지문 로그 수집

파서 버전: 1.0

다음에서 지원:

Google SecOps SIEM

이 문서에서는 웹훅을 사용하여 로그를 Google Security Operations로 푸시하도록 지문 (이전의 FingerprintJS)을 구성하는 방법을 설명합니다.

지문은 방문자 식별 및 사기 감지 기능을 제공하는 기기 인텔리전스 플랫폼입니다. 고유한 방문자 식별자를 생성하고 봇 감지, VPN 감지, 시크릿 모드 감지, 기타 기기 인텔리전스 통계를 비롯한 스마트 신호를 제공합니다. FingerprintJS JavaScript 에이전트를 통해 방문자가 식별되면 웹훅이 식별 이벤트 데이터를 Google Security Operations로 실시간 전송할 수 있습니다.

시작하기 전에

다음 기본 요건을 충족해야 합니다.

• Google SecOps 인스턴스
• 웹훅을 지원하는 FingerprintJS 계정
• Google Cloud 콘솔 액세스 (API 키 생성용)
• 웹사이트 또는 애플리케이션에 설치된 FingerprintJS JavaScript 에이전트

Google SecOps에서 웹훅 피드 만들기

피드 만들기

1. **SIEM 설정 > 피드** 로 이동합니다.
2. 새 피드 추가 를 클릭합니다.
3. 다음 페이지에서 단일 피드 구성 을 클릭합니다.
4. 피드 이름 필드에 피드 이름을 입력합니다 (예: FingerprintJS Identification Events).
5. 소스 유형 으로 웹훅 을 선택합니다.
6. 로그 유형 으로 FingerprintJS 를 선택합니다.
7. 다음 을 클릭합니다.
8. 다음 입력 파라미터의 값을 지정합니다.
   • 분할 구분 기호 (선택사항): 비워 둡니다. 각 웹훅 요청에는 단일 식별 이벤트가 포함됩니다.
   • 애셋 네임스페이스: 애셋 네임스페이스입니다.
   • 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.
9. 다음 을 클릭합니다.
10. 확정 화면에서 새 뉴스 피드 구성을 검토한 다음 제출 을 클릭합니다.

보안 비밀 키 생성 및 저장

피드를 만든 후 인증을 위한 보안 비밀 키를 생성해야 합니다.

1. 피드 세부정보 페이지에서 보안 비밀 키 생성 을 클릭합니다.
2. 대화상자에 보안 비밀 키가 표시됩니다.
3. 보안 비밀 키를 복사하여 안전한 곳에 저장합니다.

중요: 보안 비밀 키는 한 번만 표시되며 나중에 검색할 수 없습니다. 분실할 경우 새 보안 비밀 키를 생성해야 합니다.

피드 엔드포인트 URL 가져오기

1. 피드의 세부정보 탭으로 이동합니다.
2. 엔드포인트 정보 섹션에서 피드 엔드포인트 URL 을 복사합니다.

3. URL 형식은 다음과 같습니다.

   https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import
   

   여기서 {region}은 Google SecOps 인스턴스의 리전 (예: us, europe 또는 asia-southeast1)이고 {parent}은 projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE> 형식의 리소스 경로입니다.

4. 다음 단계를 위해 이 URL을 저장합니다.

5. 완료 를 클릭합니다.

Google Cloud API 키 만들기

Chronicle에는 인증을 위한 API 키가 필요합니다. Google Cloud 콘솔에서 제한된 API 키를 만듭니다.

API 키 만들기

1. Google Cloud 콘솔 사용자 인증 정보 페이지로 이동합니다.
2. 프로젝트 (Chronicle 인스턴스와 연결된 프로젝트)를 선택합니다.
3. 사용자 인증 정보 만들기 > API 키를 클릭합니다.
4. API 키가 생성되어 대화상자에 표시됩니다.
5. API 키 수정 을 클릭하여 키를 제한합니다.

API 키 제한

1. API 키 설정 페이지에서 다음을 실행합니다.
   • 이름: 설명이 포함된 이름 (예: Chronicle FingerprintJS Webhook API Key)을 입력합니다.
2. API 제한사항에서 다음을 실행합니다.
   1. 키 제한 을 선택합니다.
   2. API 선택 드롭다운에서 Google SecOps API (또는 Chronicle API)를 검색하여 선택합니다.
3. 저장 을 클릭합니다.
4. 페이지 상단의 API 키 필드에서 API 키 값을 복사합니다.

