Security Data Lake-ийн оролтууд (Inputs)
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
Security Data Lake нь лог өгөгдлийг inputs (оролт) гэсэн нэвтрэх цэгүүдээр хүлээн авдаг. Оролт нь өгөгдлийг чиглүүлдэг streams (урсгал) болон өгөгдлийг хадгалдаг index sets (индексийн багц)-аас өөр зүйл юм.
Оролтын ангилал
Оролт хоёр ангилалтай:
- Listener inputs (сонсогч оролт) - Эдгээр оролт гадаад системээс ирэх мессежийг хүлээнэ. Сүлжээний порт эсвэл endpoint нээгээд төхөөрөмж, агент, программаас илгээсэн өгөгдлийг тасралтгүй «сонсдог». Сонсогч оролтыг ихэвчлэн TCP, UDP, HTTP, gRPC протоколоор лог бодит цагт дамжуулахад хэрэглэнэ (жишээ нь Syslog, GELF, OpenTelemetry).
Эдгээр оролтыг General > Enterprise > Forwarders > Input Profiles > input profile-ийн нэр > Inputs цэснээс олно.
> Тэмдэглэл: TCP оролт илүү найдвартай, учир нь мессеж бүрийг сүлжээний түвшинд баталгаажуулдаг. UDP оролт илүү өндөр дамжуулах чадвартай боловч мессеж хүрэх баталгаагүй.
- Pull Inputs (татах оролт) - Эдгээр оролт алсын үйлчилгээ эсвэл API-д өөрөө холбогдож, тогтмол давтамжтайгаар лог өгөгдлийг татаж авдаг. Үүнийг ихэвчлэн үүлэн платформ, аюулгүй байдлын хэрэгсэл, SaaS программаас өгөгдөл цуглуулахад хэрэглэнэ (жишээ нь AWS CloudTrail, Microsoft 365, CrowdStrike). Татах оролт нь өгөгдөл татах төхөөрөмж эсвэл үйлчилгээнд нэвтрэх эрх шаардлагатай байдаг.
Эдгээр оролтыг General > System > Inputs цэснээс олно.
Шинэ оролт тохируулах
Энэ нийтлэлд оролт үүсгэх, параметрүүдийг тохируулах, лог өгөгдөл хүлээн авахад бэлтгэх тухай мэдээлэл багтсан.
Оролт нь Security Data Lake-д орж ирэх өгөгдлийн нэвтрэх цэг юм. Тэд Security Data Lake сервер, программ, сүлжээний төхөөрөмж зэрэг өгөгдлийн эх үүсвэртэй хэрхэн холбогдохыг тодорхойлж, платформд лог мессеж хүлээн авах боломж олгоно.
Урьдчилсан нөхцөл
Сонгосон оролтын төрөлтэй Security Data Lake-ийн нийцтэй форматаар өгөгдөл илгээж чадах лог эх үүсвэртэй байх хэрэгтэй. Тохиргооны дэлгэрэнгүй зааврыг тухайн оролтын төрлийн баримтаас үзнэ үү.
Шинэ Listener оролт үүсгэх
Шинэ Listener оролт үүсгэхийн тулд дараах алхмыг хийнэ:
- Enterprise > Forwarders-ийг сонгоно.
- Forwarders хуудсан дээрх Input Profiles табыг сонгоно.
- Input Profiles хүснэгтээс одоо байгаа input profile-ийн Title (гарчиг)-ийг дарж сонгоно, эсвэл New Input Profile-ийг дараад Title болон (заавал биш) Description (тайлбар) бичиж Create-ийг дарна. Шинэ input profile мөн Input Profiles хүснэгтэд харагдана.
- Хүснэгтээс input profile сонгоход нээгдэх хуудсан дээр Create input-ийг дараад Select Input Type унждаг цэснээс оролтын төрлийг сонгоно.
- Тохиргооны талбаруудыг шаардлагатай бол засна. Оролт тус бүрийн тохиргооны сонголтын талаар доорх «Оролтын төрлүүд» хэсгээс үзнэ үү.
- Тохиргоогоо дуусгаад Create input-ийг дарна.
Та input profile-ийн хуудас руу буцах бөгөөд шинэ оролт Inputs хэсэгт харагдана.
- Дараа нь input profile-ийг forwarder-т онооно. Assign to Forwarders-ийг дараад унждаг жагсаалтаас forwarder сонгож, Save-ийг дарна.
Шинэ Pull оролт үүсгэх
Шинэ Pull оролт үүсгэхийн тулд дараах алхмыг хийнэ:
- Дэлгэцийн дээд талаас System-ийг сонгоно.
- Унждаг цэснээс Inputs-ийг сонгоно.
Inputs хуудас нээгдэнэ.
- Select Input унждаг цэснээс тохируулах оролтын төрлийг сонгоно.
- Launch new input-ийг сонгоно.
Launch new Input цонх нээгдэнэ.
