Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

Raccogliere i log di OpenCanary

Supportato in:

Google secops SIEM

Questo parser estrae i campi dai log SYSLOG e JSON di OpenCanary, li normalizza nel formato UDM e arricchisce i dati con campi derivati come metadata.event_type e security_result.severity. Gestisce vari formati di log, esegue la convalida degli indirizzi IP e mappa i campi agli oggetti UDM appropriati come principal, target e network.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

Istanza Google SecOps.
Accesso con privilegi a OpenCanary.

Configura i feed

Per configurare un feed:

Vai a Impostazioni SIEM > Feed.
Fai clic su Aggiungi nuovo feed.
Nella pagina successiva, fai clic su Configura un singolo feed.
Nel campo Nome feed, inserisci un nome per il feed, ad esempio Log di OpenCanary.
Seleziona Webhook come Tipo di origine.
Seleziona OpenCanary come Tipo di log.
Fai clic su Avanti.
(Facoltativo) Specifica i valori per i seguenti parametri di input:
- Delimitatore di suddivisione: il delimitatore utilizzato per separare le righe di log, ad esempio \n.
Fai clic su Avanti.
Esamina la configurazione del feed nella schermata Finalizza e poi fai clic su Invia.
Fai clic su Genera chiave segreta per generare una chiave segreta per autenticare questo feed.
Copia e salva la chiave segreta. Non puoi visualizzare di nuovo questa chiave segreta. Se necessario, puoi rigenerare una nuova chiave segreta, ma questa azione rende obsoleta la chiave segreta precedente.
Nella scheda Dettagli, copia l'URL dell'endpoint del feed dal campo Informazioni sull'endpoint. Devi specificare questo URL dell'endpoint nella tua applicazione client.
Fai clic su Fine.

Crea una chiave API per il feed webhook

Vai a Google Cloud console > Credenziali.

Vai a Credenziali
Fai clic su Crea credenziali e poi seleziona Chiave API.
Limita l'accesso alla chiave API all'API Google Security Operations.

Specifica l'URL dell'endpoint

Nell'applicazione client, specifica l'URL dell'endpoint HTTPS fornito nel feed webhook.
Abilita l'autenticazione specificando la chiave API e la chiave segreta come parte dell'intestazione personalizzata nel seguente formato:
```
X-goog-api-key = API_KEY
X-Webhook-Access-Key = SECRET
```
Suggerimento: specifica la chiave API come intestazione anziché nell'URL.
Se il client webhook non supporta le intestazioni personalizzate, puoi specificare la chiave API e la chiave segreta utilizzando parametri di ricerca nel seguente formato:
```
ENDPOINT_URL?key=API_KEY&secret=SECRET
```
Sostituisci quanto segue:
- ENDPOINT_URL: l'URL dell'endpoint del feed.
- API_KEY: la chiave API per l'autenticazione in Google Security Operations.
- SECRET: la chiave segreta che hai generato per autenticare il feed.

Configurare un webhook OpenCanary per Google SecOps

Trova il file di configurazione di OpenCanary, config.json.

Nota: questo file si trova in genere nella directory di installazione di OpenCanary.
Apri il file config.json con un editor di testo.
Trova la sezione con l'etichetta alerters all'interno del file di configurazione.
Se esiste già un avviso webhook, modificalo. In caso contrario, aggiungi una nuova voce per l'avviso webhook.
Utilizza la seguente configurazione (sostituisci ENDPOINT_URL, SECRET e API_KEY con i tuoi valori):

"handlers": {
    "Webhook": {
        "class": "opencanary.logger.WebhookHandler",
        "url": "<ENDPOINT_URL>",
        "method": "POST",
        "data": {"message": "%(message)s"},
        "status_code": 200,
        "headers": {
            "X-Webhook-Access-Key": "<SECRET>",
            "X-goog-api-key": "<API_KEY>"
         }
    }
}

Salva il file config.json.
Riavvia il servizio OpenCanary per applicare le modifiche. (ad esempio, sudo systemctl restart opencanary).