5. API 키를 안전하게 저장합니다.

   **참고:** API 키를 제한하면 Chronicle API에서만 사용할 수 있으므로 키가 손상되더라도 보안 위험이 줄어듭니다.

FingerprintJS 웹훅 구성

웹훅 URL 구성

• Chronicle 엔드포인트 URL과 API 키를 결합합니다.

  <ENDPOINT_URL>?key=<API_KEY>
  

  • 예:

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...
    

FingerprintJS 대시보드에서 웹훅 만들기

1. FingerprintJS 대시보드 에 로그인합니다.
2. 대시보드 > 웹훅으로 이동합니다.
3. 웹훅 추가 를 클릭합니다.
4. 다음 구성 세부정보를 제공합니다.
   • URL: 위의 API 키가 포함된 전체 엔드포인트 URL을 붙여넣습니다.
   • 환경 (선택사항): 환경을 선택하면 웹훅이 일치하는 환경의 이벤트만 보고합니다. 모든 환경의 이벤트를 수신하려면 비워 둡니다.
   • 기본 인증 (선택사항): 추가 인증을 추가하려면 기본 인증 을 펼칩니다. Chronicle 통합의 경우 API 키와 보안 비밀 키를 통해 인증이 처리되므로 이 필드를 비워 둘 수 있습니다.
5. 웹훅 만들기 를 클릭합니다.
6. 성공 모달에 웹훅 생성됨 이 표시됩니다.
7. 중요: 웹훅 서명 (Enterprise 요금제만 해당)을 사용하는 경우 성공 모달에 표시된 암호화 키를 복사하여 저장합니다. 키는 한 번만 표시됩니다.

웹훅에 Chronicle 보안 비밀 키 추가

FingerprintJS는 웹훅을 만드는 동안 커스텀 HTTP 헤더를 지원하지 않습니다. 웹훅 URL에 Chronicle 보안 비밀 키를 쿼리 매개변수로 추가해야 합니다.

• 보안 비밀 키를 포함하도록 웹훅 URL을 업데이트합니다.

  <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>
  

  • 예:

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...&secret=abcd1234...
    

웹훅 URL을 업데이트하려면 다음 안내를 따르세요.

1. FingerprintJS 대시보드에서 대시보드 > 웹훅으로 이동합니다.
2. 표에서 웹훅을 찾아 수정 아이콘을 클릭합니다.
3. API 키와 보안 비밀 키가 모두 포함된 전체 URL로 URL 필드를 업데이트합니다.
4. 웹훅 수정 을 클릭합니다.

웹훅 테스트

1. FingerprintJS 대시보드에서 대시보드 > 웹훅으로 이동합니다.
2. 표에서 웹훅을 찾습니다.
3. 테스트 이벤트 전송 을 클릭합니다.
4. 테스트 이벤트가 전송되었음을 확인하는 메시지가 표시될 때까지 기다립니다.

5. 웹훅에 전송 성공 상태가 표시되는지 확인합니다.

   참고: FingerprintJS는 엔드포인트가 3초 이내에 2xx 상태 코드로 응답할 것으로 예상합니다. 엔드포인트가 이 기간 내에 응답하지 않으면 웹훅이 실패로 표시되고 5분 후에 한 번 다시 시도됩니다.

인증 방법 참조

Chronicle 웹훅 피드는 여러 인증 방법을 지원합니다. FingerprintJS 웹훅은 인증에 쿼리 매개변수를 사용합니다.

쿼리 매개변수 메서드

FingerprintJS는 웹훅을 만드는 동안 커스텀 HTTP 헤더를 지원하지 않으므로 사용자 인증 정보를 URL에 추가해야 합니다.

• URL 형식:

  <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>
  

  • 예:

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...&secret=abcd1234...
    

• 요청 형식:

  POST <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY> HTTP/1.1
  Content-Type: application/json
  
  {
    "visitorId": "3HNey93AkBW6CRbxV6xP",
    "requestId": "1708102555327.NLOjmg",
    "timestamp": 1582299576512
  }
  

참고: 사용자 인증 정보는 URL에 표시되며 웹 서버 액세스 로그에 기록될 수 있습니다. 이 방법은 FingerprintJS 웹훅에서 지원하는 유일한 인증 방법입니다.

