Mengumpulkan log OpenCanary

Ringkasan

Parser ini mengekstrak kolom dari log SYSLOG dan JSON OpenCanary, menormalisasinya ke dalam format UDM, dan memperkaya data dengan kolom turunan seperti metadata.event_type dan security_result.severity. Log ini menangani berbagai format log, melakukan validasi alamat IP, dan memetakan kolom ke objek UDM yang sesuai seperti principal, target, dan network.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

• Instance Google SecOps.
• Akses istimewa ke OpenCanary.

Menyiapkan feed

Untuk mengonfigurasi feed, ikuti langkah-langkah berikut:

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Feed name, masukkan nama untuk feed; misalnya, OpenCanary Logs.
5. Pilih Webhook sebagai Jenis sumber.
6. Pilih OpenCanary sebagai Jenis log.
7. Klik Berikutnya.
8. Opsional: Tentukan nilai untuk parameter input berikut:
   • Pemisah pemisahan: pemisah yang digunakan untuk memisahkan baris log, seperti \n.
9. Klik Berikutnya.
10. Tinjau konfigurasi feed di layar Selesaikan, lalu klik Kirim.
11. Klik Buat Kunci Rahasia untuk membuat kunci rahasia guna mengautentikasi feed ini.
12. Salin dan simpan kunci rahasia. Anda tidak dapat melihat kunci rahasia ini lagi. Jika perlu, Anda dapat membuat ulang kunci rahasia baru, tetapi tindakan ini akan membuat kunci rahasia sebelumnya tidak berlaku.
13. Dari tab Detail, salin URL endpoint feed dari kolom Informasi Endpoint. Anda perlu menentukan URL endpoint ini di aplikasi klien Anda.
14. Klik Selesai.

Membuat kunci API untuk feed webhook

1. Buka konsolGoogle Cloud > Kredensial.

   Buka Kredensial

2. Klik Create credentials, lalu pilih API key.

3. Batasi akses kunci API ke Google Security Operations API.

Tentukan URL endpoint

1. Di aplikasi klien Anda, tentukan URL endpoint HTTPS yang disediakan di feed webhook.

2. Aktifkan autentikasi dengan menentukan kunci API dan kunci rahasia sebagai bagian dari header kustom dalam format berikut:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Rekomendasi: Tentukan kunci API sebagai header, bukan menentukannya di URL.

3. Jika klien webhook Anda tidak mendukung header kustom, Anda dapat menentukan kunci API dan kunci rahasia menggunakan parameter kueri dalam format berikut:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Ganti kode berikut:

   • ENDPOINT_URL: URL endpoint feed.
   • API_KEY: kunci API untuk mengautentikasi ke Google Security Operations.
   • SECRET: kunci rahasia yang Anda buat untuk mengautentikasi feed.

Menyiapkan Webhook OpenCanary untuk Google SecOps

1. Temukan file konfigurasi OpenCanary, config.json.

2. Buka file config.json dengan editor teks.

3. Temukan bagian berlabel alerters dalam file konfigurasi.

4. Jika alerter webhook sudah ada, ubah alerter tersebut. Jika tidak, tambahkan entri baru untuk pemberi peringatan webhook.

5. Gunakan konfigurasi berikut (ganti ENDPOINT_URL, SECRET, dan API_KEY dengan nilai Anda):

"handlers": {
    "Webhook": {
        "class": "opencanary.logger.WebhookHandler",
        "url": "<ENDPOINT_URL>",
        "method": "POST",
        "data": {"message": "%(message)s"},
        "status_code": 200,
        "headers": {
            "X-Webhook-Access-Key": "<SECRET>",
            "X-goog-api-key": "<API_KEY>"
         }
    }
}

1. Simpan file config.json tersebut.
2. Mulai ulang layanan OpenCanary untuk menerapkan perubahan. (misalnya, sudo systemctl restart opencanary).

Tabel Pemetaan UDM

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.