Corelight Sensor 로그 수집

이 문서에서는 Corelight Sensor와 Chronicle 포워더를 구성하여 Corelight Sensor 로그를 수집하는 방법을 설명합니다. 또한 지원되는 로그 유형과 지원되는 Corelight 버전을 나열합니다.

자세한 내용은 Chronicle로 데이터 수집을 참조하세요.

시작하기 전에

• Corelight Sensor 버전을 확인합니다. Corelight Google SecOps 파서는 버전 27.13 이하를 위해 설계되었습니다. 이후 버전의 Corelight Sensor에는 파서가 인식하지 못하는 추가 로그가 있을 수 있으며, 이러한 로그는 필드 파싱이 제한되거나 전혀 이루어지지 않을 수 있습니다. 그러나 로그 콘텐츠는 여전히 Google SecOps에서 원시 로그 형식으로 확인할 수 있습니다.
• 배포 아키텍처의 모든 시스템이 UTC 시간대로 구성되어 있는지 확인합니다.

배포 및 로그 수집 방법

다음 배포 아키텍처 다이어그램은 두 가지 서로 다른 수집 아키텍처를 사용하여 Corelight Sensor가 Google Security Operations에 로그를 보내도록 설정되는 방식을 보여줍니다. 각 고객 배포는 이 표현과 다를 수 있으며 더 복잡할 수 있다는 점에 유의해야 합니다.

수집 라벨은 원시 로그 데이터를 구조화된 UDM 형식으로 정규화하는 파서를 식별합니다. 이 문서의 정보는 CORELIGHT 수집 라벨이 있는 파서에 적용됩니다.

Corelight 내보내기를 사용하여 Google SecOps로 로그 수집

아키텍처 다이어그램은 다음 구성 요소를 보여줍니다.

• Corelight Sensor: Corelight Sensor 를 실행하는 시스템입니다.

• Corelight Sensor exporters: Corelight Sensor exporter는 Sensor에서 로그 데이터를 수집하여 Google Security Operations로 전달합니다.

• Google Security Operations: Google Security Operations는 Corelight Sensor의 로그를 보관하고 분석합니다.

Corelight에서 Google SecOps 내보내기 구성

Sensor 또는 Fleet Manager 웹 인터페이스를 사용하여 Google SecOps 내보내기를 구성합니다. 이 구성은 Google SecOps 인스턴스의 API 자격 증명을 사용하여 보안 연결을 설정합니다.

1. 관리자로 Corelight Sensor의 Fleet Manager 또는 Sensor 웹 인터페이스에 로그인합니다.

2. 내보내기 구성 영역으로 이동합니다.

   • Fleet Manager: Policies로 이동하여 정책을 선택하고 Export 탭을 클릭합니다.
   • Standalone Sensor: Configuration | Export | Export Configuration으로 이동합니다.

3. Create Exporter 섹션에서 Google SecOps를 클릭합니다.

4. 다음 입력 매개변수를 구성합니다.

• Name*: 이 내보내기 인스턴스의 고유 이름입니다(예: SecOps).
• Google SecOps Customer ID*: Google에서 제공하는 고객 고유 식별자입니다.
• Google SecOps Namespace: Google SecOps에서 Sensor 로그의 논리적 네임스페이스입니다.
• Credentials*: Google SecOps 서비스 계정 자격 증명(JSON)입니다. (전체 JSON 콘텐츠를 붙여넣습니다).
• Google SecOps Labels: 데이터 도메인을 식별하는 사용자 구성 라벨입니다.
• Region*: Google SecOps에서 사용하는 GCP 리전 이름입니다.
• Batch Max Events: 최대 배치 크기입니다.
• Batch Timeout Seconds: 배치의 최대 수명입니다.
• Proxy URL: 필요한 경우 네트워크 프록시 URL입니다.
• Exporter Log Filter: 이 내보내기 인스턴스에 적용할 필터를 선택합니다.
• Log Type Filter: 이름으로 특정 로그 파일을 포함하거나 제외합니다.
  • Exclude: 지정된 로그를 제거합니다. 새 로그 유형(예: 패키지의 로그)은 계속 내보내집니다.
  • Include: 지정된 로그만 내보냅니다. 새 로그 유형은 수동으로 추가하지 않는 한 내보내지지 않습니다.

5. Done을 클릭합니다.

6. Apply Changes를 클릭합니다.

포워더를 사용하여 Google SecOps로 로그 수집

아키텍처 다이어그램은 다음 구성 요소를 보여줍니다.

• Corelight Sensor: Corelight Sensor 를 실행하는 시스템입니다.

• Corelight Sensor exporter: Corelight Sensor exporter는 Sensor에서 로그 데이터를 수집하여 Google Security Operations 포워더로 전달합니다.

• Google Security Operations forwarder: Google Security Operations 포워더는 고객 네트워크에 배포되는 경량 소프트웨어 구성 요소로 syslog를 지원합니다. Google Security Operations 포워더는 로그를 Google Security Operations로 전달합니다.

• Google Security Operations: Google Security Operations는 Corelight Sensor의 로그를 보관하고 분석합니다.

Google Security Operations 포워더 구성

Google Security Operations 포워더를 구성하려면 다음을 수행합니다.

1. Google Security Operations 포워더를 설정합니다. Linux에서 포워더 설치 및 구성을 참조하세요.

2. Google Security Operations 포워더가 로그를 Google Security Operations로 보내도록 구성합니다. ```none collectors:

   • syslog: common: enabled: true data_type: CORELIGHT data_hint: batch_n_seconds: 10 batch_n_bytes: 1048576 tcp_address: tcp_buffer_size: 524288 udp_address: connection_timeout_sec: 60

### Corelight Sensor 내보내기 구성

1. 관리자로 Corelight Sensor에 로그인합니다.
2. **Export** 탭을 선택합니다.
3. **EXPORT TO SYSLOG** 옵션을 찾아 활성화합니다.
4. **EXPORT TO SYSLOG**에서 다음 필드를 구성합니다.
* **SYSLOG SERVER**: Google Security Operations 포워더 syslog 리스너의 IP 주소와 포트를 지정합니다.
* **Advanced Settings > SYSLOG FORMAT**(으)로 이동하여 설정을 **Legacy**(으)로 변경합니다.

![Corelight Sensor Configuration](https://assets.kitploit.com/production/public/readmes/45240/98e9932cefa08d1f288a8a66675a4ae8398ad3d243bd14379054908875b0da03.jpg)

5. **Apply Changes**를 클릭합니다.

## 지원되는 Corelight 로그 유형