Raccogli i log di Thinkst Canary
Questo documento spiega come raccogliere i log di Thinkst Canary configurando un feed Google Security Operations utilizzando l'API di terze parti.
Thinkst Canary fornisce il rilevamento delle minacce basato sull'inganno: Canary hardware, virtuali e cloud impersonano asset reali e i Canarytoken fungono da tripwire in file, credenziali e URL. Quando un malintenzionato tocca un Canary o attiva un token, la console Canary registra un incidente. Il feed recupera questi incidenti dall'API Console.
Prima di iniziare
Assicurati di soddisfare i seguenti prerequisiti:
- Un'istanza Google SecOps
- Accesso privilegiato alla console Thinkst Canary
Configura l'API REST in Thinkst Canary
- Accedi alla console Thinkst Canary (
https://<DOMAIN_HASH>.canary.tools). - Fai clic sull'icona dell'ingranaggio nell'angolo in alto a destra e seleziona Impostazioni globali.
- Nel menu, fai clic su API.
- Se l'API è disattivata, fai clic su Abilita API.
Utilizza la chiave API predefinita esistente o fai clic su + Aggiungi nuova chiave API per crearne una dedicata:
- Tipo di chiave API: seleziona Sola lettura. Questo è sufficiente per la raccolta dei log.
- Nota: inserisci un nome per la chiave (ad esempio,
Google SecOps Integration).
Copia e salva quanto segue in una posizione sicura:
- Hash del dominio: l'identificatore della tua console. Il nome host dell'API è
<DOMAIN_HASH>.canary.tools. - Token di autenticazione: la chiave API utilizzata per autenticare le richieste.
- Hash del dominio: l'identificatore della tua console. Il nome host dell'API è
Configura un feed in Google SecOps per importare i log di Thinkst Canary
- Vai a Impostazioni SIEM > Feed.
- Fai clic su Aggiungi nuovo feed.
- Nella pagina successiva, fai clic su Configura un singolo feed.
- Nel campo Nome feed, inserisci un nome per il feed (ad esempio,
Thinkst Canary Logs). - Seleziona API di terze parti come Tipo di origine.
- Seleziona Thinkst Canary come Tipo di log.
- Fai clic su Avanti.
Specifica i valori per i seguenti parametri di input:
- Intestazione HTTP di autenticazione: il token generato in precedenza, nel formato
auth_token:<TOKEN>(ad esempio,auth_token:AAAABBBBCCCC111122223333). - Nome host API: il nome di dominio completo dell'endpoint API REST di Thinkst Canary, nel formato
<DOMAIN_HASH>.canary.tools(ad esempio,myinstance.canary.tools). - Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset
- Etichette di importazione: l'etichetta da applicare agli eventi di questo feed
- Intestazione HTTP di autenticazione: il token generato in precedenza, nel formato
Fai clic su Avanti.
Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.
Dopo la configurazione, il feed inizia a recuperare i log dall'istanza Thinkst Canary in ordine cronologico.
Aggiornamenti sugli incidenti e nuova consegna
L'API Canary Console restituisce di nuovo un incidente ogni volta che viene aggiornato, non solo quando viene creato. Canary raggruppa gli eventi simili successivi della stessa origine nell'incidente esistente. Ad esempio, ogni tentativo di attacco di tipo brute force diventa un evento all'interno di un singolo incidente. Anche altre modifiche agli incidenti possono attivare la nuova pubblicazione.
In Google SecOps è previsto il seguente comportamento:
- Gli incidenti già segnalati vengono visualizzati nuovamente nel feed dopo l'aggiornamento.
- Un incidente riproposto può essere visualizzato con un timestamp evento notevolmente precedente al momento in cui è stato riproposto. Questo perché il parser deriva i timestamp degli eventi dall'ora di creazione originale dell'incidente e dalle ore di occorrenza degli eventi in bundle, non dall'ora di aggiornamento.
La nuova pubblicazione è il comportamento documentato dell'API di raccolta degli incidenti (filtra in base al contatore degli aggiornamenti dell'incidente), non una perdita di dati o un difetto del parser.
Tabella di mappatura UDM
| Campo log | Mappatura UDM | Logica |
|---|---|---|
_canary_uptime_label |
additional.fields |
Unita |
desc_events_n_func_code_label |
additional.fields |
Unita |
desc_events_n_func_name_label |
additional.fields |
Unita |
desc_events_n_sfunc_code_label |
additional.fields |
Unita |
desc_events_n_sfunc_name_label |
additional.fields |
Unita |
desc_events_n_timestamp_std_label |
additional.fields |
Unita |
desc_events_n_unit_id_label |
additional.fields |
Unita |
description_created_std_label |
additional.fields |
Unita |
description_events_list_label |
additional.fields |
Unita |
event_data_list |
additional.fields |
Unita |
event_descrip_label |
additional.fields |
Unita |
events_url_label |
additional.fields |
Unita |
local_time_label |
additional.fields |
Unita |
locale_label |
additional.fields |
Unita |
lt_label |
additional.fields |
Unita |
offline_text_label |
additional.fields |
Unita |
updated_label |
additional.fields |
Unita |
updated_std_label |
additional.fields |
Unita |
_auth |
extensions.auth |
Rinominate/mappate |
_metadata |
metadata |
Rinominate/mappate |
_event_time |
metadata.event_timestamp |
Analizzato come UNIX |
_metadata_event_timestamp |
metadata.event_timestamp |
Analizzato come UNIX |
description.created_std |
metadata.event_timestamp |
Analizzato come UNIX_MS |
elem.timestamp_std |
metadata.event_timestamp |
Analizzato come yyyy-MM-dd HH:mm:ss ZZZ+0000 |
updated |
metadata.event_timestamp |
Analizzato come EEE, dd MMM yyyy HH:mm:ss ZZZ |
updated_std |
metadata.event_timestamp |
Analizzato come UNIX_MS |
format |
metadata.event_type |
Mappato: grok → STATUS_UPDATE, grok → GENERIC_EVENT |
has_principal_hostname |
metadata.event_type |
Mappato: true → STATUS_UPDATE |
_network |
network |
Rinominate/mappate |
_observer |
observer |
Rinominate/mappate |
_principal |
principal |
Rinominate/mappate |
ThinkstCanary_Process |
principal.application |
Mappato direttamente |
ThinkstCanary_Process |
principal.asset.hostname |
Mappato direttamente |
ThinkstCanary_Hostname |
principal.hostname |
Mappato direttamente |
_md_product_event_type |
security_result |
Valori mappati (10 in totale, ad es. Shared File Opened → _security_result, Host Port Scan → … |
_security_result |
security_result |
Unita |
format |
security_result |
Mappato: kv → _security_result, json → _security_result |
_source |
src |
Rinominate/mappate |
_target |
target |
Rinominate/mappate |
| N/D | metadata.event_type |
Costante: STATUS_UPDATE |
Log delle modifiche
Visualizza il log delle modifiche per questo parser
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.