UDM 매핑 테이블

로그 필드	UDM 매핑	로직
rawDeviceAttributes.architecture.value, rawDeviceAttributes.audio.value, rawDeviceAttributes.colorDepth.value, rawDeviceAttributes.colorGamut.value, rawDeviceAttributes.contrast.value, rawDeviceAttributes.cookiesEnabled.value, rawDeviceAttributes.deviceMemory.value, rawDeviceAttributes.fonts.value, rawDeviceAttributes.forcedColors.value, rawDeviceAttributes.hardwareConcurrency.value, rawDeviceAttributes.hdr.value, rawDeviceAttributes.indexedDB.value, rawDeviceAttributes.localStorage.value, rawDeviceAttributes.math.value, rawDeviceAttributes.monochrome.value, rawDeviceAttributes.openDatabase.value, rawDeviceAttributes.pdfViewerEnabled.value, rawDeviceAttributes.reducedMotion.value, rawDeviceAttributes.screenFrame.value, rawDeviceAttributes.screenResolution.value, rawDeviceAttributes.sessionStorage.value, rawDeviceAttributes.touchSupport.value.maxTouchPoints, rawDeviceAttributes.languages.value, rawDeviceAttributes.vendorFlavors.value, rawDeviceAttributes.fontPreferences.value.apple, rawDeviceAttributes.fontPreferences.value.default, rawDeviceAttributes.fontPreferences.value.min, rawDeviceAttributes.fontPreferences.value.mono, rawDeviceAttributes.fontPreferences.value.sans, rawDeviceAttributes.fontPreferences.value.serif, rawDeviceAttributes.fontPreferences.value.system	additional.fields	소스 필드에서 생성된 라벨에서 병합됨
has_principal, has_target, has_target_resource	metadata.event_type	has_principal 및 has_target가 true이면 'NETWORK_CONNECTION'으로 설정하고, has_target_resource가 true이면 'USER_RESOURCE_ACCESS'로 설정하고, has_principal이 true이면 'STATUS_UPDATE'로 설정하고, 그 외에는 'GENERIC_EVENT'로 설정합니다.
source_type	metadata.product_event_type	값이 직접 복사됨
requestId	metadata.product_log_id	값이 직접 복사됨
browserDetails.userAgent	network.http.parsed_user_agent	browserDetails.userAgent에서 파싱됨
browserDetails.browserName	network.http.parsed_user_agent.browser	값이 직접 복사됨
browserDetails.browserFullVersion	network.http.parsed_user_agent.browser_version	값이 직접 복사됨
browserDetails.device	network.http.parsed_user_agent.device	값이 직접 복사됨
	network.http.parsed_user_agent.family	'USER_DEFINED'로 설정됨
browserDetails.os	network.http.parsed_user_agent.os	값이 직접 복사됨
browserDetails.clientReferrer	network.http.referral_url	값이 직접 복사됨
browserDetails.userAgent, userAgent	network.http.user_agent	비어 있지 않으면 userAgent의 값, 그 외에는 browserDetails.userAgent
tag.session	network.session_id	값이 직접 복사됨
rawDeviceAttributes.vendor.value	principal.administrative_domain	값이 직접 복사됨
ip	principal.asset.ip	값이 직접 복사됨
ip	principal.ip	값이 직접 복사됨
ipInfo.v4.geolocation.city.name	principal.location.city	값이 직접 복사됨
ipInfo.v4.geolocation.country.name	principal.location.country_or_region	값이 직접 복사됨
ipInfo.v4.geolocation.latitude	principal.location.region_coordinates.latitude	부동 소수점 수로 변환됨
ipInfo.v4.geolocation.longitude	principal.location.region_coordinates.longitude	부동 소수점 수로 변환됨
browserDetails.osVersion, rawDeviceAttributes.platform.value	principal.platform_version	비어 있지 않으면 rawDeviceAttributes.platform.value의 값, 그 외에는 browserDetails.osVersion
ipInfo.v4.asn.asn, ipInfo.v4.asn.network, ipInfo.v4.asn.name, ipInfo.v4.geolocation.accuracyRadius, ipInfo.v4.geolocation.continent.name, ipInfo.v4.geolocation.timezone, ipInfo.v4.geolocation.subdivisions.isoCode, ipInfo.v4.geolocation.subdivisions.name	principal.resource.attribute.labels	소스 필드에서 생성된 라벨에서 병합됨
