收集 CloudPassage Halo 記錄

這段 Logstash 剖析器程式碼會將 CloudPassage Halo JSON 記錄資料轉換為統合式資料模型 (UDM)。這項服務會從原始記錄中擷取相關欄位、正規化時間戳記、將資料對應至 UDM 欄位，並透過嚴重程度和使用者資訊等額外背景資訊擴充事件。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體。
• CloudPassage Halo 的特殊存取權。

在 CloudPassage 中設定 API 金鑰

1. 登入 CloudPassage Halo。
2. 依序前往「設定」>「網站管理」。
3. 按一下「API 金鑰」分頁標籤。
4. 依序點選「動作」>「新增 API 金鑰」。
5. 在「API 金鑰」分頁中，按一下金鑰的「顯示」，即可查看值。
6. 複製「金鑰 ID」和「私密金鑰」的值。

設定動態饋給

如要設定動態消息，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態消息」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中，輸入動態饋給的名稱 (例如「CloudPassage Logs」)。
5. 選取「第三方 API」做為「來源類型」。
6. 選取「Cloud Passage」做為「記錄類型」。
7. 點選「下一步」。
8. 指定下列輸入參數的值：
   • 「Username」(使用者名稱)：輸入「Key ID」(金鑰 ID)。
   • 密鑰：輸入密鑰。
   • 事件類型：要納入的事件類型 (如未指定事件類型，系統會使用清單中的預設事件)。
9. 點選「下一步」。
10. 在「Finalize」畫面中檢查動態饋給設定，然後按一下「Submit」。

UDM 對應表