- Оролтыг тохируулахад шаардлагатай бүх мэдээллийг оруулна.
- Launch Input-ийг сонгоно.
Шинэ оролт Inputs хуудсанд харагдана. Эхлээд энэ нь зогссон төлөвт байх бөгөөд эх үүсвэрээс лог хүлээн авахгүй. Тохиргоог дуусгаж, өгөгдлийн чиглүүлэлтийг эхлүүлэхийн тулд шинээр үүссэн оролтын хажууд байгаа Setup Input-ийг сонгоно.
Pull оролтыг бүрэн тохируулах
Pull оролт үүсгэсний дараа энэ нь зогссон төлөвт харагдах бөгөөд эх үүсвэрээс лог хүлээн авахгүй. Тохиргоог дуусгаж, өгөгдлийн чиглүүлэлтийг идэвхжүүлэхийн тулд шинээр үүссэн оролтын хажууд байгаа Set-up Input-ийг сонгоно.
Оролтыг тохируулахын тулд дараах алхмыг хийнэ:
- Local Inputs хэсэгт шинээр үүссэн оролтын Set-up Input товчийг сонгоно.
Тохируулах горим нь сонгосон оролттой холбоотой Illuminate Processing Packs-ийн жагсаалтаар эхэлнэ.
Эдгээр багцад ирж буй лог өгөгдлийг Common Information Model (GIM) схем рүү хөрвүүлж, нормчилж, баяжуулдаг задлан шинжлэх дүрмүүд агуулагдана. Жишээ нь GravityZone эсвэл Telemetry багц зэрэг Bitdefender Illuminate Packages-ийн аль нэгийг сонговол тэдгээр өгөгдлийн эх үүсвэрт тохирох задлан шинжлэх, баяжуулах логик автоматаар хэрэгжинэ. Харин GELF HTTP оролт сонговол Illuminate нь ерөнхий GELF оролтод багц өгдөггүй тул Processing эсвэл Spotlight Packs харагдахгүй.
Input Setup Wizard цонх нээгдэнэ.
- Select Illuminate Packs таб дор дараах сонголтын нэгийг хийнэ:
- Хэрэглэх Illuminate Packs-ээ сонгоно. Content эсвэл Spotlight pack аль хэдийн суулгасан бол жагсаалтад сонгох боломжгүй хэлбэрээр харагдана.
> Тэмдэглэл: Орж ирсэн лог өгөгдлийг Illuminate боловсруулж, тохирох Illuminate stream болон index set рүү чиглүүлнэ.
Шаардлагатай Illuminate Processing Packs-ээ сонгосны дараа Security Data Lake тухайн оролттой холбоотой Content болон Spotlight Packs-ийг харуулна. Эдгээр багц нь GIM схемээр задлагдсан логтой ажилладаг хяналтын самбар, Sigma дүрэм, үйл явдлуудыг суулгана.
- Illuminate агуулга байхгүй эсвэл боломжгүй бол Skip Illuminate-ийг сонгож өгөгдлийн чиглүүлэлтийн тохиргоогоо хийнэ.
Дараа нь хоёр сонголтын нэгийг сонгоно:
> Зөвлөмж: Лог өгөгдлийг цэгцтэй, ангилалтай байлгахын тулд оролт бүрт шинэ stream үүсгэхийг зөвлөж байна.
- Одоо байгаа stream руу өгөгдөл чиглүүлэх (Select Stream-ийг сонгоно).
Одоо байгаа stream сонговол түүнд холбогдсон тохиргоо мөн хэрэгжинэ. Одоо байгаа stream руу чиглүүлвэл Security Data Lake All Messages stream-д All Messages Routing нэртэй өөрчлөх боломжгүй анхдагч pipeline-ийг холбоно. Энэ pipeline-ийг салгах, устгах, нэрийг нь солих, засахыг хориглоно.
- Шинэ stream үүсгэх (Create Stream-ийг сонгоно).
Чиглүүлэлт тохируулах явцад pipeline болон index set-ийг мөн үүсгэж болно.
Энэ сонголтыг хийсний дараа дараах алхмыг хийнэ:
1. Гарчиг оруулна – Stream-ийг дараа нь таних зорилгоор тодорхой нэр өгнө.
2. Тайлбар нэмнэ (заавал биш) – Stream-ийн зорилго эсвэл боловсруулах өгөгдлийн төрлийн талаар дэлгэрэнгүй бичнэ.
3. Remove matches from ‘Default Stream’-ийг сонгоно – Энэ сонголтыг идэвхжүүлснээр энэ stream-д таарсан мессеж Default Stream-д давхар харагдахгүй. Ингэснээр мессеж давхардахаас сэргийлнэ.
4. Stream-д зориулсан тусгай pipeline автоматаар үүсгэхийн тулд Create a new pipeline for this stream-ийг сонгоно. Pipeline нь мессежийг хэрхэн боловсруулахыг (жишээ нь шүүх, баяжуулах) тодорхойлно.
