收集 Wazuh 日志

概览

此 Wazuh 解析器会提取 SYSLOG 和 JSON 格式的日志，将字段标准化为常见格式，并使用 Wazuh 专用元数据对其进行丰富。然后，它会根据 event_type 和 rule_id 字段使用一系列条件语句将原始日志数据映射到适当的 UDM 事件类型和字段，以处理 Wazuh 生态系统中的各种日志格式和边界情况。

准备工作

• 确保您拥有 Google SecOps 实例。
• 确保您拥有有效的 Wazuh 实例。
• 确保您拥有对 Wazuh 配置文件的特权访问权限。

在 Google SecOps 中配置 Feed 以注入 Wazuh 日志

1. 依次前往 SIEM 设置 > Feed。
2. 点击新增。
3. 在Feed 名称字段中，输入 Feed 的名称（例如 Wazuh 日志）。
4. 选择 Webhook 作为来源类型。
5. 选择 Wazuh 作为日志类型。
6. 点击下一步。
7. 可选：为以下输入参数指定值：
   • 分隔符：用于分隔日志行（例如 \n）的分隔符。
   • 资源命名空间：资源命名空间。
   • 提取标签：应用于此 Feed 中的事件的标签。
8. 点击下一步。
9. 在最终确定界面中查看 Feed 配置，然后点击提交。
10. 点击生成 Secret 密钥，生成用于对此 Feed 进行身份验证的 Secret 密钥。
11. 复制并存储密钥。您将无法再查看此密钥。如有必要，您可以重新生成新的 Secret 密钥，但此操作会使之前的 Secret 密钥过时。
12. 在详情标签页中，从端点信息字段复制 Feed 端点网址。您需要在客户端应用中指定此端点网址。
13. 点击完成。

为该网站钩子 Feed 创建 API 密钥

1. 依次前往 Google Cloud 控制台 > 凭据。

   转到“凭据”页面

2. 点击创建凭据，然后选择 API 密钥。

3. 限制 API 密钥对 Google Security Operations API 的访问权限。

指定端点网址

1. 在客户端应用中，指定 webhook Feed 中提供的 HTTPS 端点网址。

2. 通过在自定义标头中指定 API 密钥和密钥（格式如下）来启用身份验证：

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   建议：请以标头的形式指定 API 密钥，而不是在网址中指定。如果您的 webhook 客户端不支持自定义标头，您可以使用以下格式的查询参数指定 API 密钥和密钥：

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

替换以下内容：

• ENDPOINT_URL：Feed 端点网址。
• API_KEY：用于对 Google Security Operations 进行身份验证的 API 密钥。
• SECRET：您为对 Feed 进行身份验证而生成的密钥。

配置 Wazuh Cloud Webhook

如需配置 Wazuh Cloud Webhook，请完成以下步骤：

1. 登录您的 Wazuh Cloud。
2. 前往左侧窗格菜单中的服务器管理下方的设置。
3. 点击修改配置。

4. 在配置的 <integration> 部分中添加以下集成块。

   • 如果该部分不存在，请使用 <integration> 复制整个代码块以创建该部分。
   • 将占位符值替换为您的实际 Google SecOps 详细信息：

<integration>
  <name>google-chronicle</name>
  <hook_url>https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs?key=<API_KEY>&secret=<SECRET></hook_url>
  <alert_format>json</alert_format>
  <level>0</level>  <!-- Adjust the level as needed -->
</integration>

• CHRONICLE_REGION：您的 Google SecOps 区域（例如 us、europe-west1）。
• GOOGLE_PROJECT_NUMBER：您的 Google Cloud 项目编号。
• LOCATION：您的 Google SecOps 区域（例如 us、europe-west1）。
• CUSTOMER_ID：您的 Google SecOps 客户 ID。
• FEED_ID：您的 Google SecOps Feed 的 ID。
• API_KEY：托管 Google SecOps 的 Google Cloud 的 API 密钥。
• SECRET：您的 Google SecOps Feed 的 Secret。
• alert_format：设置为 json 以实现与 Google SecOps 的兼容性。
• level：指定要转发的最低提醒级别。0 会发送所有提醒。

1. 点击保存按钮。
2. 点击 Restart wazuh-manager（重启 wazuh-manager）。

配置 Wazuh 本地 Webhook

如需配置 Wazuh 本地 Webhook，请完成以下步骤：

1. 访问您的本地 Wazuh 管理器。
2. 前往 /var/ossec/etc/ 目录。
3. 使用文本编辑器（例如 nano、vim）打开 ossec.conf 文件。

4. 在配置的 <integration> 部分中添加以下集成块。

   • 如果该部分不存在，请使用 <integration> 复制整个代码块以创建该部分。
   • 将占位符值替换为您的实际 Google SecOps 详细信息：

   <integration>
      <name>google-chronicle</name>
      <hook_url>https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs?key=<API_KEY>&secret=<SECRET></hook_url>
      <alert_format>json</alert_format>
      <level>0</level>  <!-- Adjust the level as needed -->
   </integration>
   

   • CHRONICLE_REGION：您的 Google SecOps 区域（例如 us、europe-west1）。
   • GOOGLE_PROJECT_NUMBER：您的 Google Cloud 项目编号。
   • LOCATION：您的 Google SecOps 区域（例如 us、europe-west1）。
   • CUSTOMER_ID：您的 Google SecOps 客户 ID。
   • FEED_ID：您的 Google SecOps Feed 的 ID。
   • API_KEY：托管 Google SecOps 的 Google Cloud 的 API 密钥。
   • SECRET：您的 Google SecOps Feed 的 Secret。
   • alert_format：设置为 json 以实现与 Google SecOps 的兼容性。
   • level：指定要转发的最低提醒级别。0 会发送所有提醒。

5. 重启 Wazuh 管理器以应用更改：

   sudo systemctl restart wazuh-manager
   

UDM 映射表

变化

2024-03-04

• 添加了对 SVROSSEC syslog 日志的支持。
• 将“file_path”映射到“target.file.full_path”。
• 将“registry_key”映射到“target.registry.registry_key”。
• 将“user_name”映射到“principal.user.userid”。
• 将“log_description”映射到“metadata.description”。
• 将“action_data”映射到“security_result.action_details”。
• 将“src_host”映射到“principal.hostname”。
• 将“rule_id”映射到“security_result.rule_id”。
• 将“classification”映射到“security_result.detection_fields”。
• 将“rule_summary”映射到“security_result.summary”。
• “principal.hostname”和“principal.asset.hostname”的一致映射。
• 对“principal.ip”和“principal.asset.ip”进行了一致的映射。
• 对“target.ip”和“target.asset.ip”进行了一致的映射。

2023-07-17

• 添加了 Grok 模式，用于解析未解析的 syslog 日志。
• 添加了对“predecoder.hostname”的 null 检查。

2022-10-14

• 提高了解析百分比。
• 添加了对解析 syslog 模式的支持。