收集 Cribl Stream 記錄

剖析器版本：1.0

支援：

本文說明如何使用內建的 Google SecOps 目的地，將 Cribl Stream 記錄檔擷取至 Google Security Operations。Cribl Stream 會以記錄、指標和事件的形式產生作業資料。整合這項資源，即可將這些記錄傳送至 Google SecOps 進行分析和監控。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體。
  • 可存取 Cribl Stream 管理控制台或叢集。
  • Google Cloud 服務帳戶憑證。

取得 Google SecOps 憑證

如要向 Google SecOps 驗證 Cribl Stream，請選擇下列其中一種方法：

  • 新部署作業：使用 Chronicle API (選項 1)。
  • 舊版部署作業：在 2027 年 7 月 20 日停用 Ingestion API 前，請繼續使用擷取驗證檔案 (選項 2)。
  1. 登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
  2. 依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
  3. 按一下「建立服務帳戶」。
  4. 提供下列設定詳細資料：
    • 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如 cribl-stream-ingest)。
    • 「服務帳戶說明」：輸入說明 (例如 Cribl Stream log ingestion)。
  5. 點按「Create and continue」(建立並繼續)。
  6. 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
  7. 依序點選「繼續」和「完成」。
  8. 按一下您建立的服務帳戶，然後前往「金鑰」分頁。
  9. 依序點選「新增金鑰」>「建立新的金鑰」。
  10. 選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
  11. 妥善儲存金鑰檔案，以便在 Cribl Stream 目的地設定中使用。

方法 2：下載擷取驗證檔案 (舊版)

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM Settings」 > 「Collection Agents」。
  3. 下載擷取驗證檔案。
  4. 請妥善儲存檔案，以用於 Cribl Stream 目的地設定。

在 Cribl Stream 中設定 Google SecOps 目的地

  1. 登入 Cribl Stream 管理主控台。
  2. 前往「資料」> 目的地。
  3. 按一下「新增目的地」。
  4. 依序選取「Google Cloud」>「資安營運 (SecOps)」。
  5. 提供下列設定詳細資料：
    • 輸出 ID：輸入不重複的名稱 (例如 google-secops-destination)。
    • 說明：輸入這個目的地的說明。
    • 傳送事件身分：選取「非結構化」 (建議用於標準記錄剖析)。
    • 「API version」：選取「V2」。
    • 預設記錄類型：從清單中選取「CRIBL_STREAM」。
    • 選用：「Namespace」(命名空間)：輸入命名空間，用於識別這個來源的記錄 (例如 cribl-logs)。
  6. 在「Authentication」(驗證) 部分：
    • 驗證方式：服務帳戶 (JSON)。
    • 服務帳戶金鑰：上傳或貼上 JSON 憑證檔案內容。
  7. 在「處理」部分：
    • 「Log text」(記錄文字) 欄位：可選擇輸入 _raw。如未設定，Cribl 會傳送整個事件的 JSON 表示法；只有在您確實將原始文字儲存在這個欄位時，才使用 _raw。
  8. 按一下 [儲存]。

建立傳送 Cribl Stream 記錄的路由

  1. 前往「資料」> 路徑。
  2. 按一下 [新增路徑]。
  3. 提供下列設定詳細資料：
    • 路線名稱：輸入有意義的名稱 (例如 cribl-logs-to-secops)。
    • 篩選器：輸入 source.match(/cribl.*/)，擷取 Cribl 內部記錄 (Cribl 本身的作業記錄)。
    • 輸出：選取上一節中建立的 Google SecOps 目的地。
    • Pipeline：選取「passthru」，或建立自訂 pipeline 來擴充記錄。
  4. 按一下 [儲存]。
  5. 提交及部署設定，套用變更。

設定記錄篩選和擴充功能 (選用)

如要在將 Cribl Stream 記錄傳送至 Google SecOps 前，先篩選或擴充記錄：

  1. 前往 Cribl Stream 中的「Data > Pipelines」。
  2. 按一下「新增管道」。
  3. 提供下列設定詳細資料：
    • Pipeline ID：輸入有意義的名稱 (例如 cribl-log-processing)。
    • 說明：輸入管道的說明。
  4. 視需要新增函式：
    • 評估：新增中繼資料欄位或修改現有欄位。
    • 規則運算式擷取：從記錄訊息中擷取特定資訊。
    • 捨棄：移除不必要的事件或欄位。
    • 遮蓋：遮蓋私密資訊。
  5. 按一下 [儲存]。
  6. 更新路徑，改用這個管道，而非 passthru。

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。