5. Шинэ index set үүсгэнэ эсвэл одоо байгааг сонгоно.
6. Launch таб руу үргэлжлүүлэхийн тулд Next-ийг сонгоно.
- Start Input-ийг сонгоно.
- (Заавал биш) Launch Input Diagosis-ийг сонгоно.
Оролтын тохиргоог дуусгасны дараа Input Diagnosis хуудас нээгдэнэ. Энэ хуудас оролтын одоогийн төлөв, мессежийн урсгал, алдааг олж засварлах мэдээллийн тоймыг харуулна. Оролтын гарчиг, төрөл, хүлээн авсан мессежийн тоо, сүлжээний хэмжүүр, мессежийн алдаа зэргийг харуулдаг. Оролт зөв ажиллаж, мессеж хүлээн авч байгаа эсэхийг энэ хуудсаар шалгана.
Оролтын төрлүүд
Оролт нь Security Data Lake-д янз бүрийн эх үүсвэрээс лог болон үйл явдлын өгөгдөл ирэх нэвтрэх цэгүүд юм. Оролтын төрөл бүр өгөгдлийг хэрхэн цуглуулж, платформ руу дамжуулахыг тодорхойлно.
Тохирох оролтын төрлийг сонговол Security Data Lake байгууллагын дотоод систем болон үүлэн эх үүсвэр хоёроос мессежийг үр дүнтэй хүлээн авч боловсруулна. Доорх жагсаалтад дэмжигдсэн бүх оролт, тэдгээрийн төрөл, Security Data Lake-ийн аль хэсэгт тохируулж болохыг үзүүлнэ. Жагсаалтын мөр бүр «оролт — төрөл; System доор боломжтой эсэх; Forwarder доор боломжтой эсэх» гэсэн дарааллаар бичигдсэн.
- AWS CloudTrail — Pull; System: Yes; Forwarder: No
- AWS Kinesis/CloudWatch — Pull; System: Yes; Forwarder: Yes
- AWS S3 — Pull; System: Yes; Forwarder: Yes
- AWS Security Lake — Pull; System: Yes; Forwarder: Yes
- Azure Event Hubs — Pull; System: Yes; Forwarder: No
- Beats — Listener; System: No; Forwarder: Yes
- Beats Kafka — Listener (Kafka consumer); System: No; Forwarder: Yes
- Bitdefender GravityZone — Listener; System: No; Forwarder: Yes
- Bitdefender Telemetry (syslog) — Listener; System: No; Forwarder: Yes
- CEF (CEF AMQP, CEF KAFKA, CEF TCP, CEF UDP) — Listener; System: No; Forwarder: Yes
- Cloudflare Logpush with Raw HTTP — Listener; System: No; Forwarder: Yes
- CrowdStrike — Pull; System: Yes; Forwarder: No
- GELF (GELF AQMP, GELF HTTP, GELF TCP, GELF UDP) — Listener; System: No; Forwarder: Yes
- GELF Kafka — Listener (Kafka consumer); System: No; Forwarder: Yes
- Google Workspace (GCP Log Events) — Pull; System: Yes; Forwarder: No
- IPFIX — Listener; System: No; Forwarder: Yes
- JSON Path value from HTTP API — Pull; System: Yes; Forwarder: Yes
- Microsoft Defender for Endpoint — Pull; System: Yes; Forwarder: No
- Microsoft Graph — Pull; System: Yes; Forwarder: No
- Microsoft Office 365 (Office 365 Log Events) — Pull; System: No; Forwarder: Yes
- Mimecast — Pull; System: Yes; Forwarder: No
- NetFlow (NefFlow UDP) — Listener; System: No; Forwarder: Yes
- Okta Log Events — Pull; System: Yes; Forwarder: Yes
- OpenTelemetry (gRPC) — Listener; System: No; Forwarder: Yes
- Palo Alto Networks — Listener; System: No; Forwarder: Yes
- Random HTTP message generator — Generator (туршилтын / синтетик); System: Yes; Forwarder: Yes
- Raw HTTP — Listener; System: Yes; Forwarder: Yes
- Raw or plaintext input (Plaintext AMQP, Plaintext Kafka, Plaintext TCP, Plaintext UDP) — Listener; System: No; Forwarder: Yes
- Syslog input (AMQP, Kafka, TCP, UDP) — Listener; System: No; Forwarder: Yes
- Salesforce — Pull; System: Yes; Forwarder: No
- Sophos Central — Pull; System: Yes; Forwarder: No
- Symantec SES Events — Pull; System: Yes; Forwarder: No
Бусад хэсэг
Энэ хуудсанд гарсан нэр томъёо
- Endpoint
- Хамгаалж буй компьютер, сервер, виртуал машин
- Network
- Таны байгууллагын бүх төхөөрөмжийн жагсаалт (Inventory)