Recopilar registros del Sensor de Corelight

Este documento describe cómo puede recopilar registros del Sensor de Corelight mediante la configuración del Sensor de Corelight y un forwarder de Chronicle. Este documento también enumera los tipos de registro admitidos y las versiones de Corelight admitidas.

Para obtener más información, consulte Ingesta de datos en Chronicle.

Antes de comenzar

• Verifique la versión del Sensor de Corelight. El analizador de Google SecOps para Corelight se diseñó para la versión 27.13 y versiones anteriores. Las versiones posteriores del Sensor de Corelight pueden tener registros adicionales que el analizador no reconocerá, y esos registros podrían recibir un análisis de campos limitado o nulo. Sin embargo, el contenido de los registros seguirá disponible en el formato de registro sin procesar en Google SecOps.
• Asegúrese de que todos los sistemas en la arquitectura de implementación estén configurados con la zona horaria UTC.

Métodos de implementación e ingesta de registros

El siguiente diagrama de arquitectura de implementación ilustra cómo se configura un Sensor de Corelight para enviar registros a Google Security Operations mediante dos arquitecturas de ingesta diferentes. Es importante tener en cuenta que cada implementación de cliente puede variar con respecto a esta representación y podría ser más compleja.

Una etiqueta de ingesta identifica el analizador que normaliza los datos de registro sin procesar al formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de ingesta CORELIGHT.

Ingesta de registros en Google SecOps mediante exportadores de Corelight

El diagrama de arquitectura muestra los siguientes componentes:

• Sensor de Corelight: El sistema que ejecuta el Sensor de Corelight .

• Exportadores del Sensor de Corelight: El exportador del Sensor de Corelight recopila los datos de registro del Sensor y los reenvía a Google Security Operations.

• Google Security Operations: Google Security Operations conserva y analiza los registros del Sensor de Corelight.

Configurar el exportador de Google SecOps en Corelight

Use la interfaz web del Sensor o de Fleet Manager para configurar el exportador de Google SecOps. Esta configuración utiliza las credenciales de API de su instancia de Google SecOps para establecer la conexión segura.

1. Inicie sesión como administrador en la interfaz web de Fleet Manager o del Sensor de Corelight.

2. Navegue hasta el área de configuración del exportador:

   • Fleet Manager: Navegue hasta Políticas, seleccione una política y haga clic en la pestaña Exportar.
   • Sensor independiente: Navegue a Configuración | Exportación | Configuración de exportación.

3. En la sección Crear exportador, haga clic en Google SecOps.

4. Configure los siguientes parámetros de entrada:

• Nombre*: Un nombre único para esta instancia de exportador (por ejemplo, SecOps).
• ID de cliente de Google SecOps*: Su identificador de cliente único proporcionado por Google.
• Espacio de nombres de Google SecOps: El espacio de nombres lógico para los registros de su Sensor en Google SecOps.
• Credenciales*: Las credenciales de la cuenta de servicio de Google SecOps (JSON). (Pegue el contenido JSON completo).
• Etiquetas de Google SecOps: Etiquetas configuradas por el usuario para identificar el dominio de datos.
• Región*: El nombre de la región de GCP utilizada por Google SecOps.
• Cantidad máxima de eventos por lote: El tamaño máximo del lote.
• Tiempo de espera del lote en segundos: La antigüedad máxima de un lote.
• URL del proxy: La URL del proxy de red, si es necesario.
• Filtro de registros del exportador: Seleccione un filtro para aplicar a esta instancia de exportador.
• Filtro de tipo de registro: Incluya o excluya archivos de registro específicos por nombre.
  • Excluir: Elimina los registros especificados. Los nuevos tipos de registros (por ejemplo, de paquetes) se seguirán exportando.
  • Incluir: Exporta solo los registros especificados. Los nuevos tipos de registros NO se exportarán a menos que se agreguen manualmente.

5. Haga clic en Listo.

6. Haga clic en Aplicar cambios.

Ingesta de registros en Google SecOps mediante un forwarder

El diagrama de arquitectura muestra los siguientes componentes:

• Sensor de Corelight: El sistema que ejecuta el Sensor de Corelight .

• Exportador del Sensor de Corelight: El exportador del Sensor de Corelight recopila los datos de registro del Sensor y los reenvía al forwarder de Google Security Operations.

• Forwarder de Google Security Operations: El forwarder de Google Security Operations es un componente de software ligero, implementado en la red del cliente, que admite syslog. El forwarder de Google Security Operations reenvía los registros a Google Security Operations.

• Google Security Operations: Google Security Operations conserva y analiza los registros del Sensor de Corelight.

Configurar el forwarder de Google Security Operations

Para configurar el forwarder de Google Security Operations, haga lo siguiente:

1. Configure un forwarder de Google Security Operations. Consulte Instalación y configuración del forwarder en Linux.

2. Configure el forwarder de Google Security Operations para enviar registros a Google Security Operations. ```none collectors:

   • syslog: common: enabled: true data_type: CORELIGHT data_hint: batch_n_seconds: 10 batch_n_bytes: 1048576 tcp_address: tcp_buffer_size: 524288 udp_address: connection_timeout_sec: 60

### Configurar el exportador de Corelight Sensor

1. Inicie sesión en Corelight Sensor como administrador.
2. Seleccione la pestaña **Export**.
3. Busque y habilite la opción **EXPORT TO SYSLOG**.
4. En **EXPORT TO SYSLOG**, configure los siguientes campos:
* **SYSLOG SERVER**: Especifique la dirección IP y el puerto del listener de syslog del reenviador de Google Security Operations.
* Vaya a **Advanced Settings > SYSLOG FORMAT** y cambie el ajuste a **Legacy**.

![Configuración de Corelight Sensor](https://assets.kitploit.com/production/public/readmes/45240/98e9932cefa08d1f288a8a66675a4ae8398ad3d243bd14379054908875b0da03.jpg)