Tabella di mappatura UDM

Campo log	Mappatura UDM	Funzione logica
`dst_host`	`target.asset.ip`	Il campo `dst_host` del log non elaborato viene mappato all'UDM. Viene mappato anche a `target.ip`.
`dst_host`	`target.ip`	Il campo `dst_host` del log non elaborato viene mappato all'UDM. Viene mappato anche a `target.asset.ip`.
`dst_port`	`target.port`	Il campo `dst_port` del log non elaborato viene convertito in una stringa, poi in un numero intero e mappato all'UDM.
`local_time`	`metadata.event_timestamp`	Il campo `local_time` del log non elaborato viene utilizzato per compilare `metadata.event_timestamp` nell'UDM. Se il campo `local_time` non è presente, il parser utilizza `create_time` dall'oggetto batch.
`local_time_adjusted`	`security_result.detection_fields`	Il campo `local_time_adjusted` del log non elaborato viene aggiunto come coppia chiave-valore all'array `security_result.detection_fields` nell'UDM.
`logdata.COMMUNITY_STRING`	`security_result.detection_fields`	Il campo `logdata.COMMUNITY_STRING` del log non elaborato viene aggiunto come coppia chiave-valore all'array `security_result.detection_fields` nell'UDM.
`logdata.DOMAIN`	`principal.administrative_domain`	Il campo `logdata.DOMAIN` del log non elaborato viene mappato all'UDM.
`logdata.FILENAME`	`target.file.full_path`	Il campo `logdata.FILENAME` del log non elaborato viene mappato all'UDM.
`logdata.HOSTNAME`	`principal.asset.hostname`	Se il campo `logdata.HOSTNAME` non è un indirizzo IP, viene mappato all'UDM. Viene mappato anche a `principal.hostname`.
`logdata.HOSTNAME`	`principal.asset.ip`	Se il campo `logdata.HOSTNAME` è un indirizzo IP, viene mappato all'UDM. Viene mappato anche a `principal.ip`.
`logdata.HOSTNAME`	`principal.hostname`	Se il campo `logdata.HOSTNAME` non è un indirizzo IP, viene mappato all'UDM. Viene mappato anche a `principal.asset.hostname`.
`logdata.HOSTNAME`	`principal.ip`	Se il campo `logdata.HOSTNAME` è un indirizzo IP, viene mappato all'UDM. Viene mappato anche a `principal.asset.ip`.
`logdata.LOCALNAME`	`principal.asset.hostname`	Il campo `logdata.LOCALNAME` del log non elaborato viene mappato all'UDM. Viene mappato anche a `principal.hostname`.
`logdata.LOCALNAME`	`principal.hostname`	Il campo `logdata.LOCALNAME` del log non elaborato viene mappato all'UDM. Viene mappato anche a `principal.asset.hostname`.
`logdata.LOCALVERSION`	`principal.platform_version`	Il campo `logdata.LOCALVERSION` del log non elaborato viene mappato all'UDM.
`logdata.PASSWORD`	`extensions.auth.mechanism`	La presenza del campo `logdata.PASSWORD` attiva il parser per impostare `extensions.auth.mechanism` su `USERNAME_PASSWORD` nell'UDM.
`logdata.PATH`	`network.http.referral_url`	Il campo `logdata.PATH` del log non elaborato viene mappato all'UDM.
`logdata.REMOTENAME`	`target.asset.hostname`	Il campo `logdata.REMOTENAME` del log non elaborato viene mappato all'UDM. Viene mappato anche a `target.hostname`.
`logdata.REMOTENAME`	`target.hostname`	Il campo `logdata.REMOTENAME` del log non elaborato viene mappato all'UDM. Viene mappato anche a `target.asset.hostname`.
`logdata.REMOTEVERSION`	`target.platform_version`	Il campo `logdata.REMOTEVERSION` del log non elaborato viene mappato all'UDM.
`logdata.SMBVER`	`network.application_protocol`	La presenza del campo `logdata.SMBVER` attiva il parser per impostare `network.application_protocol` su `SMB` nell'UDM.
`logdata.USERAGENT`	`network.http.parsed_user_agent`	Il campo `logdata.USERAGENT` del log non elaborato viene convertito in uno user agent analizzato e mappato all'UDM.
`logdata.USERAGENT`	`network.http.user_agent`	Il campo `logdata.USERAGENT` del log non elaborato viene mappato all'UDM.
`logdata.USERNAME`	`target.user.userid`	Il campo `logdata.USERNAME` del log non elaborato viene mappato all'UDM.
`loglevel`	`security_result.severity`	Il campo `loglevel` del log non elaborato determina `security_result.severity` nell'UDM. `WARNING` viene mappato a `HIGH`, `INFO`/`INFORMATION` viene mappato a `LOW`.
`logtype`	`security_result.detection_fields`	Il campo `logtype` del log non elaborato viene aggiunto come coppia chiave-valore all'array `security_result.detection_fields` nell'UDM.
`node_id`	`principal.asset.asset_id`	Il campo `node_id` del log non elaborato viene preceduto da "id:" e mappato all'UDM.
`src_host`	`principal.asset.ip`	Il campo `src_host` del log non elaborato viene mappato all'UDM. Viene mappato anche a `principal.ip`.
`src_host`	`principal.ip`	Il campo `src_host` del log non elaborato viene mappato all'UDM. Viene mappato anche a `principal.asset.ip`.
`src_port`	`principal.port`	Il campo `src_port` del log non elaborato viene convertito in un numero intero e mappato all'UDM.
`utc_time`	`security_result.detection_fields`	Il campo `utc_time` del log non elaborato viene aggiunto come coppia chiave-valore all'array `security_result.detection_fields` nell'UDM.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.