收集 ntopng 日志

概览

此解析器可提取 SYSLOG 或 JSON 格式的 ntopng 网络监控日志。它会解析日志消息，将相关字段转换为 UDM 格式，并使用产品和供应商名称等元数据丰富事件。解析器还会处理嵌套的 JSON 结构，并将特定的 ntopng 字段映射到 UDM 网络事件，包括流量提醒和用户资源访问。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例。
• 对 ntopng 的特权访问权限。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称，例如 Ntopng 日志。
5. 选择 Webhook 作为来源类型。
6. 选择 Ntopng 作为日志类型。
7. 点击下一步。
8. 可选：为以下输入参数指定值：
   • 拆分分隔符：用于分隔日志行的分隔符，例如 \n。
9. 点击下一步。
10. 在最终确定界面中检查 Feed 配置，然后点击提交。
11. 点击生成密钥，生成用于对此 Feed 进行身份验证的密钥。
12. 复制并存储密钥。您将无法再次查看此密钥。如有需要，您可以重新生成新的 Secret 密钥，但此操作会使之前的 Secret 密钥失效。
13. 在详情标签页中，从端点信息字段复制 Feed 端点网址。您需要在客户端应用中指定此端点网址。
14. 点击完成。

设置来自内容中心的 Feed

为以下字段指定值：

• 拆分分隔符：用于分隔日志行的分隔符，例如 \n。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资源命名空间：与 Feed 关联的命名空间。

• 提取标签：应用于相应 Feed 中所有事件的标签。

• 点击生成密钥，生成用于对此 Feed 进行身份验证的密钥。

• 复制并存储密钥。您将无法再次查看此密钥。如有需要，您可以重新生成新的 Secret 密钥，但此操作会使之前的 Secret 密钥失效。

• 在详情标签页中，从端点信息字段复制 Feed 端点网址。您需要在客户端应用中指定此端点网址。

为 Webhook Feed 创建 API 密钥

1. 前往 Google Cloud 控制台 > 凭据。

   转到“凭证”页面

2. 点击创建凭据，然后选择 API 密钥。

3. 将 API 密钥访问权限限制为 Google Security Operations API。

指定端点网址

1. 在客户端应用中，指定 webhook Feed 中提供的 HTTPS 端点网址。

2. 通过在自定义标头中指定 API 密钥和密钥来启用身份验证，格式如下：

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   建议：将 API 密钥指定为标头，而不是在网址中指定。

3. 如果您的 Webhook 客户端不支持自定义标头，您可以使用以下格式的查询参数指定 API 密钥和密钥：

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   替换以下内容：

   • ENDPOINT_URL：Feed 端点网址。
   • API_KEY：用于向 Google Security Operations 进行身份验证的 API 密钥。
   • SECRET：您生成的用于验证 Feed 的密钥。

在 ntopng 上为 Google SecOps 配置 Webhook

1. 登录 ntopng 网页界面。
2. 从下拉菜单中选择系统菜单。
3. 依次前往通知 > 端点。
4. 点击 添加 。
5. 为以下输入参数指定值：
   • 端点名称：提供一个具有描述性的唯一名称（例如 Google SecOps）。
   • 端点类型：从列表中选择 Webhook。
   • Webhook 网址：输入包含 API_KEY 和 SECRET 的 Google SecOps ENDPOINT_网址。
6. 点击添加。
7. 依次前往通知 > 接收者。
8. 点击 添加 。
9. 为以下输入参数指定值：
   • 收件人名称：提供独一无二的描述性名称（例如 Google SecOps）。
   • 选择端点：选择之前创建的端点。
   • 严重程度：选择要发送给 Google SecOps 的严重程度（例如信息、警告和错误）。
   • 类别过滤条件：选择要将哪些内容发送到 Google SecOps。
10. 点击测试收件人以验证连接。
11. 点击添加以保存 Webhook。

配置 ntopng 网络钩子资源订阅者

1. 前往池。

2. 选择要分享活动信息的资源。

3. 点击操作列中的铅笔图标。

4. 点击收件人下拉菜单。

5. 选择 Google SecOps Webhook 接收者。

6. 点击修改以保存配置。

7. 对其他资源重复此过程。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。