收集 Thinkst Canary 日志

此解析器通过清理换行符并尝试将消息解析为 JSON，来规范化 Thinkst Canary 软件中的原始日志消息。然后，根据特定字段（键值对格式为“Description”，JSON 为“summary”）的存在情况，确定日志格式，并从单独的配置文件中包含相应的解析逻辑，以将数据映射到统一的数据模型中。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例。
• 对 Thinkst Canary 的特权访问权限。

在 Thinkst Canary 中配置 REST API

1. 登录 Thinkst Canary 管理控制台。
2. 依次点击齿轮图标 > 全局设置。
3. 点击 API。
4. 点击启用 API。
5. 点击 + 可添加 API。
6. 为 API 指定一个描述性名称。
7. 复制网域哈希和身份验证令牌。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称，例如 Thinkst Canary 日志。
5. 选择第三方 API 作为来源类型。
6. 选择 Thinkst Canary 作为日志类型。
7. 点击下一步。
8. 为以下输入参数指定值：
   • 身份验证 HTTP 标头：之前以 auth_token:<TOKEN> 格式生成的令牌（例如 auth_token:AAAABBBBCCCC111122223333）。
   • API 主机名：Think Canary REST API 端点的 FQDN（完全限定域名），例如 myinstance.canary.tools。
   • 资源命名空间：资源命名空间。
   • 注入标签：应用于此 Feed 中事件的标签。
9. 点击下一步。
10. 在最终确定界面中检查 Feed 配置，然后点击提交。

设置来自内容中心的 Feed

为以下字段指定值：

• 身份验证 HTTP 标头：之前以 auth_token:<TOKEN> 格式生成的令牌（例如 auth_token:AAAABBBBCCCC111122223333）。
• API 主机名：Think Canary REST API 端点的 FQDN（完全限定域名），例如 myinstance.canary.tools。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资源命名空间：与 Feed 关联的命名空间。
• 提取标签：应用于相应 Feed 中所有事件的标签。

UDM 映射

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。