Recolha registos da Cloudflare

Este documento explica como ingerir registos do Cloudflare no Google Security Operations através de um webhook (destino HTTP) ou do Google Cloud Storage. A Cloudflare gera dados operacionais sob a forma de registos para DNS, HTTP, auditoria, confiança zero e CASB. Esta integração permite-lhe enviar estes registos para o Google SecOps para análise e monitorização. O analisador inicializa primeiro um conjunto de campos vazios e, em seguida, analisa os registos do Cloudflare formatados em JSON, ignorando todas as mensagens que não sejam JSON válidos. Em seguida, o código usa a lógica condicional com base na presença e nos valores de campos específicos para determinar o produto e o tipo de evento do Cloudflare, preenchendo os campos do modelo de dados unificado (UDM) em conformidade.

Antes de começar

Certifique-se de que tem os seguintes pré-requisitos:

• Instância do Google SecOps.
• Conta do Cloudflare Enterprise com o LogPush ativado.
• Para o método de webhook: acesso privilegiado à Google Cloud consola.
• Para o método do Google Cloud Storage: acesso privilegiado ao Google Cloud Storage.

Método 1: configure a exportação de registos do Cloudflare através do webhook (destino HTTP)

Este método permite-lhe fazer stream dos registos do Cloudflare diretamente para o Google SecOps sem armazenamento intermédio.

Configure um feed de webhook no Google SecOps

1. Aceda a Definições do SIEM > Feeds.
2. Clique em Adicionar novo.
3. No campo Nome do feed, introduza um nome para o feed (por exemplo, Cloudflare Webhook).
4. Selecione Webhook como o Tipo de origem.
5. Selecione Cloudflare como o Tipo de registo.
6. Clicar em Seguinte.
7. Especifique valores para os seguintes parâmetros de entrada:
   • Delimitador de divisão: \n.
   • Espaço de nomes do recurso: o espaço de nomes do recurso.
   • Etiquetas de carregamento: a etiqueta a aplicar aos eventos deste feed.
8. Clicar em Seguinte.
9. Reveja a nova configuração do feed no ecrã Finalizar e, de seguida, clique em Enviar.
10. Clique em Gerar chave secreta para gerar uma chave secreta para autenticar este feed.
11. Copie e guarde a chave secreta, uma vez que não pode ver este segredo novamente.
12. Aceda ao separador Detalhes.
13. Copie o URL do ponto final do feed do campo Informações do ponto final.
14. Clique em Concluído.

Crie uma chave da API para o feed de webhook

1. Aceda a Google Cloud console > APIs e serviços > Credenciais.
2. Clique em Criar credenciais e, de seguida, selecione Chave de API.
3. Clique em Editar chave da API.
4. Em Restrições da API, selecione Restringir chave.
5. Selecione API Google SecOps na lista.
6. Clique em Guardar.
7. Copie o valor da chave da API.

Configure o destino HTTP do Cloudflare LogPush

1. Inicie sessão no painel de controlo da Cloudflare.
2. Selecione a conta empresarial ou o domínio que quer usar com o LogPush.
3. Aceda a Analytics e registos > Logpush.
4. Clique em Criar uma tarefa Logpush.
5. Em Selecionar um destino, escolha Destino HTTP.

6. Introduza o URL do ponto final HTTP com parâmetros de autenticação:

   <ENDPOINT_URL>?header_X-goog-api-key=<API_KEY>&header_X-Webhook-Access-Key=<SECRET_KEY>
   

   Substitua o seguinte:

   • <ENDPOINT_URL>: o URL do ponto final do feed do Google SecOps.
   • <API_KEY>: a chave da API da Google Cloud consola (codificada no URL se contiver carateres especiais).
   • <SECRET_KEY>: a chave secreta do feed do webhook (com URL codificado se contiver carateres especiais).

7. Clique em Continuar.

8. Selecione o conjunto de dados a enviar (por exemplo, pedidos HTTP, DNS, auditoria, confiança zero, CASB).

9. Configure a tarefa logpush:

   • Introduza o Nome da tarefa.
   • Opcional: em Se os registos corresponderem, configure os filtros.
   • Em Enviar os seguintes campos, selecione os campos a incluir.
   • Escolha o formato de data/hora (RFC3339 recomendado).
   • Configure a taxa de amostragem, se necessário.

