Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Raccogli i log di OpenCanary

Supportato in:

Google SecOps SIEM

Questo parser estrae i campi dai log SYSLOG e JSON di OpenCanary, li normalizza nel formato UDM e arricchisce i dati con campi derivati come metadata.event_type e security_result.severity. Gestisce vari formati di log, esegue la convalida degli indirizzi IP e mappa i campi agli oggetti UDM appropriati, come principal, target e network.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

Istanza Google SecOps.
Accesso privilegiato a OpenCanary.

Configura i feed

Per configurare un feed:

Vai a Impostazioni SIEM > Feed.
Fai clic su Aggiungi nuovo feed di notizie.
Nella pagina successiva, fai clic su Configura un singolo feed.
Nel campo Nome feed, inserisci un nome per il feed, ad esempio OpenCanary Logs.
Seleziona Webhook come Tipo di origine.
Seleziona OpenCanary come Tipo di log.
Fai clic su Avanti.
(Facoltativo) Specifica i valori per i seguenti parametri di input:
- Delimitatore di divisione: il delimitatore utilizzato per separare le righe di log, ad esempio \n.
Fai clic su Avanti.
Rivedi la configurazione del feed nella schermata Finalizza e poi fai clic su Invia.
Fai clic su Genera chiave segreta per generare una chiave segreta per autenticare questo feed.
Copia e memorizza la chiave segreta. Non potrai più visualizzare questa chiave segreta. Se necessario, puoi rigenerare una nuova chiave secret, ma questa azione rende obsoleta la chiave secret precedente.
Nella scheda Dettagli, copia l'URL dell'endpoint del feed dal campo Informazioni sull'endpoint. Devi specificare questo URL endpoint nella tua applicazione client.
Fai clic su Fine.

Crea una chiave API per il feed webhook

Vai alla consoleGoogle Cloud > Credenziali.

Vai a credenziali
Fai clic su Crea credenziali e poi seleziona Chiave API.
Limita l'accesso alla chiave API all'API Google Security Operations.

Specifica l'URL dell'endpoint

Nell'applicazione client, specifica l'URL dell'endpoint HTTPS fornito nel feed webhook.
Attiva l'autenticazione specificando la chiave API e la chiave segreta come parte dell'intestazione personalizzata nel seguente formato:
```
X-goog-api-key = API_KEY
X-Webhook-Access-Key = SECRET
```
Consiglio: specifica la chiave API come intestazione anziché nell'URL.
Se il tuo client webhook non supporta le intestazioni personalizzate, puoi specificare la chiave API e la chiave segreta utilizzando parametri di ricerca nel seguente formato:
```
ENDPOINT_URL?key=API_KEY&secret=SECRET
```
Sostituisci quanto segue:
- ENDPOINT_URL: l'URL dell'endpoint del feed.
- API_KEY: la chiave API per l'autenticazione a Google Security Operations.
- SECRET: la chiave segreta che hai generato per autenticare il feed.

Configurazione di un webhook OpenCanary per Google SecOps

Trova il file di configurazione OpenCanary, config.json.

Nota: questo file si trova solitamente nella directory di installazione di OpenCanary.
Apri il file config.json con un editor di testo.
Trova la sezione etichettata come alerters all'interno del file di configurazione.
Se esiste già un avviso webhook, modificalo. In caso contrario, aggiungi una nuova voce per l'agente di avviso webhook.
Utilizza la seguente configurazione (sostituisci ENDPOINT_URL, SECRET e API_KEY con i tuoi valori):

"handlers": {
    "Webhook": {
        "class": "opencanary.logger.WebhookHandler",
        "url": "<ENDPOINT_URL>",
        "method": "POST",
        "data": {"message": "%(message)s"},
        "status_code": 200,
        "headers": {
            "X-Webhook-Access-Key": "<SECRET>",
            "X-goog-api-key": "<API_KEY>"
         }
    }
}

