收集 CyberX 日志

本文档介绍了如何使用 Google Security Operations 转发器收集 CyberX 日志。

如需了解详情，请参阅 Google Security Operations 数据注入概览。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 CyberX 注入标签的解析器。

配置 CyberX

1. 登录 CyberX 界面。
2. 在 CyberX 界面中，选择转发，然后点击创建转发规则。

3. 如需为通知选择过滤条件，请执行以下操作：

   • 在协议部分，选择所需的协议，或点击全部以选择所有协议。

   • 在严重程度列表中，选择要发送的提醒的最低严重程度。

     例如，如果您选择严重严重程度，系统会使用通知发送严重和主要警报。

   • 在引擎部分，选择所需的引擎，或点击全部以选择所有引擎。

4. 点击添加，即可添加新的通知方法。

5. 在操作列表中，从可用操作中选择一种操作类型。

   如果您添加了多项操作，则可以为每条规则创建多种通知方法。

6. 根据您选择的操作，在相应字段中指定所需的详细信息。 例如，如果您选择了发送到 SYSLOG 服务器 (CEF)，请执行以下操作：

   • 在主机字段中，输入 syslog 服务器地址。
   • 在时区字段中，输入 syslog 服务器时区。
   • 在端口字段中，输入 syslog 服务器端口。

7. 点击提交。

   同样，对于您选择的其他操作，请指定所需的详细信息。

配置 Google Security Operations 转发器以注入 CyberX 日志

1. 依次选择 SIEM 设置 > 转发器。
2. 点击添加新转发器。
3. 在转发器名称字段中，输入转发器的唯一名称。
4. 点击提交，然后点击确认。转发器已添加，系统会显示添加收集器配置窗口。
5. 在收集器名称字段中，为收集器输入一个唯一名称。
6. 选择 Microsoft CyberX 作为日志类型。
7. 选择 Syslog 作为收集器类型。
8. 配置以下输入参数：
   • 协议：指定收集器用于监听 syslog 数据的连接协议。
   • 地址：指定收集器所在的并监听 syslog 数据的目标 IP 地址或主机名。
   • 端口：指定收集器所在的并监听 syslog 数据的目标端口。
9. 点击提交。

如需详细了解 Google Security Operations 转发器，请参阅通过 Google Security Operations 界面管理转发器配置。

如果您在创建转发器时遇到问题，请与 Google Security Operations 支持团队联系。

字段映射参考

此解析器可处理 SYSLOG+KV 格式的 CyberX 日志，并将其转换为 UDM。它会将许多字段初始化为空字符串，执行多项替换操作以重命名和格式化消息字段中的键值对，然后使用 grok 和 kv 过滤器将结构化数据提取到 UDM 字段中。解析器会优先提取键值数据，并在必要时回退到 grok 模式，从而使用元数据、正文、目标、网络和安全结果信息来丰富 UDM 事件。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。