Coletar logs do Corelight Sensor

Este documento descreve como você pode coletar logs do Corelight Sensor configurando o Corelight Sensor e um forwarder do Chronicle. Este documento também lista os tipos de log compatíveis e as versões compatíveis do Corelight.

Para mais informações, consulte Ingestão de dados no Chronicle.

Antes de começar

• Verifique a versão do Corelight Sensor. O parser do Google SecOps para Corelight foi projetado para a versão 27.13 e anteriores. Versões posteriores do Corelight Sensor podem ter logs adicionais que o parser não reconhece, e esses logs podem receber parsing de campos limitado ou nenhum. No entanto, o conteúdo do log ainda estará disponível no formato de log bruto no Google SecOps.
• Garanta que todos os sistemas na arquitetura de implantação estejam configurados com o fuso horário UTC.

Métodos de implantação e ingestão de logs

O diagrama da arquitetura de implantação a seguir ilustra como um Corelight Sensor é configurado para enviar logs ao Google Security Operations usando duas arquiteturas de ingestão diferentes. É importante observar que cada implantação de cliente pode variar em relação a esta representação e pode ser mais complexa.

Um rótulo de ingestão identifica o parser que normaliza os dados de log brutos para o formato UDM estruturado. As informações neste documento se aplicam ao parser com o rótulo de ingestão CORELIGHT.

Ingestão de logs no Google SecOps usando os exporters do Corelight

O diagrama da arquitetura mostra os seguintes componentes:

• Corelight Sensor: O sistema que executa o Corelight Sensor .

• Exporters do Corelight Sensor: O exporter do Corelight Sensor coleta dados de log do Sensor e os encaminha para o Google Security Operations.

• Google Security Operations: O Google Security Operations retém e analisa os logs do Corelight Sensor.

Configurar o exporter do Google SecOps no Corelight

Use a interface web do Sensor ou do Fleet Manager para configurar o exporter do Google SecOps. Essa configuração usa as credenciais de API da sua instância do Google SecOps para estabelecer a conexão segura.

1. Faça login na interface web do Fleet Manager ou do Sensor do Corelight Sensor como administrador.

2. Navegue até a área de configuração de exporters:

   • Fleet Manager: Navegue até Policies, selecione uma política e clique na aba Export.
   • Sensor autônomo: Navegue até Configuration | Export | Export Configuration.

3. Na seção Create Exporter, clique em Google SecOps.

4. Configure os seguintes parâmetros de entrada:

• Name*: Um nome exclusivo para esta instância de exporter (por exemplo, SecOps).
• Google SecOps Customer ID*: Seu identificador de cliente exclusivo fornecido pelo Google.
• Google SecOps Namespace: O namespace lógico para seus logs do Sensor no Google SecOps.
• Credentials*: As credenciais da conta de serviço do Google SecOps (JSON). (Cole o conteúdo JSON completo).
• Google SecOps Labels: Rótulos configurados pelo usuário para identificar o domínio de dados.
• Region*: O nome da região do GCP usada pelo Google SecOps.
• Batch Max Events: O tamanho máximo do lote.
• Batch Timeout Seconds: A idade máxima de um lote.
• Proxy URL: A URL do proxy de rede, se necessário.
• Exporter Log Filter: Selecione um filtro para aplicar a esta instância de exporter.
• Log Type Filter: Inclua ou exclua arquivos de log específicos por nome.
  • Exclude: Remove os logs especificados. Novos tipos de log (por exemplo, de pacotes) ainda serão exportados.
  • Include: Exporta apenas os logs especificados. Novos tipos de log NÃO serão exportados, a menos que sejam adicionados manualmente.

5. Clique em Done.

6. Clique em Apply Changes.

Ingestão de logs no Google SecOps usando um forwarder

O diagrama da arquitetura mostra os seguintes componentes:

• Corelight Sensor: O sistema que executa o Corelight Sensor .

• Exporter do Corelight Sensor: O exporter do Corelight Sensor coleta dados de log do Sensor e os encaminha para o forwarder do Google Security Operations.

• Forwarder do Google Security Operations: O forwarder do Google Security Operations é um componente de software leve, implantado na rede do cliente, que suporta syslog. O forwarder do Google Security Operations encaminha os logs para o Google Security Operations.

• Google Security Operations: O Google Security Operations retém e analisa os logs do Corelight Sensor.

Configurar o forwarder do Google Security Operations

Para configurar o forwarder do Google Security Operations, faça o seguinte:

1. Configure um forwarder do Google Security Operations. Consulte Instalar e configurar o forwarder no Linux.

2. Configure o forwarder do Google Security Operations para enviar logs ao Google Security Operations. ```none collectors:

   • syslog: common: enabled: true data_type: CORELIGHT data_hint: batch_n_seconds: 10 batch_n_bytes: 1048576 tcp_address: tcp_buffer_size: 524288 udp_address: connection_timeout_sec: 60

### Configurar o exportador do Corelight Sensor

1. Inicie sessão no Corelight Sensor como administrador.
2. Selecione o separador **Export**.
3. Localize e ative a opção **EXPORT TO SYSLOG**.
4. Em **EXPORT TO SYSLOG**, configure os seguintes campos:
* **SYSLOG SERVER**: especifique o endereço IP e a porta do listener de syslog do forwarder do Google Security Operations.
* Navegue até **Advanced Settings > SYSLOG FORMAT** e altere a definição para **Legacy**.

![Configuração do Corelight Sensor](https://assets.kitploit.com/production/public/readmes/45240/98e9932cefa08d1f288a8a66675a4ae8398ad3d243bd14379054908875b0da03.jpg)

5. Clique em **Apply Changes**.

## Tipos de log Corelight suportados