Menyiapkan webhook SIEM

Didukung di:

Google SecOps SIEM

Sebelum memulai

• Pastikan projectGoogle Cloud untuk Google SecOps dikonfigurasi dan Chronicle API diaktifkan untuk project tersebut.

• Tautkan instance Google SecOps ke layanan Google Cloud .

  Catatan: Batch data yang dikirim melalui feed Webhook mungkin mengalami penundaan penyerapan jika batas ukuran permintaan atau QPS ditetapkan terlalu rendah. Endpoint push HTTPS mendukung ukuran permintaan maksimum sebesar 4 MB per permintaan dan throughput maksimum 15 K QPS per instance Google SecOps.

Menggunakan contoh command line

Dokumen ini mencakup contoh perintah curl untuk membantu Anda menyiapkan dan menguji feed webhook. Contoh ini menggunakan variabel placeholder yang dapat diedit. Untuk menggunakannya secara efektif:

1. Edit variabel: Saat mengikuti langkah-langkah penyiapan, Anda akan mendapatkan nilai untuk endpoint webhook, kunci API, dan secret. Klik variabel placeholder dalam kode contoh dan ganti dengan nilai sebenarnya:

   • ENDPOINT_URL: URL endpoint feed yang diperoleh saat Anda Membuat feed webhook HTTPS.
   • API_KEY: Kunci API yang Anda Buat untuk feed webhook guna melakukan autentikasi ke Google SecOps.
   • SECRET: Kunci rahasia yang dibuat saat Anda Membuat feed webhook HTTPS.

   Mengedit variabel dalam satu contoh kode akan memperbaruinya di semua contoh pada halaman ini.

2. Menyalin perintah: Klik ikon Salin contoh kode pada blok kode.

3. Jalankan perintah: Tempel perintah yang disalin ke lingkungan terminal Anda dan jalankan.

   Pastikan perintah curl menyertakan flag --fail (atau -f). Hal ini memastikan bahwa curl menampilkan kode keluar bukan nol jika permintaan HTTP gagal, dan kode keluar 0 untuk menunjukkan keberhasilan. Hal ini diperlukan untuk langkah berikutnya.

4. Memverifikasi keberhasilan: Perintah curl yang berhasil tidak akan menampilkan output. Untuk mengonfirmasi keberhasilan, lakukan hal berikut:

   Jika perintah curl menyertakan flag --fail (atau -f), periksa kode keluar dengan menjalankan perintah berikut segera setelahnya:

   echo $?
   

   Kode keluar 0 menunjukkan keberhasilan.

Menyiapkan feed webhook HTTPS

Untuk menyiapkan feed webhook HTTPS, lakukan hal berikut:

1. Buat feed webhook HTTPS, lalu salin URL endpoint dan kunci rahasia.
2. Buat kunci API untuk digunakan dengan URL endpoint. Anda juga dapat menggunakan kembali kunci API yang ada untuk melakukan autentikasi ke Google SecOps.
3. Tentukan URL endpoint di aplikasi Anda.

Mengirim beberapa peristiwa dalam satu permintaan webhook

Contoh kode berikut menunjukkan cara memformat isi permintaan tunggal dengan beberapa objek JSON yang dipisahkan oleh baris baru:

curl --location 'ENDPOINT_URL' \
  --header 'Content-Type: application/json' \
  --header 'X-goog-api-key: API_KEY' \
  --header 'X-Webhook-Access-Key: SECRET' \
  --data $'{"principal": {"asset_id": "asset 123"}, "metadata": {"event_type": "GENERIC_EVENT", "product_name": "Product Acme"}}\n{"principal": {"asset_id": "asset 123"}, "metadata": {"event_type": "GENERIC_EVENT", "product_name": "Product Acme"}}' \
  --fail

Membuat feed webhook HTTPS

1. Di menu Google SecOps, pilih Setelan, lalu klik Feed.
2. Klik Tambahkan baru.
3. Di kolom Nama feed, masukkan nama untuk feed.
4. Dalam daftar Jenis sumber, pilih Webhook.
5. Pilih Jenis log. Misalnya, untuk membuat feed untuk Open Cybersecurity Schema Framework, pilih Open Cybersecurity Schema Framework (OCSF) sebagai Jenis log.
6. Klik Berikutnya.
7. Opsional: Tentukan nilai untuk parameter input berikut:
   • Pembatas pemisahan: pembatas yang digunakan untuk memisahkan baris log, seperti \n.
   • Namespace aset: namespace aset.
   • Label penyerapan: label yang akan diterapkan ke peristiwa dari feed ini.
8. Klik Berikutnya.
9. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.
10. Klik Buat Kunci Rahasia untuk membuat kunci rahasia guna mengautentikasi feed ini.
11. Salin dan simpan kunci rahasia karena Anda tidak dapat melihat rahasia ini lagi. Anda dapat membuat kunci rahasia baru, tetapi tindakan ini akan membuat kunci rahasia sebelumnya tidak berlaku.
12. Dari tab Detail, salin URL endpoint feed dari kolom Informasi Endpoint. Anda harus menentukan URL endpoint ini di aplikasi klien Anda.
13. Opsional: Klik tombol Feed Diaktifkan untuk menonaktifkan feed. Feed diaktifkan secara default.
14. Klik Done.

Membuat kunci API untuk feed webhook

1. Buka halaman Google Cloud konsol Credentials.
2. Klik Create credentials, lalu pilih API key.
3. Membatasi akses kunci API ke Chronicle API.

Tentukan URL endpoint

1. Di aplikasi klien, tentukan endpoint HTTPS yang tersedia di feed webhook.

2. Aktifkan autentikasi dengan menentukan kunci API dan kunci rahasia sebagai header kustom dalam format berikut:

   X-goog-api-key: API_KEY
   X-Webhook-Access-Key: SECRET
   

   • Sebaiknya tentukan kunci API sebagai header, bukan menentukannya di URL.

     curl --location 'ENDPOINT_URL' \
         --header 'Content-Type: application/json' \
         --header 'X-goog-api-key: API_KEY' \
         --header 'X-Webhook-Access-Key: SECRET' \
         --data '{"principal": {"asset_id": "asset 123"}, "metadata": {"event_type": "GENERIC_EVENT", "product_name": "Product Acme"}}' \
         --fail
     

   • Jika klien webhook Anda tidak mendukung header kustom, Anda dapat menentukan kunci API dan kunci rahasia menggunakan parameter kueri dalam format berikut:

     ENDPOINT_URL?key=API_KEY&secret=>SECRET
     

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.