Onfido-Logs erfassen

Unterstützt in:

Dieser Parser extrahiert Felder aus Onfido-SYSLOG- und JSON-formatierten Logs und ordnet sie dem UDM zu. Das Feld „message“ wird mit „grok“ geparst, JSON-Nutzlasten werden verarbeitet (falls vorhanden) und bestimmte Produktereignistypen werden UDM-Ereignistypen zugeordnet. Dazu gehört, den Ereignistyp für erfolgreiche Log-ins auf USER_LOGIN und für andere Ereignisse auf USER_UNCATEGORIZED festzulegen. Außerdem werden UDM-Felder für Nutzerinformationen, Quell-IP und Details zum Sicherheitsergebnis ausgefüllt.

Hinweise

Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:

  • Google SecOps-Instanz.
  • Privilegierter Zugriff auf das Onfido-Dashboard.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:

  • SIEM-Einstellungen > Feeds
  • Content Hub> Content-Pakete

Feeds über „SIEM-Einstellungen“ > „Feeds“ einrichten

So konfigurieren Sie einen Feed:

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feed name (Feedname) einen Namen für den Feed ein, z. B. Onfido Logs (Onfido-Protokolle).
  5. Wählen Sie Webhook als Quelltyp aus.
  6. Wählen Sie Onfido als Logtyp aus.
  7. Klicken Sie auf Weiter.
  8. Optional: Geben Sie Werte für die folgenden Eingabeparameter an:
    • Trennzeichen für Aufteilung: Das Trennzeichen, das zum Trennen von Logzeilen verwendet wird, z. B. \n.
  9. Klicken Sie auf Weiter.
  10. Prüfen Sie die Feedkonfiguration auf dem Bildschirm Finalize (Abschließen) und klicken Sie dann auf Submit (Senden).
  11. Klicken Sie auf Geheimen Schlüssel generieren, um einen geheimen Schlüssel zur Authentifizierung dieses Feeds zu generieren.
  12. Kopieren Sie den geheimen Schlüssel und speichern Sie ihn. Sie können diesen geheimen Schlüssel nicht noch einmal aufrufen. Bei Bedarf können Sie einen neuen geheimen Schlüssel generieren. Dadurch wird der vorherige geheime Schlüssel jedoch ungültig.
  13. Kopieren Sie auf dem Tab Details die Feed-Endpunkt-URL aus dem Feld Endpunktinformationen. Sie müssen diese Endpunkt-URL in Ihrer Clientanwendung angeben.
  14. Klicken Sie auf Fertig.

Feeds über den Content Hub einrichten

Geben Sie Werte für die folgenden Felder an:

  • Trennzeichen für Aufteilung: Das Trennzeichen, das zum Trennen von Logzeilen verwendet wird, z. B. \n.

Erweiterte Optionen

  • Feedname:Ein vorausgefüllter Wert, der den Feed identifiziert.
  • Quelltyp:Methode, die zum Erfassen von Logs in Google SecOps verwendet wird.
  • Asset-Namespace:Der mit dem Feed verknüpfte Namespace.

  • Aufnahmelabels:Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

  • Klicken Sie auf Geheimen Schlüssel generieren, um einen geheimen Schlüssel zur Authentifizierung dieses Feeds zu generieren.

  • Kopieren Sie den geheimen Schlüssel und speichern Sie ihn. Sie können diesen geheimen Schlüssel nicht noch einmal aufrufen. Bei Bedarf können Sie einen neuen geheimen Schlüssel generieren. Dadurch wird der vorherige geheime Schlüssel jedoch ungültig.

  • Kopieren Sie auf dem Tab Details die Feed-Endpunkt-URL aus dem Feld Endpunktinformationen. Sie müssen diese Endpunkt-URL in Ihrer Clientanwendung angeben.

