Parser ini mengekstrak kolom dari log berformat JSON dan SYSLOG Onfido, lalu memetakannya ke UDM. Proses ini mengurai kolom pesan menggunakan grok, menangani payload JSON jika ada, dan memetakan jenis peristiwa produk tertentu ke jenis peristiwa UDM. Hal ini mencakup menyetel jenis peristiwa ke USER_LOGIN untuk login yang berhasil dan USER_UNCATEGORIZED untuk peristiwa lainnya. Layanan ini juga mengisi kolom UDM untuk informasi pengguna, IP sumber, dan detail hasil keamanan.
Sebelum memulai
Pastikan Anda memenuhi prasyarat berikut:
Instance Google SecOps.
Akses istimewa ke Dasbor Onfido.
Menyiapkan feed
Untuk mengonfigurasi feed, ikuti langkah-langkah berikut:
Buka Setelan SIEM>Feed.
Klik Tambahkan Feed Baru.
Di halaman berikutnya, klik Konfigurasi satu feed.
Di kolom Feed name, masukkan nama feed; misalnya, Onfido Logs.
Pilih Webhook sebagai Jenis sumber.
Pilih Onfido sebagai Jenis log.
Klik Berikutnya.
Opsional: Tentukan nilai untuk parameter input berikut:
Pemisah pemisahan: pemisah yang digunakan untuk memisahkan baris log, seperti \n.
Klik Berikutnya.
Tinjau konfigurasi feed di layar Selesaikan, lalu klik Kirim.
Klik Buat Kunci Rahasia untuk membuat kunci rahasia guna mengautentikasi feed ini.
Salin dan simpan kunci rahasia. Anda tidak dapat melihat kunci rahasia ini lagi. Jika perlu, Anda dapat membuat ulang kunci rahasia baru, tetapi tindakan ini akan membuat kunci rahasia sebelumnya tidak berlaku.
Dari tab Detail, salin URL endpoint feed dari kolom Informasi Endpoint. Anda perlu menentukan URL endpoint ini di aplikasi klien Anda.
Rekomendasi: Tentukan kunci API sebagai header, bukan menentukannya di URL.
Jika klien webhook Anda tidak mendukung header kustom, Anda dapat menentukan kunci API dan kunci rahasia menggunakan parameter kueri dalam format berikut:
ENDPOINT_URL?key=API_KEY&secret=SECRET
Ganti kode berikut:
ENDPOINT_URL: URL endpoint feed.
API_KEY: kunci API untuk mengautentikasi ke Google SecOps.
SECRET: kunci rahasia yang Anda buat untuk mengautentikasi feed.
Mengonfigurasi webhook Onfido
Login ke Dasbor Onfido.
Buka Setelan>Webhook.
Klik Tambahkan Webhook.
Tentukan nilai untuk parameter input berikut:
URL Webhook: masukkan <ENDPOINT_URL> endpoint Google SecOps API.
Peristiwa: pilih peristiwa yang harus memicu webhook (misalnya, pilih check.completed atau report.completed).
Klik Simpan untuk membuat webhook.
Tabel Pemetaan UDM
Kolom Log
Pemetaan UDM
Logika
category
security_result.category_details
Nilai kolom category dari log mentah ditetapkan ke security_result.category_details.
check_id
metadata.product_log_id
Nilai kolom check_id yang diekstrak dari kolom json_data di log mentah ditetapkan ke metadata.product_log_id. Jika prod_evt_type adalah "Login berhasil", nilai "AUTHTYPE_UNSPECIFIED" akan ditetapkan.
metadata.event_timestamp
Stempel waktu dari entri log mentah dikonversi menjadi detik epoch dan ditetapkan ke metadata.event_timestamp.
metadata.event_type
Jika prod_evt_type adalah "Login berhasil", nilai USER_LOGIN akan ditetapkan. Jika tidak, USER_UNCATEGORIZED akan ditetapkan.
metadata.product_name
Kode parser menetapkan nilai ke "ONFIDO".
prod_evt_type
metadata.product_event_type
Nilai kolom prod_evt_type dari log mentah ditetapkan ke metadata.product_event_type.
metadata.vendor_name
Kode parser menetapkan nilai ke "ONFIDO".
metadata.product_version
Kode parser menetapkan nilai ke "ONFIDO".
security_result.action
security_result.action
Jika prod_evt_type adalah "Login berhasil", nilai ALLOW akan ditetapkan.
src_ip
principal.ip
Nilai kolom src_ip dari log mentah ditetapkan ke principal.ip.
user_email
target.user.email_addresses
Nilai kolom user_email dari log mentah ditetapkan ke target.user.email_addresses.
user_name
target.user.user_display_name
Nilai kolom user_name dari log mentah ditetapkan ke target.user.user_display_name.
