收集 ntopng 日志

此解析器可提取 SYSLOG 或 JSON 格式的 ntopng 网络监控日志。它会解析日志消息，将相关字段转换为 UDM 格式，并使用产品和供应商名称等元数据丰富事件。解析器还会处理嵌套的 JSON 结构，并将特定的 ntopng 字段映射到 UDM 网络事件，包括流量提醒和用户资源访问。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例。
• 对 ntopng 的特权访问权限。

设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称，例如 Ntopng 日志。
5. 选择 Webhook 作为来源类型。
6. 选择 Ntopng 作为日志类型。
7. 点击下一步。
8. 可选：为以下输入参数指定值：
   • 拆分定界符：用于分隔日志行的定界符，例如 \n。
9. 点击下一步。
10. 在最终确定界面中查看 Feed 配置，然后点击提交。
11. 点击生成密钥，生成用于对此 Feed 进行身份验证的密钥。
12. 复制并存储密钥。您无法再次查看此密钥。如有需要，您可以重新生成新的密钥，但此操作会使之前的密钥失效。
13. 在详细信息标签页中，从端点信息字段复制 Feed 端点网址。您需要在客户端应用中指定此端点网址。
14. 点击完成。

为 webhook Feed 创建 API 密钥

1. 前往 Google Cloud 控制台 > 凭据。

   转到“凭据”页面

2. 点击创建凭据，然后选择 API 密钥。

3. 限制对 Google Security Operations API 的 API 密钥访问权限。

指定端点网址

1. 在客户端应用中，指定 Webhook Feed 中提供的 HTTPS 端点网址。

2. 通过在自定义标头中以以下格式指定 API 密钥和密钥，启用身份验证：

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   建议：将 API 密钥指定为标头，而不是在网址中指定。

3. 如果您的 Webhook 客户端不支持自定义标头，您可以使用以下格式的查询参数指定 API 密钥和密钥：

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   替换以下内容：

   • ENDPOINT_URL：Feed 端点网址。
   • API_KEY：用于向 Google Security Operations 进行身份验证的 API 密钥。
   • SECRET：您为验证 Feed 而生成的密钥。

在 ntopng 上为 Google SecOps 配置 Webhook

1. 登录 ntopng 网页界面。
2. 从下拉菜单中选择系统菜单。
3. 依次前往通知 > 端点。
4. 点击 添加 。
5. 为以下输入参数指定值：
   • 端点名称：提供一个具有描述性的唯一名称（例如 Google SecOps）。
   • 端点类型：从列表中选择 Webhook。
   • 网络钩子网址：输入 Google SecOps ENDPOINT_URL，其中包含 API_KEY 和 SECRET。
6. 点击 Add（添加）。
7. 依次前往通知 > 接收者。
8. 点击 添加 。
9. 为以下输入参数指定值：
   • Recipient Name（收件人名称）：提供一个独一无二的描述性名称（例如 Google SecOps）。
   • 选择端点：选择之前创建的端点。
   • 严重程度：选择要发送给 Google SecOps 的严重程度（例如信息、警告和错误）。
   • 类别过滤条件：选择要发送到 Google SecOps 的内容。
10. 点击测试收件人以验证连接。
11. 点击添加以保存 webhook。

配置 ntopng 网络钩子资源订阅者

1. 前往池。

2. 选择要分享其事件的资源。

3. 点击操作列中的铅笔图标。

4. 点击收件人下拉菜单。

5. 选择 Google SecOps Webhook 收件人。

6. 点击修改以保存配置。

7. 对其他资源重复此过程。

UDM 映射表

更新日志

查看相应解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。