API-Schlüssel für den Webhook-Feed erstellen

  1. Rufen Sie die Google Cloud Console > Anmeldedaten auf.

    Zu den Anmeldedaten

  2. Klicken Sie auf Anmeldedaten erstellen und wählen Sie anschließend API-Schlüssel aus.

  3. Schränken Sie den API-Schlüsselzugriff auf die Google Security Operations API ein.

Endpunkt-URL angeben

  1. Geben Sie in Ihrer Clientanwendung die HTTPS-Endpunkt-URL an, die im Webhook-Feed bereitgestellt wird.

  2. Aktivieren Sie die Authentifizierung, indem Sie den API-Schlüssel und den geheimen Schlüssel als Teil des benutzerdefinierten Headers im folgenden Format angeben:

    X-goog-api-key = API_KEY
X-Webhook-Access-Key = SECRET

    Empfehlung: Geben Sie den API-Schlüssel als Header an, anstatt ihn in der URL anzugeben.

  3. Wenn Ihr Webhook-Client keine benutzerdefinierten Headern unterstützt, können Sie den API-Schlüssel und den geheimen Schlüssel mit Suchparametern im folgenden Format angeben:

    ENDPOINT_URL?key=API_KEY&secret=SECRET

    Ersetzen Sie Folgendes:

    • ENDPOINT_URL: Die URL des Feed-Endpunkts.
    • API_KEY: Der API-Schlüssel für die Authentifizierung bei Google SecOps.
    • SECRET: Der geheime Schlüssel, den Sie zur Authentifizierung des Feeds generiert haben.

Onfido-Webhook konfigurieren

  1. Melden Sie sich im Onfido-Dashboard an.
  2. Rufen Sie die Einstellungen > Webhooks auf.
  3. Klicken Sie auf Webhook hinzufügen.

  4. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Webhook-URL: Geben Sie die <ENDPOINT_URL> des Google SecOps API-Endpunkt ein.
    • Ereignisse:Wählen Sie die Ereignisse aus, die den Webhook auslösen sollen, z. B. check.completed oder report.completed.

  5. Klicken Sie auf Speichern, um den Webhook zu erstellen.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
category security_result.category_details Der Wert des Felds category aus dem Rohlog wird security_result.category_details zugewiesen.
check_id metadata.product_log_id Der Wert des Felds check_id, der aus dem Feld json_data im Rohlog extrahiert wurde, wird metadata.product_log_id zugewiesen. Wenn prod_evt_type „Erfolgreiche Anmeldung“ ist, wird der Wert „AUTHTYPE_UNSPECIFIED“ zugewiesen.
metadata.event_timestamp Der Zeitstempel aus dem unbearbeiteten Logeintrag wird in Epochensekunden umgewandelt und metadata.event_timestamp zugewiesen.
metadata.event_type Wenn prod_evt_type „Erfolgreiche Anmeldung“ ist, wird der Wert USER_LOGIN zugewiesen. Andernfalls wird USER_UNCATEGORIZED zugewiesen.
metadata.product_name Im Parsercode wird der Wert auf „ONFIDO“ festgelegt.
prod_evt_type metadata.product_event_type Der Wert des Felds prod_evt_type aus dem Rohlog wird metadata.product_event_type zugewiesen.
metadata.vendor_name Im Parsercode wird der Wert auf „ONFIDO“ festgelegt.
metadata.product_version Im Parsercode wird der Wert auf „ONFIDO“ festgelegt.
security_result.action security_result.action Wenn prod_evt_type „Erfolgreiche Anmeldung“ ist, wird der Wert ALLOW zugewiesen.
src_ip principal.ip Der Wert des Felds src_ip aus dem Rohlog wird principal.ip zugewiesen.
user_email target.user.email_addresses Der Wert des Felds user_email aus dem Rohlog wird target.user.email_addresses zugewiesen.
user_name target.user.user_display_name Der Wert des Felds user_name aus dem Rohlog wird target.user.user_display_name zugewiesen.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten