收集 Red Canary EDR 記錄

本文說明如何使用 Google Cloud Storage V2，將 Red Canary EDR 記錄檔擷取至 Google Security Operations。

Red Canary 是託管偵測與回應 (MDR) 平台，可提供端點威脅偵測和調查服務。由於 Red Canary 會將遙測和偵測資料匯出為檔案，因此您必須將這些記錄上傳至 Google Cloud Storage (GCS) bucket，然後設定 Google SecOps 資訊提供，以便擷取這些記錄。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• 已啟用計費功能的 Google Cloud 雲端專案
• 具備 Red Canary 控制台的特殊權限，可設定資料匯出
• 存取 Red Canary EDR 記錄檔

建立 Google Cloud Storage bucket

1. 前往 Google Cloud 控制台。
2. 選取專案或建立新專案。
3. 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
4. 按一下「建立值區」。

5. 請提供下列設定詳細資料：

   設定	值
   為 bucket 命名	輸入全域不重複的名稱 (例如 redcanary-edr-logs)
   位置類型	根據需求選擇 (區域、雙區域、多區域)
   位置	選取最接近 Google SecOps 執行個體的位置 (例如 us-central1)
   儲存空間級別	標準 (建議用於經常存取的記錄)
   存取控管	統一 (建議)
   保護工具	選用：啟用物件版本管理或資料保留政策

6. 點選「建立」。

將 Red Canary EDR 記錄檔匯出至 GCS

Red Canary 提供 Canary Exporter 工具 (Docker 容器)，可大量匯出資料，並透過 Webhook 自動將資料推送至外部目的地。

選項 A：使用 Canary Exporter

1. 在可存取 GCS 的主機上，部署 Canary Exporter Docker 容器。
2. 使用 Red Canary API 憑證設定匯出工具。
3. 將匯出目的地設為本機目錄或 AWS S3。
4. 使用 Cloud Run 函式或 Google Cloud 控制台，將匯出的檔案從本機目錄上傳至 GCS。

選項 B：設定 Webhook 自動化

1. 在 Red Canary 入口網站中，依序前往「Integrations」>「Automation」。
2. 建立將偵測資料傳送至 Cloud Run 函式端點的 Webhook，該端點會將資料寫入 GCS。

擷取 Google SecOps 服務帳戶

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Red Canary EDR Logs)。
5. 選取「Google Cloud Storage V2」做為「來源類型」。
6. 選取「Red Canary」做為「記錄類型」。
7. 按一下「取得服務帳戶」。

8. 系統會顯示專屬服務帳戶電子郵件地址，例如：

   chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
   

9. 複製這個電子郵件地址，以便在下一步中使用。

將 IAM 權限授予 Google SecOps 服務帳戶

Google SecOps 服務帳戶需要 GCS bucket 的「Storage 物件檢視者」角色。

1. 依序前往「Cloud Storage」>「Buckets」。
2. 點按 bucket 名稱 (例如 redcanary-edr-logs)。
3. 前往「權限」分頁標籤。
4. 按一下「授予存取權」。
5. 請提供下列設定詳細資料：
   • 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址 (例如 chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com)。
   • 指派角色：選取「Storage 物件檢視者」。

6. 按一下 [儲存]。

設定 Google SecOps 動態饋給

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Red Canary EDR Logs)。
5. 選取「Google Cloud Storage V2」做為「來源類型」。
6. 選取「Red Canary」做為「記錄類型」。
7. 點選「下一步」。

8. 指定下列輸入參數的值：

   • 儲存空間 bucket URL：輸入 GCS bucket URI：

     gs://redcanary-edr-logs/redcanary-logs/
     

     • 將 redcanary-edr-logs 替換為您的 GCS 值區名稱
     • 將 redcanary-logs 替換為您設定的前置字串路徑

   • 來源刪除選項：根據偏好設定選取刪除選項：

     • 一律不刪除檔案：移轉後一律不刪除任何檔案 (建議用於測試)。

     • 刪除已轉移的檔案和空白目錄：成功轉移後刪除檔案和空白目錄。

   • 檔案存在時間上限 (天)：包含在過去天數內修改的檔案 (預設為 180 天)。

   • 資產命名空間：資產命名空間。

   • 擷取標籤：要套用至這個動態饋給事件的標籤。

9. 點選「下一步」。

10. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。