收集 Red Canary EDR 日志

本文档介绍了如何使用 Google Cloud Storage V2 将 Red Canary EDR 日志注入到 Google Security Operations。

Red Canary 是一个托管式检测和响应 (MDR) 平台，可提供端点威胁检测和调查服务。由于 Red Canary 会将遥测数据和检测数据导出为文件，因此您必须将这些日志上传到 Google Cloud Storage (GCS) 存储桶，然后配置 Google SecOps Feed 以注入这些日志。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• 启用了结算功能的 Google Cloud 项目
• 对 Red Canary 控制台的特权访问权限，并拥有配置数据导出功能的权限
• 访问 Red Canary EDR 日志文件

创建 Google Cloud Storage 存储桶

1. 前往 Google Cloud 控制台。
2. 选择您的项目或创建一个新项目。
3. 在导航菜单中，依次前往 Cloud Storage > 存储桶。
4. 点击创建存储分区。

5. 提供以下配置详细信息：

   设置	值
   为存储桶命名	输入一个全局唯一的名称（例如 redcanary-edr-logs）
   位置类型	根据您的需求进行选择（区域级、双区域级、多区域级）
   位置	选择离您的 Google SecOps 实例最近的位置（例如 us-central1）
   存储类别	标准（建议用于频繁访问的日志）
   访问权限控制	均匀（推荐）
   保护工具	可选：启用对象版本控制或保留政策

6. 点击创建。

将 Red Canary EDR 日志导出到 GCS

Red Canary 提供 Canary Exporter 工具（Docker 容器）用于批量导出数据，还提供 webhook 自动化功能，用于将数据推送到外部目标位置。

选项 A：使用 Canary 导出器

1. 在可访问 GCS 的主机上部署 Canary Exporter Docker 容器。
2. 使用 Red Canary API 凭据配置导出器。
3. 将导出目的地设置为本地目录或 AWS S3。
4. 使用 Cloud Run 函数或 Google Cloud Console 将导出的文件从本地目录上传到 GCS。

方案 B：配置 webhook 自动化

1. 在 Red Canary 门户中，依次前往集成 > 自动化。
2. 创建一个网络钩子，用于将检测数据发送到 Cloud Run 函数端点，该端点会将数据写入 GCS。

检索 Google SecOps 服务账号

1. 前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称（例如 Red Canary EDR Logs）。
5. 选择 Google Cloud Storage V2 作为来源类型。
6. 选择 Red Canary 作为日志类型。
7. 点击获取服务账号。

8. 系统会显示一个唯一的服务账号电子邮件地址，例如：

   chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
   

9. 复制此电子邮件地址，以便在下一步中使用。

向 Google SecOps 服务账号授予 IAM 权限

Google SecOps 服务账号需要您的 GCS 存储桶的 Storage Object Viewer 角色。

1. 前往 Cloud Storage > 存储桶。
2. 点击您的存储桶名称（例如 redcanary-edr-logs）。
3. 前往权限标签页。
4. 点击授予访问权限。
5. 提供以下配置详细信息：
   • 添加主账号：粘贴 Google SecOps 服务账号电子邮件地址（例如 chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com）。
   • 分配角色：选择 Storage Object Viewer。

6. 点击保存。

配置 Google SecOps Feed

1. 前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称（例如 Red Canary EDR Logs）。
5. 选择 Google Cloud Storage V2 作为来源类型。
6. 选择 Red Canary 作为日志类型。
7. 点击下一步。

8. 为以下输入参数指定值：

   • 存储桶网址：输入 GCS 存储桶 URI：

     gs://redcanary-edr-logs/redcanary-logs/
     

     • 将 redcanary-edr-logs 替换为您的 GCS 存储桶名称
     • 将 redcanary-logs 替换为您配置的前缀路径

   • 来源删除选项：根据您的偏好选择删除选项：

     • 永不删除文件：转移后永不删除任何文件（建议用于测试）。

     • 删除已转移的文件和空目录：成功转移后删除文件和空目录。

   • 文件存在时间上限（天）：纳入在过去指定天数内修改过的文件（默认值为 180 天）。

   • 资源命名空间：资源命名空间。

   • 注入标签：要应用于此 Feed 中事件的标签。

9. 点击下一步。

10. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

UDM 映射表

更新日志

查看相应解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。