Salva il file config.json.
Riavvia il servizio OpenCanary per applicare le modifiche. ad esempio, sudo systemctl restart opencanary.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
`dst_host`	`target.asset.ip`	Il campo `dst_host` del log non elaborato è mappato all'UDM. Associato anche a `target.ip`.
`dst_host`	`target.ip`	Il campo `dst_host` del log non elaborato è mappato a UDM. Associato anche a `target.asset.ip`.
`dst_port`	`target.port`	Il campo `dst_port` del log non elaborato viene convertito in una stringa, poi in un numero intero e mappato all'UDM.
`local_time`	`metadata.event_timestamp`	Il campo `local_time` del log non elaborato viene utilizzato per compilare `metadata.event_timestamp` nell'UDM. Se il campo `local_time` non è presente, il parser utilizza `create_time` dall'oggetto batch.
`local_time_adjusted`	`security_result.detection_fields`	Il campo `local_time_adjusted` del log non elaborato viene aggiunto come coppia chiave-valore all'array `security_result.detection_fields` nell'UDM.
`logdata.COMMUNITY_STRING`	`security_result.detection_fields`	Il campo `logdata.COMMUNITY_STRING` del log non elaborato viene aggiunto come coppia chiave-valore all'array `security_result.detection_fields` nell'UDM.
`logdata.DOMAIN`	`principal.administrative_domain`	Il campo `logdata.DOMAIN` del log non elaborato è mappato all'UDM.
`logdata.FILENAME`	`target.file.full_path`	Il campo `logdata.FILENAME` del log non elaborato è mappato a UDM.
`logdata.HOSTNAME`	`principal.asset.hostname`	Se il campo `logdata.HOSTNAME` non è un indirizzo IP, viene mappato a UDM. Mappato anche a `principal.hostname`.
`logdata.HOSTNAME`	`principal.asset.ip`	Se il campo `logdata.HOSTNAME` è un indirizzo IP, viene mappato a UDM. Mappato anche a `principal.ip`.
`logdata.HOSTNAME`	`principal.hostname`	Se il campo `logdata.HOSTNAME` non è un indirizzo IP, viene mappato a UDM. Mappato anche a `principal.asset.hostname`.
`logdata.HOSTNAME`	`principal.ip`	Se il campo `logdata.HOSTNAME` è un indirizzo IP, viene mappato a UDM. Mappato anche a `principal.asset.ip`.
`logdata.LOCALNAME`	`principal.asset.hostname`	Il campo `logdata.LOCALNAME` del log non elaborato è mappato a UDM. Associato anche a `principal.hostname`.
`logdata.LOCALNAME`	`principal.hostname`	Il campo `logdata.LOCALNAME` del log non elaborato è mappato a UDM. Mappato anche a `principal.asset.hostname`.
`logdata.LOCALVERSION`	`principal.platform_version`	Il campo `logdata.LOCALVERSION` del log non elaborato è mappato all'UDM.
`logdata.PASSWORD`	`extensions.auth.mechanism`	La presenza del campo `logdata.PASSWORD` attiva l'analizzatore in modo che imposti `extensions.auth.mechanism` su `USERNAME_PASSWORD` in UDM.
`logdata.PATH`	`network.http.referral_url`	Il campo `logdata.PATH` del log non elaborato è mappato a UDM.
`logdata.REMOTENAME`	`target.asset.hostname`	Il campo `logdata.REMOTENAME` del log non elaborato è mappato a UDM. Mappato anche a `target.hostname`.
`logdata.REMOTENAME`	`target.hostname`	Il campo `logdata.REMOTENAME` del log non elaborato è mappato a UDM. Mappato anche a `target.asset.hostname`.
`logdata.REMOTEVERSION`	`target.platform_version`	Il campo `logdata.REMOTEVERSION` del log non elaborato è mappato a UDM.
`logdata.SMBVER`	`network.application_protocol`	La presenza del campo `logdata.SMBVER` attiva il parser per impostare `network.application_protocol` su `SMB` in UDM.
`logdata.USERAGENT`	`network.http.parsed_user_agent`	Il campo `logdata.USERAGENT` del log non elaborato viene convertito in uno user agent analizzato e mappato all'UDM.
`logdata.USERAGENT`	`network.http.user_agent`	Il campo `logdata.USERAGENT` del log non elaborato è mappato a UDM.
`logdata.USERNAME`	`target.user.userid`	Il campo `logdata.USERNAME` del log non elaborato è mappato all'UDM.
`loglevel`	`security_result.severity`	Il campo `loglevel` del log non elaborato determina il `security_result.severity` nell'UDM. `WARNING` maps to `HIGH`, `INFO`/`INFORMATION` maps to `LOW`.
`logtype`	`security_result.detection_fields`	Il campo `logtype` del log non elaborato viene aggiunto come coppia chiave-valore all'array `security_result.detection_fields` nell'UDM.
`node_id`	`principal.asset.asset_id`	Il campo `node_id` del log non elaborato è preceduto da "id:" e mappato a UDM.
`src_host`	`principal.asset.ip`	Il campo `src_host` del log non elaborato è mappato a UDM. Associato anche a `principal.ip`.
`src_host`	`principal.ip`	Il campo `src_host` del log non elaborato è mappato all'UDM. Mappato anche a `principal.asset.ip`.
`src_port`	`principal.port`	Il campo `src_port` del log non elaborato viene convertito in un numero intero e mappato all'UDM.
`utc_time`	`security_result.detection_fields`	Il campo `utc_time` del log non elaborato viene aggiunto come coppia chiave-valore all'array `security_result.detection_fields` nell'UDM.

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.