로 이동합니다.
  3. 데이터 수집 인증 파일 을 다운로드합니다.
  4. Cribl Stream 대상 구성에서 사용할 수 있도록 파일을 안전하게 저장합니다.

Cribl Stream에서 Google SecOps 대상 구성

  1. Cribl Stream 관리 콘솔 에 로그인합니다.
  2. 데이터 > 대상 으로 이동합니다.
  3. 대상 추가 를 클릭합니다.
  4. Google Cloud > 보안 운영 (SecOps)를 선택합니다.
  5. 다음 구성 세부정보를 제공합니다.
    • 출력 ID: 고유한 이름을 입력합니다 (예: google-secops-destination).
    • 설명: 이 대상에 대한 설명을 입력합니다.
    • 이벤트 전송: 구조화되지 않음 (표준 로그 파싱에 권장)을 선택합니다.
    • API 버전: V2를 선택합니다.
    • 기본 로그 유형: 목록에서 CRIBL_STREAM을 선택합니다.
    • 선택사항: 네임스페이스: 이 소스의 로그를 식별하는 네임스페이스를 입력합니다 (예: cribl-logs).
  6. 인증 섹션에서 다음을 수행합니다.
    • 인증 방법: 서비스 계정 (JSON)
    • 서비스 계정 키: JSON 사용자 인증 정보 파일 콘텐츠를 업로드하거나 붙여넣습니다.
  7. 처리 섹션에서 다음을 수행합니다.
    • 로그 텍스트 필드: 선택적으로 _raw를 입력합니다. 설정하지 않으면 Cribl이 전체 이벤트의 JSON 표현을 전송합니다. 이 필드에 일반 텍스트를 실제로 저장하는 경우에만 _raw를 사용하세요.
  8. 저장 을 클릭합니다.

Cribl Stream 로그를 전송하는 경로 만들기

  1. 데이터 > 경로 로 이동합니다.
  2. 경로 추가 를 클릭합니다.
  3. 다음 구성 세부정보를 제공합니다.
    • 경로 이름: 의미 있는 이름을 입력합니다 (예: cribl-logs-to-secops).
    • 필터: source.match(/cribl.*/)를 입력하여 Cribl 내부 로그 (Cribl 자체의 운영 로그)를 캡처합니다.
    • 출력: 이전 섹션에서 만든 Google SecOps 대상을 선택합니다.
    • 파이프라인: passthru 를 선택하거나 로그 보강을 위한 커스텀 파이프라인을 만듭니다.
  4. 저장 을 클릭합니다.
  5. 커밋 및 배포 를 클릭하여 변경사항을 적용합니다.

로그 필터링 및 보강 구성 (선택사항)

Google SecOps로 보내기 전에 Cribl Stream 로그를 필터링하거나 보강해야 하는 경우 다음 단계를 따르세요.

  1. Cribl Stream에서 데이터 > 파이프라인 으로 이동합니다.
  2. 파이프라인 추가 를 클릭합니다.
  3. 다음 구성 세부정보를 제공합니다.
    • 파이프라인 ID: 의미 있는 이름을 입력합니다 (예: cribl-log-processing).
    • 설명: 파이프라인에 대한 설명을 입력합니다.
  4. 필요에 따라 함수를 추가합니다.
    • Eval: 메타데이터 필드를 추가하거나 기존 필드를 수정합니다.
    • 정규 표현식 추출: 로그 메시지에서 특정 정보를 추출합니다.
    • 삭제: 불필요한 이벤트 또는 필드를 삭제합니다.
    • 마스크: 민감한 정보를 수정합니다.
  5. 저장 을 클릭합니다.
  6. passthru 대신 이 파이프라인을 사용하도록 경로를 업데이트합니다.

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.