收集 ntopng 記錄

總覽

這個剖析器會以 SYSLOG 或 JSON 格式擷取 ntopng 網路監控記錄。這個外掛程式會剖析記錄訊息、將相關欄位轉換為 UDM 格式，並使用產品和供應商名稱等中繼資料擴充事件。剖析器也會處理巢狀 JSON 結構，並將特定 ntopng 欄位對應至 UDM 網路事件，包括流量快訊和使用者資源存取權。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體。
• ntopng 的特殊存取權。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• 「SIEM 設定」>「動態消息」
• 內容中心 > 內容包

依序前往「SIEM 設定」>「動態饋給」，設定動態饋給

如要設定動態消息，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態消息」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中，輸入動態饋給的名稱，例如「Ntopng Logs」。
5. 選取「Webhook」做為「來源類型」。
6. 選取「Ntopng」做為「記錄類型」。
7. 點選「下一步」。
8. 選用：指定下列輸入參數的值：
   • 分割分隔符號：用於分隔記錄行的分隔符號，例如 \n。
9. 點選「下一步」。
10. 在「Finalize」畫面中檢查動態饋給設定，然後按一下「Submit」。
11. 按一下「產生密鑰」，產生驗證這個動態消息的密鑰。
12. 複製並儲存密鑰。您無法再次查看這個密鑰。如有需要，您可以重新產生新的密鑰，但這項操作會使先前的密鑰失效。
13. 在「詳細資料」分頁中，從「端點資訊」欄位複製動態消息端點網址。您需要在用戶端應用程式中指定這個端點網址。
14. 按一下 [完成]。

從內容中心設定動態饋給

為下列欄位指定值：

• 分割分隔符號：用於分隔記錄行的分隔符號，例如 \n。

進階選項

• 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
• 來源類型：將記錄收集到 Google SecOps 的方法。
• 資產命名空間：與動態饋給相關聯的命名空間。

• 擷取標籤：套用至這個動態饋給所有事件的標籤。

• 按一下「產生密鑰」，產生驗證這個動態消息的密鑰。

• 複製並儲存密鑰。您無法再次查看這個密鑰。如有需要，您可以重新產生新的密鑰，但這項操作會使先前的密鑰失效。

• 在「詳細資料」分頁中，從「端點資訊」欄位複製動態消息端點網址。您需要在用戶端應用程式中指定這個端點網址。

為 Webhook 資訊提供建立 API 金鑰

1. 前往 Google Cloud 控制台 > 憑證。

   前往「憑證」

2. 按一下 [Create credentials] (建立憑證)，然後選取 [API key] (API 金鑰)。

3. 將 API 金鑰存取權限制在 Google Security Operations API。

指定端點網址

1. 在用戶端應用程式中，指定 webhook 動態饋給中提供的 HTTPS 端點網址。

2. 如要啟用驗證，請在自訂標頭中指定 API 金鑰和私密金鑰，格式如下：

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   建議：請將 API 金鑰指定為標頭，而非在網址中指定。

3. 如果 Webhook 用戶端不支援自訂標頭，您可以使用查詢參數指定 API 金鑰和密鑰，格式如下：

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   更改下列內容：

   • ENDPOINT_URL：動態消息端點網址。
   • API_KEY：用於向 Google Security Operations 進行驗證的 API 金鑰。
   • SECRET：您產生的密鑰，用於驗證動態饋給。

在 ntopng 上設定 Google SecOps 的 Webhook

1. 登入 ntopng 網頁介面。
2. 從下拉式選單中選取「系統」選單。
3. 依序前往「通知」>「端點」。
4. 按一下「新增」 。
5. 指定下列輸入參數的值：
   • 端點名稱：提供獨一無二的描述性名稱 (例如「Google SecOps」)。
   • 端點類型：從清單中選取「Webhook」。
   • Webhook 網址：輸入 Google SecOps ENDPOINT_URL，並提供 API_KEY 和 SECRET。
6. 按一下「新增」。
7. 依序前往「通知」>「收件者」。
8. 按一下「新增」 。
9. 指定下列輸入參數的值：
   • 收件者名稱：提供容易識別且不重複的名稱 (例如「Google SecOps」)。
   • 選取端點：選取先前建立的端點。
   • 嚴重程度：選取要傳送至 Google SecOps 的嚴重程度 (例如「資訊」、「警告」和「錯誤」)。
   • 類別篩選器：選取要傳送至 Google SecOps 的項目。
10. 按一下「測試收件者」，驗證連線。
11. 按一下「新增」即可儲存 Webhook。

設定 ntopng Webhook 資源訂閱者

1. 前往「集區」。

2. 選取要分享事件的資源。

3. 按一下「動作」欄中的鉛筆圖示。

4. 按一下「收件者」下拉式選單。

5. 選取「Google SecOps」Webhook 收件者。

6. 按一下「編輯」即可儲存設定。

7. 針對其他資源重複執行上述程序。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。