Coletar registros do CyberX

Este documento descreve como coletar registros do CyberX usando um encaminhador do Google Security Operations.

Para mais informações, consulte Visão geral da ingestão de dados no Google Security Operations.

Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de ingestão CyberX.

Configurar o CyberX

1. Faça login na UI da CyberX.
2. Na UI do CyberX, selecione Encaminhamento e clique em Criar regra de encaminhamento.

3. Para selecionar filtros de notificações, faça o seguinte:

   • Na seção Protocolos, selecione os protocolos necessários ou clique em Todos para selecionar todos os protocolos.

   • Na lista Gravidade, selecione a menor gravidade dos alertas a serem enviados.

     Por exemplo, alertas críticos e graves são enviados usando notificações se você selecionar a gravidade Grave.

   • Na seção Mecanismos, selecione os mecanismos necessários ou clique em Todos para selecionar todos.

4. Clique em Adicionar para incluir um novo método de notificação.

5. Na lista Ação, selecione um tipo de ação entre as opções disponíveis.

   Se você adicionar mais de uma ação, vários métodos de notificação poderão ser criados para cada regra.

6. Com base na ação selecionada, especifique os detalhes necessários nos campos apropriados. Por exemplo, se você selecionou Enviar para o servidor SYSLOG (CEF), faça o seguinte:

   • No campo Host, insira o endereço do servidor syslog.
   • No campo Fuso horário, insira o fuso horário do servidor syslog.
   • No campo Porta, insira a porta do servidor syslog.

7. Clique em Enviar.

   Da mesma forma, para outras ações que você selecionar, especifique os detalhes necessários.

Configurar o encaminhador do Google Security Operations para ingerir registros do CyberX

1. Selecione Configurações do SIEM > Encaminhadores.
2. Clique em Adicionar novo encaminhador.
3. No campo Nome do encaminhador, insira um nome exclusivo para ele.
4. Clique em Enviar e em Confirmar. O encaminhador é adicionado, e a janela Adicionar configuração do coletor aparece.
5. No campo Nome do coletor, digite um nome exclusivo para ele.
6. Selecione Microsoft CyberX como o Tipo de registro.
7. Selecione Syslog como o Tipo de coletor.
8. Configure os seguintes parâmetros de entrada:
   • Protocolo: especifique o protocolo de conexão que o coletor usa para detectar dados do syslog.
   • Endereço: especifique o endereço IP ou o nome do host de destino em que o coletor reside e aguarda dados do syslog.
   • Porta: especifique a porta de destino em que o coletor reside e detecta dados do syslog.
9. Clique em Enviar.

Para mais informações sobre os encaminhadores do Google Security Operations, consulte Gerenciar configurações de encaminhador na interface do Google Security Operations.

Se você tiver problemas ao criar encaminhadores, entre em contato com o suporte do Google Security Operations.

Referência de mapeamento de campos

Esse analisador processa registros do CyberX no formato SYSLOG+KV, transformando-os em UDM. Ele inicializa vários campos com strings vazias, faz várias substituições para renomear e formatar pares de chave-valor no campo de mensagem e usa filtros grok e kv para extrair dados estruturados em campos do UDM. O analisador prioriza a extração de dados de chave-valor e volta para padrões grok, se necessário, enriquecendo o evento da UDM com metadados, principal, destino, rede e informações de resultado de segurança.

Tabela de mapeamento da UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.