Mengumpulkan log Thinkst Canary

Didukung di:

Dokumen ini menjelaskan cara mengumpulkan log Thinkst Canary dengan menyiapkan feed Google Security Operations menggunakan Third Party API.

Thinkst Canary menyediakan deteksi ancaman berbasis penipuan: Canary hardware, virtual, dan cloud meniru aset nyata, dan Canarytokens bertindak sebagai kabel jebakan dalam file, kredensial, dan URL. Saat penyerang menyentuh Canary atau memicu token, Konsol Canary akan mencatat insiden. Feed mengambil insiden tersebut dari Console API.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Akses istimewa ke Konsol Thinkst Canary

Mengonfigurasi REST API di Thinkst Canary

  1. Login ke Thinkst Canary Console (https://<DOMAIN_HASH>.canary.tools).
  2. Klik ikon roda gigi di sudut kanan atas, lalu pilih Setelan Global.
  3. Di menu, klik API.
  4. Jika API dinonaktifkan, klik Enable API.

  5. Gunakan Kunci API Default yang ada, atau klik + Tambahkan kunci API baru untuk membuat kunci khusus:

    • Jenis kunci API: Pilih Hanya Baca. Hal ini sudah cukup untuk pengumpulan log.
    • Catatan: Masukkan nama untuk kunci (misalnya, Google SecOps Integration).

  6. Salin dan simpan teks berikut di lokasi yang aman:

    • Hash Domain: ID Konsol Anda. Nama host API Anda adalah <DOMAIN_HASH>.canary.tools.
    • Token Auth: Kunci API yang digunakan untuk mengautentikasi permintaan.

Mengonfigurasi feed di Google SecOps untuk menyerap log Thinkst Canary

  1. Buka Setelan SIEM > Feed.
  2. Klik Tambahkan Feed Baru.
  3. Di halaman berikutnya, klik Konfigurasi satu feed.
  4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Thinkst Canary Logs).
  5. Pilih Third Party API sebagai Source type.
  6. Pilih Thinkst Canary sebagai Jenis log.
  7. Klik Berikutnya.

  8. Tentukan nilai untuk parameter input berikut:

    • Header HTTP autentikasi: Token yang dibuat sebelumnya, dalam format auth_token:<TOKEN> (misalnya, auth_token:AAAABBBBCCCC111122223333).
    • Nama Host API: Nama domain yang sepenuhnya memenuhi syarat dari endpoint Thinkst Canary REST API Anda, dalam format <DOMAIN_HASH>.canary.tools (misalnya, myinstance.canary.tools).
    • Namespace aset: Namespace aset
    • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini

  9. Klik Berikutnya.

  10. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Setelah penyiapan, feed akan mulai mengambil log dari instance Thinkst Canary dalam urutan kronologis.

Pembaruan insiden dan pengiriman ulang

Canary Console API menampilkan insiden lagi setiap kali insiden diperbarui, bukan hanya saat insiden dibuat. Canary menggabungkan peristiwa serupa berikutnya dari sumber yang sama ke dalam insiden yang ada. Misalnya, setiap upaya serangan brute force menjadi peristiwa dalam satu insiden. Perubahan insiden lainnya juga dapat memicu pengiriman ulang.

Perilaku berikut diharapkan terjadi di Google SecOps:

  • Insiden yang sudah disampaikan akan muncul kembali di feed setelah diperbarui.
  • Insiden yang dikirim ulang dapat muncul dengan stempel waktu peristiwa yang jauh lebih lama daripada saat insiden tersebut dikirim ulang. Hal ini karena parser mendapatkan stempel waktu peristiwa dari waktu pembuatan awal insiden dan dari waktu terjadinya peristiwa yang digabungkan, bukan dari waktu pembaruan.

Pengiriman ulang itu sendiri adalah perilaku yang didokumentasikan dari API pengumpulan insiden (memfilter penghitung pembaruan insiden), bukan kehilangan data atau kerusakan parser.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
_canary_uptime_label additional.fields Digabung
desc_events_n_func_code_label additional.fields Digabung
desc_events_n_func_name_label additional.fields Digabung
desc_events_n_sfunc_code_label additional.fields Digabung
desc_events_n_sfunc_name_label additional.fields Digabung
desc_events_n_timestamp_std_label additional.fields Digabung
desc_events_n_unit_id_label additional.fields Digabung
description_created_std_label additional.fields Digabung
description_events_list_label additional.fields Digabung
event_data_list additional.fields Digabung
event_descrip_label additional.fields Digabung
events_url_label additional.fields Digabung
local_time_label additional.fields Digabung
locale_label additional.fields Digabung
lt_label additional.fields Digabung
offline_text_label additional.fields Digabung
updated_label additional.fields Digabung
updated_std_label additional.fields Digabung
_auth extensions.auth Diganti nama/dipetakan
_metadata metadata Diganti nama/dipetakan
_event_time metadata.event_timestamp Diuraikan sebagai UNIX
_metadata_event_timestamp metadata.event_timestamp Diuraikan sebagai UNIX
description.created_std metadata.event_timestamp Diuraikan sebagai UNIX_MS
elem.timestamp_std metadata.event_timestamp Diuraikan sebagai yyyy-MM-dd HH:mm:ss ZZZ+0000
updated metadata.event_timestamp Diuraikan sebagai EEE, dd MMM yyyy HH:mm:ss ZZZ
updated_std metadata.event_timestamp Diuraikan sebagai UNIX_MS
format metadata.event_type Dipetakan: grok → STATUS_UPDATE, grok → GENERIC_EVENT
has_principal_hostname metadata.event_type Dipetakan: true → STATUS_UPDATE
_network network Diganti nama/dipetakan
_observer observer Diganti nama/dipetakan
_principal principal Diganti nama/dipetakan
ThinkstCanary_Process principal.application Dipetakan secara langsung
ThinkstCanary_Process principal.asset.hostname Dipetakan secara langsung
ThinkstCanary_Hostname principal.hostname Dipetakan secara langsung
_md_product_event_type security_result Nilai yang dipetakan (total 10, misalnya Shared File Opened → _security_result, Host Port Scan → ...
_security_result security_result Digabung
format security_result Dipetakan: kv → _security_result, json → _security_result
_source src Diganti nama/dipetakan
_target target Diganti nama/dipetakan
T/A metadata.event_type Konstanta: STATUS_UPDATE

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.