10. Clique em Enviar para criar a tarefa logpush.

Valide a integração de webhook

Após a configuração, os registos devem aparecer no Google SecOps em poucos minutos. Para validar:

1. Aceda a Investigação > Pesquisa SIEM.
2. Pesquise registos com a etiqueta de carregamento configurada.
3. Confirme se os registos do Cloudflare estão a ser analisados corretamente.

Método 2: configure a exportação de registos da Cloudflare através do Google Cloud Storage

Configure a Cloudflare para enviar registos para o mesmo, o que envolve conceder à Cloudflare as autorizações necessárias.

Crie um Google Cloud recipiente

1. Inicie sessão na Google Cloud consola.
2. Aceda à página Contentores do Cloud Storage.
3. Clique em Criar.
4. Na página Criar um contentor, introduza as informações do contentor:
   • Nome: introduza um nome exclusivo que cumpra os requisitos do nome do contentor (por exemplo, cloudflare-data).
   • Tipo de localização: selecione um tipo de localização e uma região.
   • Para ativar o espaço de nomes hierárquico, clique na seta de expansão para expandir Otimizar para cargas de trabalho orientadas para ficheiros e com grande volume de dados e, de seguida, selecione Ativar espaço de nomes hierárquico neste contentor.
5. Clique em Criar.

Conceda autorizações ao contentor

1. Na consola do Cloud Storage, selecione o contentor que criou anteriormente.
2. Clique no separador Autorizações.
3. Clique em Conceder acesso.
4. Adicione a conta logpush@cloudflare-data.iam.gserviceaccount.com com a autorização Administrador de objetos de armazenamento.
5. Clique em Guardar.

Configure o LogPush da Cloudflare para o Google Cloud Storage

1. Inicie sessão no painel de controlo da Cloudflare.
2. Selecione a conta empresarial ou o domínio que quer usar com o LogPush.
3. Aceda a Analytics e registos > Logpush.
4. Clique em Criar uma tarefa Logpush.
5. Em Selecionar um destino, escolha Google Cloud Storage.
6. Introduza o caminho do contentor do Google Cloud Storage (por exemplo, gs://cloudflare-data/logs/).

7. Clique em Continuar.

8. Introduza o token de propriedade e clique em Continuar.

9. Selecione o conjunto de dados a enviar para o armazenamento.

10. Configure a tarefa logpush:

    • Introduza o Nome da tarefa.
    • Em Se os registos corresponderem, pode selecionar os eventos a incluir ou remover dos seus registos.
    • Em Enviar os seguintes campos, escolha os registos a enviar.
    • Escolha o formato da data/hora (RFC 339 recomendado).
    • Configure a taxa de amostragem, se necessário.

11. Clique em Enviar.

Configure um feed no Google SecOps para carregar registos da Cloudflare a partir do Google Cloud Storage

1. Aceda a Definições do SIEM > Feeds.
2. Clique em Adicionar novo.
3. No campo Nome do feed, introduza um nome para o feed (por exemplo, Cloudflare GCS Logs).
4. Selecione Google Cloud Storage V2 como Tipo de origem.
5. Selecione Cloudflare como o Tipo de registo.
6. Clique em Obter conta de serviço.
7. Clicar em Seguinte.

8. Especifique valores para os seguintes parâmetros de entrada:

   • URI do contentor de armazenamento: Google Cloud URL do contentor no formato gs://my-bucket/<value>/. Este URL tem de terminar com uma barra invertida (/).
   • Opções de eliminação de origens: selecione a opção de eliminação de acordo com a sua preferência.
   • Idade máxima do ficheiro: inclui ficheiros modificados no último número de dias. A predefinição é 180 dias.
   • Espaço de nomes do recurso: o espaço de nomes do recurso.
   • Etiquetas de carregamento: a etiqueta a aplicar aos eventos deste feed.

9. Clicar em Seguinte.

10. Reveja a nova configuração do feed no ecrã Finalizar e, de seguida, clique em Enviar.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.