جمع سجلات Corelight Sensor

يصف هذا المستند كيفية جمع سجلات Corelight Sensor عن طريق تكوين Corelight Sensor وChronicle forwarder. كما يسرد هذا المستند أنواع السجلات المدعومة وإصدارات Corelight المدعومة.

لمزيد من المعلومات، راجع إدخال البيانات إلى Chronicle.

قبل البدء

• تحقق من إصدار Corelight Sensor. تم تصميم محلل Google SecOps التابع لـ Corelight للإصدار 27.13 والإصدارات الأقدم. قد تحتوي الإصدارات الأحدث من Corelight Sensor على سجلات إضافية لن يتعرف عليها المحلل، وقد تتلقى تلك السجلات تحليلاً محدودًا أو بدون تحليل للحقول. ومع ذلك، سيظل محتوى السجل متاحًا بتنسيق السجل الخام في Google SecOps.
• تأكد من تكوين جميع الأنظمة في بنية النشر على المنطقة الزمنية UTC.

طرق النشر وإدخال السجلات

يوضح مخطط بنية النشر التالي كيفية إعداد Corelight Sensor لإرسال السجلات إلى Google Security Operations باستخدام بنيتين مختلفتين لإدخال السجلات. من المهم ملاحظة أن كل نشر لدى العميل قد يختلف عن هذا التمثيل وقد يكون أكثر تعقيدًا.

تُعرّف تسمية الإدخال المحلل الذي يعيد تشكيل بيانات السجل الخام إلى تنسيق UDM منظم. تنطبق المعلومات الواردة في هذا المستند على المحلل ذي تسمية الإدخال CORELIGHT.

إدخال السجلات إلى Google SecOps باستخدام مُصدِّرات Corelight

يوضح مخطط البنية المكونات التالية:

• Corelight Sensor: النظام الذي يقوم بتشغيل Corelight Sensor .

• مُصدِّرات Corelight Sensor: يجمع مُصدِّر Corelight Sensor بيانات السجل من Sensor ويعيد توجيهها إلى Google Security Operations.

• Google Security Operations: تحتفظ Google Security Operations بسجلات Corelight Sensor وتحللها.

تكوين مُصدِّر Google SecOps في Corelight

استخدم واجهة الويب الخاصة بـ Sensor أو Fleet Manager لتكوين مُصدِّر Google SecOps. يستخدم هذا التكوين بيانات اعتماد API من مثيل Google SecOps الخاص بك لإنشاء الاتصال الآمن.

1. سجّل الدخول إلى واجهة ويب Fleet Manager أو Sensor الخاصة بـ Corelight Sensor بصفة مسؤول.

2. انتقل إلى منطقة تكوين المُصدِّر:

   • Fleet Manager: انتقل إلى Policies، وحدد سياسة، ثم انقر فوق علامة التبويب Export.
   • Standalone Sensor: انتقل إلى Configuration | Export | Export Configuration.

3. في قسم إنشاء المُصدِّر، انقر فوق Google SecOps.

4. قم بتكوين معلمات الإدخال التالية:

• Name*: اسم فريد لمثيل المُصدِّر هذا (على سبيل المثال، SecOps).
• Google SecOps Customer ID*: معرّف العميل الفريد الخاص بك الذي توفره Google.
• Google SecOps Namespace: مساحة الاسم المنطقية لسجلات Sensor الخاصة بك في Google SecOps.
• Credentials*: بيانات اعتماد حساب الخدمة في Google SecOps (JSON). (الصق محتوى JSON الكامل).
• Google SecOps Labels: تسميات يكوّنها المستخدم لتحديد نطاق البيانات.
• Region*: اسم منطقة GCP المستخدمة بواسطة Google SecOps.
• Batch Max Events: الحد الأقصى لحجم الدفعة.
• Batch Timeout Seconds: الحد الأقصى لعمر الدفعة.
• Proxy URL: عنوان URL للوكيل الشبكي، إذا لزم الأمر.
• Exporter Log Filter: حدد عامل تصفية لتطبيقه على مثيل المُصدِّر هذا.
• Log Type Filter: تضمين أو استبعاد ملفات سجلات معينة بالاسم.
  • Exclude: يزيل السجلات المحددة. سيستمر تصدير أنواع السجلات الجديدة (على سبيل المثال، من الحزم).
  • Include: يصدّر السجلات المحددة فقط. لن يتم تصدير أنواع السجلات الجديدة ما لم تُضاف يدويًا.

5. انقر فوق Done.

6. انقر فوق Apply Changes.

إدخال السجلات إلى Google SecOps باستخدام Forwarder

يوضح مخطط البنية المكونات التالية:

• Corelight Sensor: النظام الذي يقوم بتشغيل Corelight Sensor .

• مُصدِّر Corelight Sensor: يجمع مُصدِّر Corelight Sensor بيانات السجل من Sensor ويعيد توجيهها إلى forwarder الخاص بـ Google Security Operations.

• forwarder الخاص بـ Google Security Operations: مكوّن برمجي خفيف الوزن يُنشر في شبكة العميل ويدعم syslog. يقوم forwarder الخاص بـ Google Security Operations بإعادة توجيه السجلات إلى Google Security Operations.

• Google Security Operations: تحتفظ Google Security Operations بسجلات Corelight Sensor وتحللها.

تكوين forwarder الخاص بـ Google Security Operations

لتكوين forwarder الخاص بـ Google Security Operations، نفّذ ما يلي:

1. قم بإعداد forwarder خاص بـ Google Security Operations. راجع تثبيت وتكوين forwarder على Linux.

2. قم بتكوين forwarder الخاص بـ Google Security Operations لإرسال السجلات إلى Google Security Operations. ```none collectors:

   • syslog: common: enabled: true data_type: CORELIGHT data_hint: batch_n_seconds: 10 batch_n_bytes: 1048576 tcp_address: tcp_buffer_size: 524288 udp_address: connection_timeout_sec: 60

### تكوين مُصدِّر Corelight Sensor 

1. سجّل الدخول إلى Corelight Sensor كمسؤول.
2. حدّد علامة التبويب **Export**.
3. ابحث عن خيار **EXPORT TO SYSLOG** وفعّله.
4. ضمن **EXPORT TO SYSLOG**، قم بتكوين الحقول التالية:
* **SYSLOG SERVER**: حدّد عنوان IP ورقم منفذ مستمع syslog الخاص بموجّه Google Security Operations.
* انتقل إلى **Advanced Settings > SYSLOG FORMAT**، وغيّر الإعداد إلى **Legacy**.

![تكوين Corelight Sensor](https://assets.kitploit.com/production/public/readmes/45240/98e9932cefa08d1f288a8a66675a4ae8398ad3d243bd14379054908875b0da03.jpg)

5. انقر على **Apply Changes**.

## أنواع سجلات Corelight المدعومة