bot.result, browserDetails.browserMajorVersion, confidence.score, confidence.revision, developerTools.result, highActivity.result, incognito, ipBlocklist.result, ipBlocklist.details.attackSource, ipBlocklist.details.emailSpam, visitorFound, visitorId, tag.request, privacySettings.result, proxy.result, suspectScore.result, tor.result, virtualMachine.result, tampering.anomalyScore, tampering.antiDetectBrowser, tampering.result, vpn.confidence, vpn.originCountry, vpn.originTimezone, vpn.result, vpn.methods.auxiliaryMobile, vpn.methods.osMismatch, vpn.methods.publicVPN, vpn.methods.timezoneMismatch, velocity.distinctCountry.intervals.1h, velocity.distinctCountry.intervals.24h, velocity.distinctCountry.intervals.5m, velocity.distinctIp.intervals.1h, velocity.distinctIp.intervals.24h, velocity.distinctIp.intervals.5m, velocity.events.intervals.1h, velocity.events.intervals.24h, velocity.events.intervals.5m, velocity.ipEvents.intervals.1h, velocity.ipEvents.intervals.24h, velocity.ipEvents.intervals.5m, rawDeviceAttributes.webGlBasics.value.renderer, rawDeviceAttributes.webGlBasics.value.rendererUnmasked, rawDeviceAttributes.webGlBasics.value.vendorUnmasked, rawDeviceAttributes.webGlBasics.value.shadingLanguageVersion, rawDeviceAttributes.webGlExtensions.value.contextAttributes, rawDeviceAttributes.webGlExtensions.value.extensions, rawDeviceAttributes.webGlExtensions.value.extensionParameters, rawDeviceAttributes.webGlExtensions.value.parameters, rawDeviceAttributes.webGlExtensions.value.shaderPrecisions, rawDeviceAttributes.mathML.value.bottom, rawDeviceAttributes.mathML.value.top, rawDeviceAttributes.mathML.value.left, rawDeviceAttributes.mathML.value.right, rawDeviceAttributes.mathML.value.width, rawDeviceAttributes.mathML.value.height, rawDeviceAttributes.mathML.value.font, rawDeviceAttributes.mathML.value.x, rawDeviceAttributes.mathML.value.y, rawDeviceAttributes.emoji.value.bottom, rawDeviceAttributes.emoji.value.top, rawDeviceAttributes.emoji.value.left, rawDeviceAttributes.emoji.value.right, rawDeviceAttributes.emoji.value.width, rawDeviceAttributes.emoji.value.height, rawDeviceAttributes.emoji.value.font, rawDeviceAttributes.emoji.value.x, rawDeviceAttributes.emoji.value.y, rawDeviceAttributes.canvas.value.Geometry, rawDeviceAttributes.canvas.value.Text, rawDeviceAttributes.canvas.value.Winding	security_result.detection_fields	소스 필드에서 생성된 라벨에서 병합됨
rawDeviceAttributes.webGlBasics.value.vendor	target.administrative_domain	값이 직접 복사됨
ipInfo.v6.address	target.asset.ip	값이 직접 복사됨
ipInfo.v6.address	target.ip	값이 직접 복사됨
ipInfo.v6.geolocation.city.name	target.location.city	값이 직접 복사됨
ipInfo.v6.geolocation.country.name	target.location.country_or_region	값이 직접 복사됨
ipInfo.v6.geolocation.latitude	target.location.region_coordinates.latitude	부동 소수점 수로 변환됨
ipInfo.v6.geolocation.longitude	target.location.region_coordinates.longitude	부동 소수점 수로 변환됨
path	target.path	값이 직접 복사됨
rawDeviceAttributes.webGlBasics.value.version	target.platform_version	값이 직접 복사됨
ipInfo.v6.asn.asn, ipInfo.v6.asn.network, ipInfo.v6.asn.name, ipInfo.v6.geolocation.accuracyRadius, ipInfo.v6.geolocation.continent.name, ipInfo.v6.geolocation.timezone, ipInfo.v6.geolocation.subdivisions.isoCode, ipInfo.v6.geolocation.subdivisions.name	target.resource.attribute.labels	소스 필드에서 생성된 라벨에서 병합됨
url	target.url	값이 직접 복사됨
	metadata.product_name	'FINGERPRINT_JS'로 설정됨
	metadata.vendor_name	'FINGERPRINT_JS'로 설정됨

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.