[[["Mudah dipahami","easyToUnderstand","thumb-up"],["Memecahkan masalah saya","solvedMyProblem","thumb-up"],["Lainnya","otherUp","thumb-up"]],[["Sulit dipahami","hardToUnderstand","thumb-down"],["Informasi atau kode contoh salah","incorrectInformationOrSampleCode","thumb-down"],["Informasi/contoh yang saya butuhkan tidak ada","missingTheInformationSamplesINeed","thumb-down"],["Masalah terjemahan","translationIssue","thumb-down"],["Lainnya","otherDown","thumb-down"]],["Terakhir diperbarui pada 2025-09-04 UTC."],[],[],null,["# Collect Onfido logs\n===================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis parser extracts fields from Onfido SYSLOG and JSON formatted logs, mapping them to the UDM. It parses the message field using grok, handles JSON payloads if present, and maps specific product event types to UDM event types. This includes setting the event type to `USER_LOGIN` for successful logins and `USER_UNCATEGORIZED` for other events. It also populates UDM fields for user information, source IP, and security result details.\n\nBefore you begin\n----------------\n\nEnsure that you have the following prerequisites:\n\n- Google SecOps instance.\n- Privileged access to Onfido Dashboard.\n\nSet up feeds\n------------\n\nTo configure a feed, follow these steps:\n\n1. Go to **SIEM Settings** \\\u003e **Feeds**.\n2. Click **Add New Feed**.\n3. On the next page, click **Configure a single feed**.\n4. In the **Feed name** field, enter a name for the feed; for example, **Onfido Logs**.\n5. Select **Webhook** as the **Source type**.\n6. Select **Onfido** as the **Log type**.\n7. Click **Next**.\n8. Optional: Specify values for the following input parameters:\n - **Split delimiter** : the delimiter that is used to separate log lines, such as `\\n`.\n9. Click **Next**.\n10. Review the feed configuration in the **Finalize** screen, and then click **Submit**.\n11. Click **Generate Secret Key** to generate a secret key to authenticate this feed.\n12. Copy and store the secret key. You cannot view this secret key again. If needed, you can regenerate a new secret key, but this action makes the previous secret key obsolete.\n13. From the **Details** tab, copy the feed endpoint URL from the **Endpoint Information** field. You need to specify this endpoint URL in your client application.\n14. Click **Done**.\n\nCreate an API key for the webhook feed\n--------------------------------------\n\n1. Go to **Google Cloud console \\\u003e Credentials**.\n\n [Go to Credentials](https://console.cloud.google.com/apis/credentials)\n2. Click **Create credentials** , and then select **API key**.\n\n3. Restrict the API key access to the **Google Security Operations API**.\n\nSpecify the endpoint URL\n------------------------\n\n1. In your client application, specify the HTTPS endpoint URL provided in the webhook feed.\n2. Enable authentication by specifying the API key and secret key as part of the custom header in the following format:\n\n X-goog-api-key = \u003cvar class=\"readonly\" translate=\"no\"\u003eAPI_KEY\u003c/var\u003e\n X-Webhook-Access-Key = \u003cvar class=\"readonly\" translate=\"no\"\u003eSECRET\u003c/var\u003e\n\n **Recommendation**: Specify the API key as a header instead of specifying it in the URL.\n3. If your webhook client doesn't support custom headers, you can specify the API key and secret key using query parameters in the following format:\n\n \u003cvar translate=\"no\"\u003eENDPOINT_URL\u003c/var\u003e?key=\u003cvar translate=\"no\"\u003eAPI_KEY\u003c/var\u003e&secret=\u003cvar translate=\"no\"\u003eSECRET\u003c/var\u003e\n\n Replace the following:\n - \u003cvar translate=\"no\"\u003eENDPOINT_URL\u003c/var\u003e: the feed endpoint URL.\n - \u003cvar translate=\"no\"\u003eAPI_KEY\u003c/var\u003e: the API key to authenticate to Google SecOps.\n - \u003cvar translate=\"no\"\u003eSECRET\u003c/var\u003e: the secret key that you generated to authenticate the feed.\n\n### Configure the Onfido webhook\n\n1. Sign in to the Onfido Dashboard.\n2. Go to **Settings** \\\u003e **Webhooks**.\n3. Click **Add Webhook**.\n4. Specify values for the following input parameters:\n\n - **Webhook URL** : enter the `\u003cENDPOINT_URL\u003e` of the Google SecOps API endpoint.\n\n | **Note:** Append the `\u003cAPI_KEY\u003e` and `\u003cSECRET\u003e` to the endpoint URL `\u003cENDPOINT_URL\u003e?key=\u003cAPI_KEY\u003e&secret=\u003cSECRET\u003e`.\n - **Events:** select the events that should trigger the webhook (for example, select **check.completed** or **report.completed**).\n5. Click **Save** to create the webhook.\n\nUDM Mapping Table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
