Coletar registros do Cribl Stream

Versão do analisador: 1.0

Compatível com:

Google SecOps SIEM

Neste documento, explicamos como ingerir registros do Cribl Stream no Google Security Operations usando o destino integrado do Google SecOps. O Cribl Stream produz dados operacionais na forma de registros, métricas e eventos. Essa integração permite enviar esses registros ao Google SecOps para análise e monitoramento.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps.
• Acesso ao console de gerenciamento ou cluster do Cribl Stream.
• Credenciais da conta de serviço do Google Cloud.

Receber credenciais do Google SecOps

Para autenticar o Cribl Stream no Google SecOps, escolha um dos seguintes métodos:

• Novas implantações: use a API Chronicle (opção 1).
• Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja desativada em 20 de julho de 2027.

Opção 1: criar uma conta de serviço para a API Chronicle (recomendado)

1. Faça login no console doGoogle Cloud e selecione o projeto do Google Cloud vinculado à sua instância do Google SecOps.
2. Acesse IAM e administrador > Contas de serviço.
3. Clique em Criar conta de serviço.
4. Informe os seguintes detalhes de configuração:
   • Nome da conta de serviço: insira um nome para a conta (por exemplo, cribl-stream-ingest).
   • Descrição da conta de serviço: insira uma descrição (por exemplo, Cribl Stream log ingestion).
5. Clique em Criar e continuar.
6. Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar um papel e escolha Editor do Chronicle.
7. Clique em Continuar e depois em Concluído.
8. Clique na conta de serviço que você criou e acesse a guia Chaves.
9. Clique em Adicionar chave > Criar nova chave.
10. Selecione JSON e clique em Criar. O download do arquivo de chave é feito no seu computador.
11. Salve o arquivo de chave com segurança para uso na configuração de destino do Cribl Stream.

Observação: a chave JSON é uma credencial. Restrinja o acesso ao arquivo e alterne a chave de acordo com a política da sua organização.

Opção 2: fazer o download do arquivo de autenticação de ingestão (legado)

1. Faça login no console do Google SecOps.
2. Acesse Configurações > Gerenciamento de dados > Agentes de coleta. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Agentes de coleta.
3. Faça o download do arquivo de autenticação de ingestão.
4. Salve o arquivo com segurança para usar na configuração de destino do Cribl Stream.

Observação: esse arquivo é autenticado na API Ingestion legada (malachiteingestion-pa.googleapis.com), que o Google programou para ser desativada em 20 de julho de 2027. Planeje a mudança para a Opção 1 antes dessa data.

Configurar o destino do Google SecOps no Cribl Stream

1. Faça login no console de gerenciamento do Cribl Stream.
2. Acesse Dados > Destinos.
3. Clique em Adicionar destino.
4. Selecione Google Cloud > Operações de segurança (SecOps).
5. Informe os seguintes detalhes de configuração:
   • ID de saída: insira um nome exclusivo (por exemplo, google-secops-destination).
   • Descrição: insira uma descrição para esse destino.
   • Enviar eventos como: selecione Não estruturado (recomendado para análise de registros padrão).
   • Versão da API: selecione V2.
   • Tipo de registro padrão: selecione CRIBL_STREAM na lista.
   • Opcional: Namespace: insira um namespace para identificar os registros dessa origem (por exemplo, cribl-logs).
6. Na seção Autenticação:
   • Método de autenticação: conta de serviço (JSON).
   • Chave da conta de serviço: faça upload ou cole o conteúdo do arquivo de credenciais JSON.
7. Na seção Processamento:
   • Campo de texto do registro: se quiser, insira _raw. Se não for definido, o Cribl vai enviar a representação JSON de todo o evento. Use _raw apenas se você realmente armazenar texto bruto nesse campo.
8. Clique em Salvar.

Criar uma rota para enviar registros do Cribl Stream

1. Acesse Dados > Rotas.
2. Clique em Adicionar rota.
3. Informe os seguintes detalhes de configuração:
   • Nome da rota: insira um nome significativo (por exemplo, cribl-logs-to-secops).
   • Filtro: insira source.match(/cribl.*/) para capturar registros internos do Cribl (registros operacionais do próprio Cribl).
   • Saída: selecione o destino do Google SecOps criado na seção anterior.
   • Pipeline: selecione passthru ou crie um pipeline personalizado para enriquecimento de registros.
4. Clique em Salvar.
5. Confirme e implante a configuração para implementar mudanças.

Configurar a filtragem e o enriquecimento de registros (opcional)

Se você precisar filtrar ou enriquecer os registros do Cribl Stream antes de enviar ao Google SecOps:

1. Acesse Dados > Pipelines no Cribl Stream.
2. Clique em Adicionar pipeline.
3. Informe os seguintes detalhes de configuração:
   • ID do pipeline: insira um nome significativo (por exemplo, cribl-log-processing).
   • Descrição: insira uma descrição para o pipeline.
4. Adicione funções conforme necessário:
   • Eval: adicione campos de metadados ou modifique os campos atuais.
   • Extração de regex: extraia informações específicas de mensagens de registro.
   • Descartar: remova eventos ou campos desnecessários.
   • Máscara: encobre informações sensíveis.
5. Clique em Salvar.
6. Atualize sua rota para usar esse pipeline em vez de passthru.

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.