收集 Halcyon Anti-Ransomware 記錄

本文說明如何使用 Google Cloud Storage V2，將 Halcyon Anti-Ransomware 記錄檔擷取至 Google Security Operations。

Halcyon 是一種反勒索軟體平台，可運用 AI 技術偵測、防範及復原勒索軟體攻擊。並在偵測到勒索軟體事件、加密嘗試和復原動作時產生快訊。剖析器會將 JSON 格式的記錄欄位對應至統合式資料模型 (UDM)，並處理檔案作業、使用者活動和安全性結果等事件類型。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• 已啟用 Cloud Storage API 的 GCP 專案
• 有權建立及管理 GCS bucket 和 IAM 政策
• 具備記錄檔匯出功能的 Halcyon 控制台特殊存取權

建立 Google Cloud Storage bucket

1. 前往 Google Cloud 控制台。
2. 選取專案或建立新專案。
3. 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
4. 按一下「建立值區」。

5. 請提供下列設定詳細資料：

   設定	值
   為 bucket 命名	輸入全域不重複的名稱 (例如 halcyon-logs)
   位置類型	根據需求選擇 (區域、雙區域、多區域)
   位置	選取位置 (例如 us-central1)
   儲存空間級別	標準 (建議用於經常存取的記錄)
   存取控管	統一 (建議)
   保護工具	選用：啟用物件版本管理或資料保留政策

6. 點選「建立」。

將 Halcyon 記錄匯出至 Google Cloud Storage

Halcyon 支援以 JSON 格式匯出記錄資料。請使用下列其中一種方法，將記錄檔傳送至 GCS。

選項 A：使用 Halcyon API 匯出記錄並上傳至 GCS

1. 登入 Halcyon 管理控制台。
2. 依序前往「Settings」>「API Access」，然後產生具有讀取權限的 API 金鑰。
3. 複製並儲存「API Key」。
4. 使用排定的指令碼或 Cloud Run 函式呼叫 Halcyon REST API、擷取事件記錄，並以 JSON 格式寫入 GCS。

選項 B：設定 SIEM 整合並轉送至 GCS

1. 登入 Halcyon 管理控制台。
2. 依序前往「設定」>「整合」>「SIEM」。
3. 設定記錄匯出目的地，將 JSON 格式的事件寫入本機目錄或中繼儲存空間。

4. 使用 Cloud Run 函式，定期將記錄上傳至 GCS bucket。

   • 確認匯出的檔案為 JSON 格式。
   • 每個檔案應包含一或多個事件記錄。

擷取 Google SecOps 服務帳戶

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「動態饋給」。
3. 按一下「新增動態消息」。
4. 按一下「設定單一動態饋給」。
5. 選取「Google Cloud Storage V2」做為「來源類型」。
6. 選取「Halcyon Anti Ransomware」做為「記錄類型」。

7. 按一下「取得服務帳戶」。系統會顯示專屬服務帳戶電子郵件地址，例如：

   chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
   

8. 複製這個電子郵件地址，後續步驟會用到。

將 IAM 權限授予 Google SecOps 服務帳戶

1. 依序前往「Cloud Storage」>「Buckets」。
2. 按一下 bucket 名稱。
3. 前往「權限」分頁標籤。
4. 按一下「授予存取權」。
5. 請提供下列設定詳細資料：
   • 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址。
   • 指派角色：選取「Storage 物件檢視者」。

6. 按一下 [儲存]。

   • 如果您打算使用刪除選項 (刪除轉移的檔案)，請授予 Storage 物件管理員角色，而非 Storage 物件檢視者。

在 Google SecOps 中設定動態饋給，擷取 Halcyon Anti-Ransomware 記錄

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Halcyon Anti-Ransomware logs)。
5. 選取「Google Cloud Storage V2」做為「來源類型」。
6. 選取「Halcyon Anti Ransomware」做為「記錄類型」。
7. 點選「下一步」。

8. 指定下列輸入參數的值：

   欄位	值
   儲存空間 bucket URI	gs://halcyon-logs/halcyon/events/
   刪除來源的選項	根據偏好選取刪除選項
   檔案存在時間上限 (天)	預設值為 180 天
   資產命名空間	資產命名空間
   擷取標籤	要套用至這個動態饋給事件的標籤

   • 請將 halcyon-logs 替換成實際的 GCS 值區名稱。
   • 請務必在 URI 結尾加上尾端斜線 (/)。

9. 點選「下一步」。

10. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。