收集 OpenCanary 日志

概览

此解析器从 OpenCanary SYSLOG 和 JSON 日志中提取字段，将其标准化为 UDM 格式，并使用 metadata.event_type 和 security_result.severity 等派生字段丰富数据。它可处理各种日志格式，执行 IP 地址验证，并将字段映射到相应的 UDM 对象，例如 principal、target 和 network。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例。
• 对 OpenCanary 的特权访问权限。

设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed name（Feed 名称）字段中，输入 Feed 的名称，例如 OpenCanary Logs。
5. 选择 Webhook 作为来源类型。
6. 选择 OpenCanary 作为日志类型。
7. 点击下一步。
8. 可选：为以下输入参数指定值：
   • 拆分分隔符：用于分隔日志行的分隔符，例如 \n。
9. 点击下一步。
10. 在最终确定界面中检查 Feed 配置，然后点击提交。
11. 点击生成密钥，生成用于对此 Feed 进行身份验证的密钥。
12. 复制并存储密钥。您将无法再次查看此密钥。如有需要，您可以重新生成新的 Secret 密钥，但此操作会使之前的 Secret 密钥失效。
13. 在详情标签页中，从端点信息字段复制 Feed 端点网址。您需要在客户端应用中指定此端点网址。
14. 点击完成。

为 webhook Feed 创建 API 密钥

1. 前往 Google Cloud 控制台 > 凭据。

   转到“凭据”页面

2. 点击创建凭据，然后选择 API 密钥。

3. 将 API 密钥访问权限限制为 Google Security Operations API。

指定端点网址

1. 在客户端应用中，指定 webhook Feed 中提供的 HTTPS 端点网址。

2. 通过在自定义标头中指定 API 密钥和密钥来启用身份验证，格式如下：

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   建议：将 API 密钥指定为标头，而不是在网址中指定。

3. 如果您的 Webhook 客户端不支持自定义标头，您可以使用以下格式的查询参数指定 API 密钥和密钥：

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   替换以下内容：

   • ENDPOINT_URL：Feed 端点网址。
   • API_KEY：用于向 Google Security Operations 进行身份验证的 API 密钥。
   • SECRET：您生成的用于对 Feed 进行身份验证的密钥。

为 Google SecOps 设置 OpenCanary Webhook

1. 找到 OpenCanary 配置文件 config.json。

2. 使用文本编辑器打开 config.json 文件。

3. 在配置文件中找到标记为 alerters 的部分。

4. 如果 webhook alerter 已存在，请修改它。否则，为 webhook 提醒者添加新条目。

5. 使用以下配置（将 ENDPOINT_网址、SECRET 和 API_KEY 替换为您的值）：

"handlers": {
    "Webhook": {
        "class": "opencanary.logger.WebhookHandler",
        "url": "<ENDPOINT_URL>",
        "method": "POST",
        "data": {"message": "%(message)s"},
        "status_code": 200,
        "headers": {
            "X-Webhook-Access-Key": "<SECRET>",
            "X-goog-api-key": "<API_KEY>"
         }
    }
}

1. 保存 config.json 文件。
2. 重启 OpenCanary 服务以应用更改。（例如，sudo systemctl restart opencanary）。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。