收集 CyberX 記錄

本文說明如何使用 Google Security Operations 轉送器收集 CyberX 記錄。

詳情請參閱「將資料擷取至 Google Security Operations 總覽」。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文中的資訊適用於具有 CyberX 攝入標籤的剖析器。

設定 CyberX

1. 登入 CyberX 使用者介面。
2. 在 CyberX 使用者介面中，選取「Forwarding」(轉送)，然後按一下「Create forwarding rule」(建立轉送規則)。

3. 如要選取通知的篩選條件，請按照下列步驟操作：

   • 在「通訊協定」部分中，選取所需通訊協定，或按一下「全部」選取所有通訊協定。

   • 在「嚴重性」清單中，選取要傳送的最低嚴重性快訊。

     舉例來說，如果選取「重大」嚴重程度，系統就會透過通知傳送重大和主要警示。

   • 在「引擎」部分中，選取所需引擎，或按一下「全部」選取所有引擎。

4. 按一下「新增」，新增通知方式。

5. 在「動作」清單中，從可用動作選取動作類型。

   如果新增多個動作，每項規則可以建立多種通知方法。

6. 根據所選動作，在適當的欄位中指定必要詳細資料。 舉例來說，如果您選取「傳送至 SYSLOG 伺服器 (CEF)」，請按照下列步驟操作：

   • 在「Host」(主機) 欄位中，輸入系統記錄伺服器地址。
   • 在「時區」欄位中，輸入系統記錄伺服器時區。
   • 在「Port」(通訊埠) 欄位中，輸入系統記錄伺服器通訊埠。

7. 按一下「提交」。

   同樣地，針對您選取的其他動作，請指定必要詳細資料。

設定 Google Security Operations 轉送器，以便擷取 CyberX 記錄

1. 依序選取「SIEM 設定」>「轉送器」。
2. 按一下「新增轉寄者」。
3. 在「轉寄者名稱」欄位中，輸入轉寄者的專屬名稱。
4. 依序點選「提交」和「確認」。轉送器新增完成後，系統會顯示「新增收集器設定」視窗。
5. 在「Collector name」(收集器名稱) 欄位中，輸入收集器的專屬名稱。
6. 選取「Microsoft CyberX」做為「記錄類型」。
7. 選取「Syslog」做為「收集器類型」。
8. 設定下列輸入參數：
   • 通訊協定：指定收集器用來監聽系統記錄資料的連線通訊協定。
   • 地址：指定收集器所在位置的目標 IP 位址或主機名稱，並監聽系統記錄資料。
   • 通訊埠：指定收集器所在位置的目標通訊埠，並監聽系統記錄檔資料。
9. 按一下「提交」。

如要進一步瞭解 Google Security Operations 轉送器，請參閱「透過 Google Security Operations 使用者介面管理轉送器設定」。

如果在建立轉寄者時遇到問題，請與 Google Security Operations 支援團隊聯絡。

欄位對應參考資料

這個剖析器會處理 SYSLOG+KV 格式的 CyberX 記錄，並將其轉換為 UDM。這個函式會將許多欄位初始化為空字串，執行多項替換作業，重新命名及格式化訊息欄位中的鍵值組，然後使用 grok 和 kv 篩選器，將結構化資料擷取至 UDM 欄位。剖析器會優先擷取鍵/值資料，並視需要改用 Grok 模式，以中繼資料、主體、目標、網路和安全性結果資訊豐富 UDM 事件。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。