收集 Wazuh 日志

概览

此 Wazuh 解析器可接收 SYSLOG 和 JSON 格式的日志，将字段标准化为通用格式，并使用 Wazuh 特定的元数据丰富这些字段。然后，它会根据 event_type 和 rule_id 字段使用一系列条件语句，将原始日志数据映射到相应的 UDM 事件类型和字段，从而处理 Wazuh 生态系统中的各种日志格式和极端情况。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例。
• 活跃的 Wazuh 实例。
• 对 Wazuh 配置文件的特权访问权限。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed name 字段中，输入 Feed 的名称，例如 Wazuh Logs。
5. 选择 Webhook 作为来源类型。
6. 选择 Wazuh 作为日志类型。
7. 点击下一步。
8. 可选：为以下输入参数指定值：
   • 拆分分隔符：用于分隔日志行的分隔符，例如 \n。
9. 点击下一步。
10. 在最终确定界面中检查 Feed 配置，然后点击提交。
11. 点击生成密钥，生成用于对此 Feed 进行身份验证的密钥。
12. 复制并存储密钥。您将无法再次查看此密钥。如有需要，您可以重新生成新的 Secret 密钥，但此操作会使之前的 Secret 密钥失效。
13. 在详情标签页中，从端点信息字段复制 Feed 端点网址。您需要在客户端应用中指定此端点网址。
14. 点击完成。

设置来自内容中心的 Feed

为以下字段指定值：

• 拆分分隔符：用于分隔日志行的分隔符，例如 \n。

  高级选项

• Feed 名称：用于标识 Feed 的预填充值。

• 来源类型：用于将日志收集到 Google SecOps 中的方法。

• 资源命名空间：与 Feed 关联的命名空间。

• 提取标签：应用于相应 Feed 中所有事件的标签。

• 点击生成密钥，生成用于对此 Feed 进行身份验证的密钥。

• 复制并存储密钥。您将无法再次查看此密钥。如有需要，您可以重新生成新的 Secret 密钥，但此操作会使之前的 Secret 密钥失效。

• 在详情标签页中，从端点信息字段复制 Feed 端点网址。您需要在客户端应用中指定此端点网址。

为 Webhook Feed 创建 API 密钥

1. 前往 **Google Cloud 控制台 > 凭据。

   转到“凭证”页面

2. 点击创建凭据，然后选择 API 密钥。

3. 将 API 密钥访问权限限制为 Google Security Operations API。

指定端点网址

1. 在客户端应用中，指定 webhook Feed 中提供的 HTTPS 端点网址。

2. 通过在自定义标头中指定 API 密钥和密钥来启用身份验证，格式如下：

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   建议：将 API 密钥指定为标头，而不是在网址中指定。如果您的 Webhook 客户端不支持自定义标头，您可以使用以下格式的查询参数指定 API 密钥和密钥：

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

替换以下内容：

• ENDPOINT_URL：Feed 端点网址。
• API_KEY：用于向 Google Security Operations 进行身份验证的 API 密钥。
• SECRET：您生成的用于验证 Feed 的密钥。

配置 Wazuh Cloud Webhook

完成以下步骤以配置 Wazuh Cloud Webhook：

1. 登录您的 Wazuh Cloud。
2. 前往左侧窗格菜单中服务器管理下的设置。
3. 点击修改配置。

4. 在配置的 <integration> 部分内添加以下集成块。

   • 如果该部分不存在，请复制整个块（使用 <integration>）以创建一个。
   • 将占位值替换为您的实际 Google SecOps 详细信息：

<integration>
  <name>google-chronicle</name>
  <hook_url>https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs?key=<API_KEY>&secret=<SECRET></hook_url>
  <alert_format>json</alert_format>
  <level>0</level>  <!-- Adjust the level as needed -->
</integration>

• CHRONICLE_REGION：您的 Google SecOps 区域（例如 us、europe-west1）。
• GOOGLE_PROJECT_NUMBER：您的 Google Cloud 项目编号。
• LOCATION：您的 Google SecOps 区域（例如 us、europe-west1）。
• CUSTOMER_ID：您的 Google SecOps 客户 ID。
• FEED_ID：您的 Google SecOps Feed 的 ID。
• API_KEY：托管 Google SecOps 的 Google Cloud 的 API 密钥。
• SECRET：Google SecOps Feed 的密钥。
• alert_format：设置为 json 以实现 Google SecOps 兼容性。
• level：指定要转发的最低提醒级别。0 会发送所有提醒。

1. 点击保存按钮。
2. 点击 Restart wazuh-manager。

配置本地 Wazuh Webhook

请完成以下步骤来配置 Wazuh On-Premise Webhook：

1. 访问本地 Wazuh 管理器。
2. 前往 /var/ossec/etc/ 目录。
3. 使用文本编辑器（例如 nano、vim）打开 ossec.conf 文件。

4. 在配置的 <integration> 部分内添加以下集成块。

   • 如果该部分不存在，请复制整个块（使用 <integration>）以创建一个。
   • 将占位值替换为您的实际 Google SecOps 详细信息：

   <integration>
      <name>google-chronicle</name>
      <hook_url>https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs?key=<API_KEY>&secret=<SECRET></hook_url>
      <alert_format>json</alert_format>
      <level>0</level>  <!-- Adjust the level as needed -->
   </integration>
   

   • CHRONICLE_REGION：您的 Google SecOps 区域（例如 us、europe-west1）。
   • GOOGLE_PROJECT_NUMBER：您的 Google Cloud 项目编号。
   • LOCATION：您的 Google SecOps 区域（例如 us、europe-west1）。
   • CUSTOMER_ID：您的 Google SecOps 客户 ID。
   • FEED_ID：您的 Google SecOps Feed 的 ID。
   • API_KEY：托管 Google SecOps 的 Google Cloud 的 API 密钥。
   • SECRET：Google SecOps Feed 的密钥。
   • alert_format：设置为 json 以实现 Google SecOps 兼容性。
   • level：指定要转发的最低提醒级别。0 会发送所有提醒。

5. 重启 Wazuh 管理器以应用更改：

   sudo systemctl restart wazuh-manager
   

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。