收集 Cribl Stream 日志

解析器版本： 1.0

支持：

本文档介绍了如何使用内置的 Google SecOps 目的地将 Cribl Stream 日志注入到 Google Security Operations。Cribl Stream 以日志、指标和事件的形式生成运营数据。通过此集成，您可以将这些日志发送到 Google SecOps 以进行分析和监控。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例。
  • 对 Cribl Stream 管理控制台或集群的访问权限。
  • Google Cloud 服务帐号凭证。

获取 Google SecOps 凭据

如需向 Google SecOps 验证 Cribl Stream 的身份，请选择以下方法之一：

  • 新部署：使用 Chronicle API（方法 1）。
  • 旧版部署：在提取 API 于 2027 年 7 月 20 日停用之前，继续使用提取身份验证文件（方法 2）。
  1. 登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
  2. 依次前往 IAM 和管理 > 服务账号。
  3. 点击创建服务账号 。
  4. 提供以下配置详细信息：
    • 服务账号名称：输入账号的名称（例如 cribl-stream-ingest）。
    • 服务账号说明：输入说明（例如 Cribl Stream log ingestion）。
  5. 点击创建并继续 。
  6. 在向此服务帐号授予对项目的访问权限 部分，点击选择角色 ，然后选择 Chronicle Editor 。
  7. 点击继续 ，然后点击完成 。
  8. 点击您创建的服务帐号，然后前往密钥 标签页。
  9. 依次点击添加密钥 > 创建新密钥。
  10. 选择 JSON ，然后点击创建 。密钥文件会下载到您的计算机上。
  11. 安全地保存密钥文件，以便在 Cribl Stream 目的地配置中使用。

方法 2：下载提取身份验证文件（旧版）

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。
  3. 下载提取身份验证文件 。
  4. 安全地保存该文件，以便在 Cribl Stream 目的地配置中使用。

在 Cribl Stream 中配置 Google SecOps 目的地

  1. 登录 Cribl Stream 管理控制台 。
  2. 依次前往数据 > 目的地。
  3. 点击添加目的地 。
  4. 选择 Google Cloud > 安全运维 (SecOps)。
  5. 提供以下配置详细信息：
    • 输出 ID：输入一个唯一名称（例如 google-secops-destination）。
    • 说明：输入此目的地的说明。
    • 发送事件时采用的格式：选择非结构化（建议用于标准日志解析）。
    • API 版本：选择 V2。
    • 默认日志类型：从列表中选择 CRIBL_STREAM 。
    • 可选：命名空间：输入命名空间以标识来自此来源的日志（例如 cribl-logs）。
  6. 在身份验证 部分中：
    • 身份验证方法：服务账号 (JSON)。
    • 服务账号密钥：上传或粘贴 JSON 凭据文件内容。
  7. 在处理 部分中：
    • 日志文本字段：可以选择输入 _raw。如果未设置，Cribl 将发送整个事件的 JSON 表示形式；仅当您实际在此字段中存储原始文本时，才使用 _raw。
  8. 点击保存 。

创建用于发送 Cribl Stream 日志的路由

  1. 依次前往数据 > 路由。
  2. 点击添加路线 。
  3. 提供以下配置详细信息：
    • 路由名称：输入一个有意义的名称（例如 cribl-logs-to-secops）。
    • 过滤条件：输入 source.match(/cribl.*/) 以捕获 Cribl 内部日志 （来自 Cribl 本身的运营日志）。
    • 输出：选择在上一个部分中创建的 Google SecOps 目的地。
    • 流水线：选择 passthru 或创建自定义流水线以丰富日志。
  4. 点击保存 。
  5. 提交并部署 配置以应用更改。

配置日志过滤和丰富（可选）

如果您需要在将 Cribl Stream 日志发送到 Google SecOps 之前对其进行过滤或丰富，请执行以下操作：

  1. 在 Cribl Stream 中，依次前往 数据 > 流水线 。
  2. 点击添加流水线 。
  3. 提供以下配置详细信息：
    • 流水线 ID：输入一个有意义的名称（例如 cribl-log-processing）。
    • 说明：输入流水线的说明。
  4. 根据需要添加函数：
    • Eval：添加元数据字段或修改现有字段。
    • Regex Extract：从日志消息中提取特定信息。
    • Drop：移除不必要的事件或字段。
    • Mask：隐去敏感信息。
  5. 点击保存 。
  6. 更新您的路由以使用此流水线，而不是 passthru 。

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。