設定 SIEM Webhook

支援的國家/地區：

事前準備

使用指令列範例

這份文件包含 curl 指令範例，可協助您設定及測試 Webhook 動態饋給。這些範例使用可編輯的預留位置變數。如要有效使用這些功能，請按照下列指示操作：

  1. 編輯變數：按照設定步驟操作時，您會取得 Webhook 端點、API 金鑰和密鑰的值。按一下程式碼範例中的預留位置變數，並將其替換為實際值：

    在一個程式碼範例中編輯變數，這個頁面上的所有範例都會更新。

  2. 複製指令：按一下程式碼區塊中的「複製程式碼範例」圖示。

  3. 執行指令：將複製的指令貼到終端機環境並執行。

    確認 curl 指令包含 --fail (或 -f) 旗標。這樣可確保 HTTP 要求失敗時，curl 會傳回非零的結束代碼，成功時則傳回 0 的結束代碼。下一個步驟會用到這項資訊。

  4. 確認是否成功：如果 curl 指令執行成功，不會傳回任何輸出內容。如要確認是否成功，請按照下列步驟操作：

    如果 curl 指令包含 --fail (或 -f) 標記，請立即執行下列指令，檢查結束程式碼：

    echo $?

    結束代碼為 0 表示成功。

設定 HTTPS Webhook 動態饋給

如要設定 HTTPS Webhook 資訊動態，請按照下列步驟操作：

  1. 建立 HTTPS Webhook 動態消息，然後複製端點網址和密鑰。
  2. 建立 API 金鑰，以便搭配端點網址使用。您也可以重複使用現有的 API 金鑰，向 Google SecOps 進行驗證。
  3. 在應用程式中指定端點網址。

在單一 Webhook 要求中傳送多個事件

下列程式碼範例說明如何設定單一要求主體的格式，其中包含多個以換行符號分隔的 JSON 物件：

curl --location 'ENDPOINT_URL' \
  --header 'Content-Type: application/json' \
  --header 'X-goog-api-key: API_KEY' \
  --header 'X-Webhook-Access-Key: SECRET' \
  --data $'{"principal": {"asset_id": "asset 123"}, "metadata": {"event_type": "GENERIC_EVENT", "product_name": "Product Acme"}}\n{"principal": {"asset_id": "asset 123"}, "metadata": {"event_type": "GENERIC_EVENT", "product_name": "Product Acme"}}' \
  --fail

建立 HTTPS Webhook 動態饋給

  1. 在 Google SecOps 選單中選取「設定」，然後按一下「動態消息」。
  2. 按一下「新增」。
  3. 在「動態饋給名稱」欄位中，輸入動態饋給名稱。
  4. 在「來源類型」清單中，選取「Webhook」。
  5. 選取「記錄類型」。舉例來說，如要為開放式網路安全架構建立資訊主動提供機制，請選取「開放式網路安全架構 (OCSF)」做為「記錄類型」。
  6. 點選「下一步」。
  7. 選用：指定下列輸入參數的值：
    • 分割分隔符號：用於分隔記錄行的分隔符號，例如 \n。
    • 資產命名空間：資產命名空間。
    • 擷取標籤：要套用至這個動態饋給事件的標籤。
  8. 點選「下一步」。
  9. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。
  10. 按一下「產生密鑰」，產生驗證這個動態消息的密鑰。
  11. 複製並儲存密鑰，因為您無法再次查看這組密鑰。您可以產生新的密鑰，但這樣做會使先前的密鑰失效。
  12. 在「詳細資料」分頁中，從「端點資訊」欄位複製動態消息端點網址。 您需要在用戶端應用程式中指定這個端點網址。
  13. 選用：按一下「動態消息已啟用」切換按鈕，即可停用動態消息。動態消息預設為啟用。
  14. 按一下 [完成]。

為 Webhook 動態饋給建立 API 金鑰

  1. 前往 Google Cloud 控制台的「憑證」頁面。
  2. 按一下 [Create credentials] (建立憑證)，然後選取 [API key] (API 金鑰)。
  3. 限制 API 金鑰對 Chronicle API 的存取權。

指定端點網址

  1. 在用戶端應用程式中，指定 webhook 摘要中提供的 HTTPS 端點。

  2. 以自訂標頭的形式指定 API 金鑰和密鑰，即可啟用驗證，格式如下：

    X-goog-api-key: API_KEY
X-Webhook-Access-Key: SECRET

    • 建議您將 API 金鑰指定為標頭，而非在網址中指定。

      curl --location 'ENDPOINT_URL' \
    --header 'Content-Type: application/json' \
    --header 'X-goog-api-key: API_KEY' \
    --header 'X-Webhook-Access-Key: SECRET' \
    --data '{"principal": {"asset_id": "asset 123"}, "metadata": {"event_type": "GENERIC_EVENT", "product_name": "Product Acme"}}' \
    --fail

    • 如果 Webhook 用戶端不支援自訂標頭，您可以使用查詢參數指定 API 金鑰和密鑰，格式如下：

      ENDPOINT_URL?key=API_KEY&secret=SECRET

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。