Collecter les journaux Onfido

Compatible avec :

Cet analyseur extrait les champs des journaux au format SYSLOG et JSON d'Onfido, et les mappe à l'UDM. Il analyse le champ de message à l'aide de grok, gère les charges utiles JSON si elles sont présentes et mappe des types d'événements produit spécifiques à des types d'événements UDM. Cela inclut la définition du type d'événement sur USER_LOGIN pour les connexions réussies et sur USER_UNCATEGORIZED pour les autres événements. Il remplit également les champs UDM pour les informations utilisateur, l'adresse IP source et les détails des résultats de sécurité.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

  • Instance Google SecOps.
  • Accès privilégié au tableau de bord Onfido.

Configurer des flux

Il existe deux points d'entrée différents pour configurer les flux dans la plate-forme Google SecOps :

  • Paramètres SIEM> Flux
  • Plate-forme de contenu > Packs de contenu

Configurer des flux à partir de Paramètres SIEM > Flux

Pour configurer un flux, procédez comme suit :

  1. Accédez à Paramètres SIEM > Flux.
  2. Cliquez sur Add New Feed (Ajouter un flux).
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux Onfido).
  5. Sélectionnez Webhook comme type de source.
  6. Sélectionnez Onfido comme Type de journal.
  7. Cliquez sur Suivant.
  8. Facultatif : Spécifiez les valeurs des paramètres d'entrée suivants :
    • Délimiteur de fractionnement : délimiteur utilisé pour séparer les lignes de journaux, tel que \n.
  9. Cliquez sur Suivant.
  10. Vérifiez la configuration du flux sur l'écran Finaliser, puis cliquez sur Envoyer.
  11. Cliquez sur Générer une clé secrète pour générer une clé secrète permettant d'authentifier ce flux.
  12. Copiez et stockez la clé secrète. Vous ne pourrez plus afficher cette clé secrète. Si nécessaire, vous pouvez générer une nouvelle clé secrète, mais l'ancienne deviendra obsolète.
  13. Dans l'onglet Détails, copiez l'URL du point de terminaison du flux à partir du champ Informations sur le point de terminaison. Vous devez spécifier cette URL de point de terminaison dans votre application cliente.
  14. Cliquez sur OK.

Configurer des flux depuis le Hub de contenu

Indiquez les valeurs des champs suivants :

  • Délimiteur de fractionnement : délimiteur utilisé pour séparer les lignes de journaux, tel que \n.

Options avancées

  • Nom du flux : valeur préremplie qui identifie le flux.
  • Type de source : méthode utilisée pour collecter les journaux dans Google SecOps.
  • Espace de noms de l'élément : espace de noms associé au flux.

  • Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

  • Cliquez sur Générer une clé secrète pour générer une clé secrète permettant d'authentifier ce flux.

  • Copiez et stockez la clé secrète. Vous ne pourrez plus afficher cette clé secrète. Si nécessaire, vous pouvez générer une nouvelle clé secrète, mais l'ancienne deviendra obsolète.

  • Dans l'onglet Détails, copiez l'URL du point de terminaison du flux à partir du champ Informations sur le point de terminaison. Vous devez spécifier cette URL de point de terminaison dans votre application cliente.

Créer une clé API pour le flux de webhook

  1. Accédez à la consoleGoogle Cloud > Identifiants.

    Accéder à "Identifiants"

  2. Cliquez sur Créer des identifiants, puis sélectionnez Clé API.

  3. Restreignez l'accès à la clé API à l'API Google Security Operations.

Spécifier l'URL du point de terminaison

  1. Dans votre application cliente, spécifiez l'URL du point de terminaison HTTPS fournie dans le flux de webhook.

  2. Activez l'authentification en spécifiant la clé API et la clé secrète dans l'en-tête personnalisé au format suivant :

    X-goog-api-key = API_KEY
X-Webhook-Access-Key = SECRET

    Recommandation : Spécifiez la clé API en tant qu'en-tête au lieu de la spécifier dans l'URL.

  3. Si votre client de webhook n'accepte pas les en-têtes personnalisés, vous pouvez spécifier la clé API et la clé secrète à l'aide de paramètres de requête au format suivant :

    ENDPOINT_URL?key=API_KEY&secret=SECRET

    Remplacez les éléments suivants :

    • ENDPOINT_URL : URL du point de terminaison du flux.
    • API_KEY : clé API pour l'authentification auprès de Google SecOps.
    • SECRET : clé secrète que vous avez générée pour authentifier le flux.

Configurer le webhook Onfido

  1. Connectez-vous au tableau de bord Onfido.
  2. Accédez à Paramètres > Webhooks.
  3. Cliquez sur Add Webhook (Ajouter un Webhook).

  4. Spécifiez les valeurs des paramètres d'entrée suivants :

    • URL du webhook : saisissez le <ENDPOINT_URL> du point de terminaison de l'API Google SecOps.
    • Événements : sélectionnez les événements qui doivent déclencher le webhook (par exemple, check.completed ou report.completed).

  5. Cliquez sur Enregistrer pour créer le webhook.

Table de mappage UDM

Champ de journal Mappage UDM Logique
category security_result.category_details La valeur du champ category du journal brut est attribuée à security_result.category_details.
check_id metadata.product_log_id La valeur du champ check_id extraite du champ json_data du journal brut est attribuée à metadata.product_log_id. Si prod_evt_type est "Successful login" (Connexion réussie), la valeur "AUTHTYPE_UNSPECIFIED" est attribuée.
metadata.event_timestamp L'horodatage de l'entrée de journal brute est converti en secondes epoch et attribué à metadata.event_timestamp.
metadata.event_type Si prod_evt_type est "Connexion réussie", la valeur USER_LOGIN est attribuée. Sinon, la valeur USER_UNCATEGORIZED est attribuée.
metadata.product_name Le code du parseur définit la valeur sur "ONFIDO".
prod_evt_type metadata.product_event_type La valeur du champ prod_evt_type du journal brut est attribuée à metadata.product_event_type.
metadata.vendor_name Le code du parseur définit la valeur sur "ONFIDO".
metadata.product_version Le code du parseur définit la valeur sur "ONFIDO".
security_result.action security_result.action Si prod_evt_type est "Connexion réussie", la valeur ALLOW est attribuée.
src_ip principal.ip La valeur du champ src_ip du journal brut est attribuée à principal.ip.
user_email target.user.email_addresses La valeur du champ user_email du journal brut est attribuée à target.user.email_addresses.
user_name target.user.user_display_name La valeur du champ user_name du journal brut est attribuée à target.user.user_display_name.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.