收集 Cohesity 記錄

剖析器版本：3.0

支援的國家/地區：

這個剖析器會使用 Grok 模式，從 Cohesity 備份軟體系統記錄訊息中擷取欄位。可處理標準 syslog 訊息和 JSON 格式的記錄，將擷取的欄位對應至 UDM，並根據主體和目標 ID 是否存在，動態指派 event_type。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體。
  • 具備 Cohesity 管理權限。

設定動態饋給

如要設定動態消息，請按照下列步驟操作：

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「新增動態饋給」。
  3. 在下一頁，點按「設定單一動態饋給」。
  4. 在「Feed name」(動態消息名稱) 欄位中，輸入動態消息名稱 (例如「Cohesity Logs」)。
  5. 「Source type」(來源類型) 請選取「Webhook」。
  6. 選取「Cohesity」做為「記錄類型」。
  7. 點選「下一步」。
  8. 選用：指定下列輸入參數的值：
    • 分割分隔符號：用於分隔記錄行的分隔符號，例如 \n。
  9. 點選「下一步」。
  10. 在「Finalize」畫面中檢查動態饋給設定，然後按一下「Submit」。
  11. 按一下「產生密鑰」，產生用於驗證這個動態饋給的密鑰。
  12. 複製並儲存密鑰。您無法再次查看這組密鑰。如有需要，您可以重新產生新的密鑰，但這項操作會使舊密鑰失效。
  13. 在「詳細資料」分頁中，複製「端點資訊」欄位中的動態饋給端點網址。您需要在用戶端應用程式中指定這個端點網址。
  14. 按一下「完成」。

為 Webhook 動態饋給建立 API 金鑰

  1. 依序前往 Google Cloud 控制台「Credentials」(憑證)。

    前往「憑證」

  2. 按一下 [Create credentials] (建立憑證)，然後選取 [API key] (API 金鑰)。

  3. 限制 API 金鑰對 Chronicle API 的存取權。

指定端點網址

  1. 在用戶端應用程式中，指定 Webhook 動態饋給提供的 HTTPS 端點網址。

  2. 如要啟用驗證，請在自訂標頭中指定 API 金鑰和密鑰，格式如下：

    X-goog-api-key = API_KEY
X-Webhook-Access-Key = SECRET

    建議：請將 API 金鑰指定為標頭，而非網址。

  3. 如果 Webhook 用戶端不支援自訂標頭，您可以使用下列格式的查詢參數，指定 API 金鑰和密鑰：

    ENDPOINT_URL?key=API_KEY&secret=SECRET

    更改下列內容：

    • ENDPOINT_URL：動態饋給端點網址。
    • API_KEY：用於向 Google SecOps 驗證身分的 API 金鑰。
    • SECRET：您產生的密鑰，用於驗證動態饋給。

在 Cohesity 中設定 Google SecOps 的 Webhook

  1. 登入 Cohesity 叢集管理。
  2. 前往「保護工作」部分。
  3. 選取要設定 Webhook 的保護工作。
  4. 依序點選保護工作旁的「動作」選單 (三個垂直點) >「編輯」。
  5. 選取「快訊」分頁標籤。
  6. 按一下「+ Add Webhook」。
  7. 指定下列參數的值：
    • 名稱：為 Webhook 提供描述性名稱 (例如「Google SecOps」)。
    • 網址：輸入 Google SecOps <ENDPOINT_URL>。
    • 方法：選取「POST」。
    • 內容類型：選取「application/json」。
    • 酬載：這個欄位取決於您要傳送的特定資料。
    • 啟用 Webhook：勾選方塊即可啟用 Webhook。
  8. 儲存設定：按一下「儲存」，將 Webhook 設定套用至保護工作。

UDM 對應表

記錄欄位 UDM 對應 邏輯
ClientIP principal.asset.ip 直接從「ClientIP」欄位對應。
ClientIP principal.ip 直接從「ClientIP」欄位對應。
description security_result.description 直接從「description」欄位對應。
DomainName target.asset.hostname 直接從「DomainName」欄位對應。
DomainName target.hostname 直接從 DomainName 欄位對應。
EntityPath target.url 直接從「EntityPath」欄位對應。
host principal.asset.hostname 直接從 host 欄位對應。
host principal.hostname 直接從 host 欄位對應。從 ts 欄位複製，並剖析為時間戳記。由剖析器邏輯根據 principal_mid_present、target_mid_present 和 principal_user_present 的存在與否判斷。可能的值：NETWORK_CONNECTION、USER_UNCATEGORIZED、STATUS_UPDATE、GENERIC_EVENT。硬式編碼為「Cohesity」。
product_event_type metadata.product_event_type 直接從 product_event_type 欄位對應。硬式編碼為「COHESITY」。
pid principal.process.pid 直接從「pid」欄位對應。
Protocol network.application_protocol 直接從 Protocol 欄位對應，並轉換為大寫。
RecordID additional.fields (鍵：「RecordID」，值：RecordID) 直接從 RecordID 欄位對應，並巢狀內嵌於 additional.fields 下方。
RequestType security_result.detection_fields (鍵：「RequestType」，值：RequestType) 直接從 RequestType 欄位對應，並巢狀內嵌於 security_result.detection_fields 下方。
Result security_result.summary 直接從「Result」欄位對應。
sha_value additional.fields (鍵："SHA256"，值：sha_value) 直接從 sha_value 欄位對應，巢狀結構位於 additional.fields 下方。
target_ip target.asset.ip 直接從「target_ip」欄位對應。
target_ip target.ip 直接從「target_ip」欄位對應。
target_port target.port 直接從 target_port 欄位對應，並轉換為整數。
Timestamp metadata.collected_timestamp 系統會將 Timestamp 欄位剖析為時間戳記，然後直接對應。
ts events.timestamp 系統會將 ts 欄位剖析為時間戳記，然後直接對應。
UserID principal.user.userid 直接從 UserID 欄位對應，並轉換為字串。
UserName principal.user.user_display_name 直接從「UserName」欄位對應。
UserSID principal.user.windows_sid 直接從「UserSID」欄位對應。

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。