收集 Wazuh 記錄

這個 Wazuh 剖析器會擷取 SYSLOG 和 JSON 格式的記錄，將欄位正規化為通用格式，並以 Wazuh 專屬中繼資料擴充欄位。接著，剖析器會根據 event_type 和 rule_id 欄位，使用一系列條件陳述式，將原始記錄資料對應至適當的 UDM 事件類型和欄位，處理 Wazuh 生態系統中的各種記錄格式和極端案例。

事前準備

請確認您已完成下列事前準備：

• Google SecOps 執行個體。
• 運作中的 Wazuh 執行個體。
• Wazuh 設定檔的特殊存取權。

設定動態饋給

如要設定動態消息，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態饋給」。
3. 在下一頁，點按「設定單一動態饋給」。
4. 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給名稱，例如 Wazuh Logs。
5. 「Source type」(來源類型) 請選取「Webhook」。
6. 選取「Wazuh」做為「Log type」(記錄類型)。
7. 點選「下一步」。
8. 選用：指定下列輸入參數的值：
   • Split delimiter：用於分隔記錄行的分隔符號，例如 \n。
9. 點選「下一步」。
10. 在「完成」畫面中檢查動態消息設定，然後按一下「提交」。
11. 按一下「產生密鑰」，產生用於驗證這個動態饋給的密鑰。
12. 複製並儲存密鑰。您無法再次查看這組密鑰。如有需要，您可以重新產生新的密鑰，但這項操作會使先前的密鑰失效。
13. 在「詳細資料」分頁中，從「端點資訊」欄位複製動態消息端點網址。您必須在用戶端應用程式中指定這個端點網址。
14. 按一下「完成」。

為 Webhook 動態饋給建立 API 金鑰

1. 依序前往「控制台」**Google Cloud >「憑證」。

   前往「憑證」

2. 按一下 [Create credentials] (建立憑證)，然後選取 [API key] (API 金鑰)。

3. 限制 API 金鑰存取 Google Security Operations API。

指定端點網址

1. 在用戶端應用程式中，指定 Webhook 動態饋給提供的 HTTPS 端點網址。

2. 如要啟用驗證，請在自訂標頭中指定 API 金鑰和密鑰，格式如下：

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   建議：請將 API 金鑰指定為標頭，而非網址。如果 Webhook 用戶端不支援自訂標頭，您可以使用下列格式的查詢參數指定 API 金鑰和密鑰：

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

更改下列內容：

• ENDPOINT_URL：動態饋給端點網址。
• API_KEY：用於向 Google Security Operations 驗證身分的 API 金鑰。
• SECRET：您為驗證動態饋給而產生的密鑰。

設定 Wazuh Cloud Webhook

請完成下列步驟，設定 Wazuh Cloud Webhook：

1. 登入 Wazuh Cloud。
2. 前往「設定」，位於「伺服器管理」下方的左側窗格選單中。
3. 按一下「Edit configuration」。

4. 在設定的 <integration> 部分中，新增下列整合區塊。

   • 如果沒有這個部分，請複製整個含有 <integration> 的區塊來建立。
   • 將預留位置值替換為實際的 Google SecOps 詳細資料：

<integration>
  <name>google-chronicle</name>
  <hook_url>https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs?key=<API_KEY>&secret=<SECRET></hook_url>
  <alert_format>json</alert_format>
  <level>0</level>  <!-- Adjust the level as needed -->
</integration>

• CHRONICLE_REGION：Google SecOps 區域 (例如 us、europe-west1)。
• GOOGLE_PROJECT_NUMBER：您的 Google Cloud 專案編號。
• LOCATION：您的 Google SecOps 區域 (例如 us、europe-west1)。
• CUSTOMER_ID：您的 Google SecOps 客戶 ID。
• FEED_ID：Google SecOps 動態饋給的 ID。
• API_KEY：託管 Google SecOps 的 Google Cloud API 金鑰。
• SECRET：Google SecOps 動態饋給的密鑰。
• alert_format：設為 json，確保與 Google SecOps 相容。
• level：指定要轉送的最低警告層級。0 會傳送所有快訊。

1. 點選「儲存」按鈕。
2. 按一下「Restart wazuh-manager」。

設定 Wazuh 地端部署 Webhook

請按照下列步驟設定 Wazuh 地端部署 Webhook：

1. 存取內部部署的 Wazuh 管理員。
2. 前往 /var/ossec/etc/ 目錄。
3. 使用文字編輯器 (例如 nano、vim) 開啟 ossec.conf 檔案。

4. 在設定的 <integration> 區段中新增下列整合區塊。

   • 如果沒有這個區段，請複製包含 <integration> 的整個區塊來建立。
   • 將預留位置值替換為實際的 Google SecOps 詳細資料：

   <integration>
      <name>google-chronicle</name>
      <hook_url>https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs?key=<API_KEY>&secret=<SECRET></hook_url>
      <alert_format>json</alert_format>
      <level>0</level>  <!-- Adjust the level as needed -->
   </integration>
   

   • CHRONICLE_REGION：Google SecOps 區域 (例如 us、europe-west1)。
   • GOOGLE_PROJECT_NUMBER：您的 Google Cloud 專案編號。
   • LOCATION：您的 Google SecOps 區域 (例如 us、europe-west1)。
   • CUSTOMER_ID：您的 Google SecOps 客戶 ID。
   • FEED_ID：Google SecOps 動態饋給的 ID。
   • API_KEY：託管 Google SecOps 的 Google Cloud API 金鑰。
   • SECRET：Google SecOps 動態饋給的密鑰。
   • alert_format：設為 json，確保與 Google SecOps 相容。
   • level：指定要轉送的最低警告層級。0 會傳送所有快訊。

5. 重新啟動 Wazuh 管理工具，套用變更：

   sudo systemctl restart wazuh-manager
   

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。