corelight/corelightforsentineloneसेंटिनल वन सिंगुलेरिटी के लिए कोरलाइट डैशबोर्ड और पार्सर
यह गाइड आपको SentinelOne डैशबोर्ड सेट अप और उपयोग करने में मदद करेगा, जो आपके नेटवर्क ट्रैफ़िक की निगरानी और विश्लेषण के लिए शक्तिशाली डेटा इनसाइट्स प्रदान करते हैं। चाहे आप सुरक्षा विश्लेषक (security analyst), नेटवर्क प्रशासक (network administrator), या IT पेशेवर हों, ये डैशबोर्ड आपको आपके नेटवर्क की सुरक्षा स्थिति को आसानी से विज़ुअलाइज़ और ट्रैक करने में मदद करेंगे।
-- TBD --
नोट: यदि आप मार्केटप्लेस के बजाय इंस्टॉलेशन के लिए GitHub रिपॉज़िटरी का उपयोग करना पसंद करते हैं तो इन चरणों का पालन करें। यदि आप पहले ही parser इंस्टॉल कर चुके हैं, तो कृपया इन चरणों को छोड़ दें।
चरण 1: Singularity Operations Center में, नीचे बाएँ कोने से Policy and Settings Section पर जाएँ।
चरण 2: Policy and Settings अनुभागों से, Parsers खोजें और आप इसे Products Section में देखेंगे।
चरण 3: Parsers अनुभाग पर क्लिक करें और आपको अंतर्निहित (inbuilt) के साथ-साथ बनाए गए parsers की सूची दिखाई देगी।
चरण 4: अब, नया parser जोड़ने के लिए ऊपरी दाएँ कोने से Add parser बटन पर क्लिक करें और आपको parser का नाम जोड़ने के लिए एक प्रॉम्प्ट दिखाई देगा; Ok पर क्लिक करें जिससे parser बन जाएगा।
चरण 5: लॉग नाम के साथ नया parser जोड़ने के बाद, github रिपॉज़िटरी में parsers फ़ोल्डर पर जाएँ, उस विशिष्ट लॉग फ़ाइल को खोजें, उस फ़ाइल से कोड कॉपी करें और नीचे हाइलाइट किए गए अनुभाग में पेस्ट करें।
चरण 6: github रिपॉज़िटरी से कॉपी किया गया कोड जोड़ने के बाद, Save File पर क्लिक करें और parser जुड़ जाएगा, जिसे आप Parsers अनुभाग में देख सकते हैं।
नोट: SentinelOne वर्तमान में 25 विभिन्न लॉग parsers का समर्थन करता है। यदि आपको मौजूदा सूची में शामिल नहीं किए गए किसी नए लॉग प्रकार के लिए parser जोड़ने की आवश्यकता है, तो आप उस लॉग प्रकार के लिए parser को कॉन्फ़िगर और एकीकृत करने हेतु नीचे दिए गए चरणों का पालन कर सकते हैं।
जेनेरिक parser का उपयोग कैसे करें?
जेनेरिक parser का उपयोग करने के लिए, पहले GitHub Repository के माध्यम से Parser इंस्टॉल करना अनुभाग से चरण 1 से 4 पूरे करें, और फिर निम्नलिखित चरणों के साथ आगे बढ़ें।
Parser बनाने के बाद, corelight-generic parser से कोड कॉपी करें और उसे अपने बनाए गए parser में पेस्ट करें, अपनी आवश्यकता के अनुसार अधिक विवरण जोड़ें और फिर parser को सेव करें।
SentinelOne Singularity Data Lake में डेटा इन्जेस्ट करने के लिए, SentinelOne दस्तावेज़ में (Singularity Marketplace → Marketplace Ingestion Integrations → Corelight Zeek Network Security Parser Integration with SentinelOne) के अंतर्गत दिए गए चरणों का पालन करें।
नोट: यदि आप parsers को GitHub repo से इंस्टॉल कर रहे हैं, तो सुनिश्चित करें कि sourcetype टेम्पलेट को "corelight-$LOG-dev" के रूप में अपडेट करें।
डैशबोर्ड को भरने (populate) के लिए हमें कुछ कॉन्फ़िगरेशन फ़ाइलों (यानी Lookup फ़ाइलें) की आवश्यकता होती है, जिन्हें हमें जोड़ना होता है।
चरण 1: Singularity Operations Center में, नीचे बाएँ कोने से Policy and Settings Section पर जाएँ।
चरण 2: Policy and Settings अनुभागों से, कॉन्फ़िगरेशन फ़ाइलें खोजें और आप इसे Products Section में देखेंगे।
चरण 3: कॉन्फ़िगरेशन फ़ाइलों पर जाएँ और आपको कॉन्फ़िगरेशन फ़ाइलों की सूची दिखाई देगी।
चरण 4: उसमें New File पर क्लिक करें और github रिपॉज़िटरी के lookups फ़ोल्डर में बताए गए समान नामों वाली सभी फ़ाइलें बनाएँ।
चरण 5: github रिपॉज़िटरी में बताए गए समान नामों से फ़ाइलें बनाने के बाद, lookup फ़ाइलों की सामग्री भी कॉपी करें और प्रत्येक फ़ाइल को सेव करें।
ऐसा करने के बाद, सभी lookup फ़ाइलें बन जाएँगी।
लॉग इन करने के बाद, नेविगेशन मेनू में Dashboards अनुभाग खोजें। यह अनुभाग आपको सभी उपलब्ध डैशबोर्ड को प्रबंधित और देखने की सुविधा देता है।
आगे बढ़ने के लिए Dashboards विकल्प पर क्लिक करें।
अपना कनेक्शन चुनें: ऊपरी-बाएँ कोने में आपको Select Connection लेबल वाला एक ड्रॉप-डाउन मेनू मिलेगा। यहाँ, वह कनेक्शन चुनें जिसे आप मॉनिटर करना चाहते हैं।
अपनी साइट चुनें: कनेक्शन चुनने के बाद, आपको उस कनेक्शन से जुड़ी साइटों की सूची दिखाई देगी। वह साइट चुनें जिसका आप विश्लेषण करना चाहते हैं।
