Corelight सेंसर लॉग एकत्र करें

यह दस्तावेज़ बताता है कि आप Corelight सेंसर और Chronicle फॉरवर्डर को कॉन्फ़िगर करके Corelight सेंसर लॉग कैसे एकत्र कर सकते हैं। यह दस्तावेज़ समर्थित लॉग प्रकारों और समर्थित Corelight संस्करणों की सूची भी देता है।

अधिक जानकारी के लिए, देखें Chronicle में डेटा इन्जेशन।

शुरू करने से पहले

• Corelight सेंसर का संस्करण सत्यापित करें। Corelight Google SecOps पार्सर को संस्करण 27.13 और उससे पहले के संस्करणों के लिए डिज़ाइन किया गया था। Corelight सेंसर के बाद के संस्करणों में अतिरिक्त लॉग हो सकते हैं जिन्हें पार्सर पहचान नहीं पाएगा, और उन लॉग्स को सीमित या कोई फ़ील्ड पार्सिंग नहीं मिल सकती है। हालाँकि, लॉग सामग्री अभी भी Google SecOps में रॉ लॉग प्रारूप में उपलब्ध होगी।
• सुनिश्चित करें कि डिप्लॉयमेंट आर्किटेक्चर के सभी सिस्टम UTC समय क्षेत्र के साथ कॉन्फ़िगर किए गए हैं।

डिप्लॉयमेंट और लॉग इन्जेशन विधियाँ

निम्नलिखित डिप्लॉयमेंट आर्किटेक्चर आरेख दर्शाता है कि Corelight सेंसर को दो अलग-अलग इन्जेशन आर्किटेक्चर का उपयोग करके Google Security Operations को लॉग भेजने के लिए कैसे सेट किया जाता है। यह ध्यान रखना महत्वपूर्ण है कि प्रत्येक ग्राहक का डिप्लॉयमेंट इस प्रतिनिधित्व से भिन्न हो सकता है और अधिक जटिल हो सकता है।

एक इन्जेशन लेबल उस पार्सर की पहचान करता है जो रॉ लॉग डेटा को संरचित UDM प्रारूप में सामान्यीकृत करता है। इस दस्तावेज़ की जानकारी CORELIGHT इन्जेशन लेबल वाले पार्सर पर लागू होती है।

Corelight एक्सपोर्टर्स का उपयोग करके Google SecOps में लॉग इन्जेस्ट करना

आर्किटेक्चर आरेख निम्नलिखित घटकों को दर्शाता है:

• Corelight सेंसर: वह सिस्टम जो Corelight सेंसर चला रहा है।

• Corelight सेंसर एक्सपोर्टर्स: Corelight सेंसर एक्सपोर्टर सेंसर से लॉग डेटा एकत्र करता है, और उसे Google Security Operations को अग्रेषित करता है।

• Google Security Operations: Google Security Operations Corelight सेंसर से लॉग को बनाए रखता है और उनका विश्लेषण करता है।

Corelight में Google SecOps एक्सपोर्टर कॉन्फ़िगर करें

Google SecOps एक्सपोर्टर को कॉन्फ़िगर करने के लिए Sensor या Fleet Manager वेब इंटरफ़ेस का उपयोग करें। यह कॉन्फ़िगरेशन सुरक्षित कनेक्शन स्थापित करने के लिए आपके Google SecOps इंस्टेंस की API क्रेडेंशियल्स का उपयोग करता है।

1. Corelight सेंसर के Fleet Manager या Sensor वेब इंटरफ़ेस में व्यवस्थापक के रूप में लॉग इन करें।

2. एक्सपोर्टर कॉन्फ़िगरेशन क्षेत्र पर नेविगेट करें:

   • Fleet Manager: Policies पर नेविगेट करें, एक पॉलिसी चुनें, और Export टैब पर क्लिक करें।
   • Standalone Sensor: Configuration | Export | Export Configuration पर नेविगेट करें।

3. Create Exporter अनुभाग में, Google SecOps पर क्लिक करें।

4. निम्नलिखित इनपुट पैरामीटर कॉन्फ़िगर करें:

• Name*: इस एक्सपोर्टर इंस्टेंस के लिए एक अद्वितीय नाम (उदाहरण के लिए, SecOps)।
• Google SecOps Customer ID*: Google द्वारा प्रदान की गई आपकी अद्वितीय ग्राहक पहचानकर्ता।
• Google SecOps Namespace: Google SecOps में आपके सेंसर लॉग के लिए तार्किक नेमस्पेस।
• Credentials*: Google SecOps सेवा खाता क्रेडेंशियल्स (JSON)। (पूरी JSON सामग्री चिपकाएँ)।
• Google SecOps Labels: डेटा डोमेन की पहचान करने के लिए उपयोगकर्ता-कॉन्फ़िगर किए गए लेबल।
• Region*: Google SecOps द्वारा उपयोग किया जाने वाला GCP क्षेत्र नाम।
• Batch Max Events: अधिकतम बैच आकार।
• Batch Timeout Seconds: बैच की अधिकतम आयु।
• Proxy URL: नेटवर्क प्रॉक्सी URL, यदि आवश्यक हो।
• Exporter Log Filter: इस एक्सपोर्टर इंस्टेंस पर लागू करने के लिए एक फ़िल्टर चुनें।
• Log Type Filter: विशिष्ट लॉग फ़ाइलों को नाम से शामिल करें या बहिष्कृत करें।
  • Exclude: निर्दिष्ट लॉग हटाता है। नए लॉग प्रकार (उदाहरण के लिए, पैकेज से) अभी भी निर्यात किए जाएँगे।
  • Include: केवल निर्दिष्ट लॉग निर्यात करता है। नए लॉग प्रकार तब तक निर्यात नहीं किए जाएँगे जब तक मैन्युअल रूप से नहीं जोड़े जाते।

5. Done पर क्लिक करें।

6. Apply Changes पर क्लिक करें।

फॉरवर्डर का उपयोग करके Google SecOps में लॉग इन्जेस्ट करना

आर्किटेक्चर आरेख निम्नलिखित घटकों को दर्शाता है:

• Corelight सेंसर: वह सिस्टम जो Corelight सेंसर चला रहा है।

• Corelight सेंसर एक्सपोर्टर: Corelight सेंसर एक्सपोर्टर सेंसर से लॉग डेटा एकत्र करता है, और उसे Google Security Operations फॉरवर्डर को अग्रेषित करता है।

• Google Security Operations फॉरवर्डर: Google Security Operations फॉरवर्डर एक हल्का सॉफ़्टवेयर घटक है, जो ग्राहक के नेटवर्क में तैनात किया जाता है, और जो syslog का समर्थन करता है। Google Security Operations फॉरवर्डर लॉग को Google Security Operations को अग्रेषित करता है।

• Google Security Operations: Google Security Operations Corelight सेंसर से लॉग को बनाए रखता है और उनका विश्लेषण करता है। ```none collectors:

  • syslog: common: enabled: true data_type: CORELIGHT data_hint: batch_n_seconds: 10 batch_n_bytes: 1048576 tcp_address: tcp_buffer_size: 524288 udp_address: connection_timeout_sec: 60

### Corelight सेंसर एक्सपोर्टर कॉन्फ़िगर करें

1. Corelight सेंसर में एक व्यवस्थापक के रूप में लॉग इन करें।
2. **Export** टैब चुनें।
3. **EXPORT TO SYSLOG** विकल्प खोजें और सक्षम करें।
4. **EXPORT TO SYSLOG** के अंतर्गत, निम्न फ़ील्ड कॉन्फ़िगर करें:
* **SYSLOG SERVER**: Google Security Operations फ़ॉरवर्डर syslog श्रोता का IP पता और पोर्ट निर्दिष्ट करें।
* **Advanced Settings > SYSLOG FORMAT** पर जाएं और सेटिंग को **Legacy** में बदलें।

![Corelight Sensor Configuration](https://assets.kitploit.com/production/public/readmes/45240/98e9932cefa08d1f288a8a66675a4ae8398ad3d243bd14379054908875b0da03.jpg)

5. **Apply Changes** पर क्लिक करें।

## समर्थित Corelight लॉग प्रकार