收集 Illumio Core 記錄

支援的國家/地區：

Google SecOps SIEM

注意： 這項功能受《Google Security Operations 服務專屬條款》的《正式發布前產品條款》規範。正式發布前的功能或許只提供部分支援，而且這類功能的變更可能與其他正式發布前版本不相容。詳情請參閱《Google SecOps 技術支援服務指南》和《Google SecOps 服務專屬條款》。

本文說明如何使用 Google Security Operations 轉送器收集 Illumio Core 記錄。

詳情請參閱「將資料擷取至 Google SecOps」。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文件中的資訊適用於具有 ILLUMIO_CORE 攝入標籤的剖析器。

建立記錄群組

1. 在 Policy Console Engine (PCE) 網頁控制台選單中，依序前往「Settings」>「Event settings」。
2. 按一下「Add」(新增)。系統隨即會顯示「事件設定 - 新增事件轉送」視窗。
3. 按一下「新增存放區」。

4. 在隨即顯示的「Add repository」(新增存放區) 對話方塊中，執行下列操作：

   1. 在「Description」(說明) 欄位中，輸入系統記錄伺服器的名稱。
   2. 在「Address」(位址) 欄位中，輸入系統記錄伺服器的 IP 位址。
   3. 在「Protocol」(通訊協定) 清單中，選取「UDP」或「TCP」做為通訊協定。
   4. 在「Port」(通訊埠) 欄位中，輸入系統記錄伺服器的通訊埠編號。
   5. 在「TLS」清單中，選取「已停用」。
   6. 按一下「確定」。

5. 在隨即顯示的「事件」對話方塊中，選擇要傳送至系統記錄伺服器的事件。

6. 設定事件轉送存放區，指定要轉送的必要事件。

7. 啟用「可稽核的事件」和「流量事件」中的所有選項。

8. 按一下 [儲存]。

   注意： 這項新手上路程序不支援 TLS。

設定 Google SecOps 轉送器，擷取 Illumio Core 記錄

1. 在 Google SecOps 選單中，依序選取「設定」>「轉送器」>「新增轉送器」。
2. 在「轉寄者名稱」欄位中，輸入轉寄者的專屬名稱。
3. 按一下「提交」。轉送器新增完成後，系統會顯示「新增收集器設定」視窗。
4. 在「Collector name」(收集器名稱) 欄位中，輸入收集器的專屬名稱。
5. 在「記錄類型」欄位中，指定 Illumio Core。
6. 選取「Syslog」做為「收集器類型」。
7. 設定下列輸入參數：
   • 通訊協定：指定收集器用來監聽系統記錄資料的連線通訊協定。
   • 地址：指定收集器所在位置的目標 IP 位址或主機名稱，並監聽系統記錄資料。
   • 連接埠：指定收集器所在並監聽系統記錄檔資料的目標連接埠。
8. 按一下「提交」。

如要進一步瞭解 Google SecOps 轉送器，請參閱「透過 Google SecOps 使用者介面管理轉送器設定」。

如果在建立轉寄者時遇到問題，請與 Google SecOps 支援團隊聯絡。