Mengumpulkan log Synology

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Operasi Keamanan Google. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google Security Operations dan Persyaratan Khusus Layanan Google Security Operations.

Ringkasan

Parser ini mengekstrak kolom dari pesan SYSLOG Synology menggunakan pola grok, yang memetakan kolom tersebut ke UDM. Alat ini menangani berbagai format log, mengidentifikasi login pengguna dan akses resource, serta mengategorikan peristiwa berdasarkan kata kunci, yang memperkaya data dengan informasi vendor dan produk.

Sebelum memulai

• Pastikan Anda memiliki instance Google Chronicle.
• Pastikan Anda memiliki akses dengan hak istimewa ke Synology DSM.

Mengonfigurasi feed di Google SecOps untuk menyerap log Synology

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan baru.
3. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Log Synology).
4. Pilih Webhook sebagai Jenis sumber.
5. Pilih Synology sebagai Jenis log.
6. Klik Berikutnya.
7. Opsional: Tentukan nilai untuk parameter input berikut:
   • Pemisah pemisahan: pembatas yang digunakan untuk memisahkan baris log, seperti \n.
   • Namespace aset: namespace aset.
   • Label penyerapan: label yang diterapkan ke peristiwa dari feed ini.
8. Klik Berikutnya.
9. Tinjau konfigurasi feed di layar Finalize, lalu klik Submit.
10. Klik Buat Kunci Rahasia untuk membuat kunci rahasia guna mengautentikasi feed ini.
11. Salin dan simpan kunci rahasia. Anda tidak dapat melihat kunci rahasia ini lagi. Jika perlu, Anda dapat membuat ulang kunci rahasia baru, tetapi tindakan ini akan membuat kunci rahasia sebelumnya tidak berlaku lagi.
12. Dari tab Detail, salin URL endpoint feed dari kolom Endpoint Information. Anda perlu menentukan URL endpoint ini di aplikasi klien.
13. Klik Done.

Membuat kunci API untuk feed webhook

1. Buka Konsol Google Cloud > Kredensial.

   Buka Kredensial

2. Klik Create credentials, lalu pilih API key.

3. Batasi akses kunci API ke Google Security Operations API.

Menentukan URL endpoint

1. Di aplikasi klien, tentukan URL endpoint HTTPS yang diberikan di feed webhook.

2. Aktifkan autentikasi dengan menentukan kunci API dan kunci secret sebagai bagian dari header kustom dalam format berikut:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Rekomendasi: Tentukan kunci API sebagai header, bukan menentukannya di URL.

3. Jika klien webhook Anda tidak mendukung header kustom, Anda dapat menentukan kunci API dan kunci rahasia menggunakan parameter kueri dalam format berikut:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Ganti kode berikut:

   • ENDPOINT_URL: URL endpoint feed.
   • API_KEY: kunci API untuk mengautentikasi ke Google Security Operations.
   • SECRET: kunci rahasia yang Anda buat untuk mengautentikasi feed.

Membuat Webhook di Synology untuk Google SecOps

1. Login ke DiskStation Manager (DSM) di Synology NAS Anda.
2. Buka Control Panel > Notification > Webhook.
3. Klik Tambahkan.

4. Tentukan nilai untuk parameter berikut:

   • Penyedia: Pilih Kustom.

   • Aturan: Pilih jenis pesan yang ingin Anda kirim di webhook.

     Catatan: Anda dapat membuat aturan kustom dengan memilih Buat.

   • Klik Berikutnya.

   • Nama penyedia: Berikan nama yang berbeda untuk webhook (misalnya, Google SecOps).

   • Subjek: Akan ditambahkan sebagai awalan pesan notifikasi.

   • Webhook URL: Masukkan ENDPOINT_URL.

   • Pilih Kirim pesan notifikasi dalam bahasa Inggris.

   • Klik Berikutnya.

   • Metode HTTP: Pilih POST.

   • Tambahkan Header X-Webhook-Access-Key, dengan nilai SECRET.

   • Tambahkan Header X-goog-api-key, dengan nilai API_KEY.

   • Klik Terapkan.

5. Klik Terapkan untuk menyimpan webhook.

Tabel Pemetaan UDM

Kolom log	Pemetaan UDM	Logika
app	target.application	Nilai kolom app yang diekstrak oleh filter grok ditetapkan ke target.application.
desc	metadata.description	Nilai kolom desc yang diekstrak oleh filter grok ditetapkan ke metadata.description.
desc	target.file.names	Jika kolom desc berisi "Closed)", jalur file dalam tanda kurung akan diekstrak dan ditetapkan ke target.file.names. Jika kolom desc berisi "folder bersama yang diakses", jalur folder dalam tanda kurung akan diekstrak dan ditetapkan ke target.file.names.
host	principal.hostname	Nilai kolom host yang diekstrak oleh filter grok dari kolom host_and_ip ditetapkan ke principal.hostname.
host_and_ip	principal.ip	Kolom host_and_ip diuraikan. Jika ditemukan, alamat IP (ip1) akan ditetapkan ke principal.ip. Jika alamat IP kedua (ip2) ditemukan, alamat tersebut juga akan ditambahkan ke principal.ip.
intermediary_host	intermediary.hostname	Nilai kolom intermediary_host yang diekstrak oleh filter grok ditetapkan ke intermediary.hostname. Objek auth kosong dibuat dalam extensions jika pesan berisi "login" atau "login". Stempel waktu dari kolom collection_time log mentah digunakan. Jika pesan berisi "login" atau "login", nilainya ditetapkan ke USER_LOGIN. Jika pesan berisi "folder bersama yang diakses", nilainya ditetapkan ke USER_RESOURCE_ACCESS. Jika tidak, setelan defaultnya adalah GENERIC_EVENT. Nilai kolom type yang diekstrak oleh filter grok ditetapkan ke metadata.product_event_type. Nilai ditetapkan secara statis ke "SYNOLOGY". Nilai ditetapkan secara statis ke "SYNOLOGY". Jika pesan berisi "failed to sign", nilainya ditetapkan ke BLOCK. Jika pesan berisi "success", nilainya ditetapkan ke ALLOW. Jika kolom severity (diekstrak oleh grok) adalah "INFO", nilainya akan ditetapkan ke INFORMATIONAL.
severity	security_result.severity	Nilai kolom severity yang diekstrak oleh filter grok digunakan untuk menentukan security_result.severity. Jika nilainya "INFO", nilai tersebut akan dipetakan ke "INFORMATIONAL".
time	metadata.event_timestamp	Kolom time, yang diekstrak oleh filter grok, diuraikan dan dikonversi menjadi stempel waktu. Stempel waktu ini kemudian ditetapkan ke metadata.event_timestamp.
type	metadata.product_event_type	Nilai kolom type yang diekstrak oleh filter grok ditetapkan ke metadata.product_event_type.
user	target.administrative_domain	Jika diekstrak dari kolom user, domain akan ditetapkan ke target.administrative_domain.
user	target.user.userid	Bagian nama pengguna dari kolom user (sebelum "\" jika ada) diekstrak dan ditetapkan ke target.user.userid. Stempel waktu dari kolom collection_time log mentah digunakan.

Perubahan

2024-01-16

• Parser yang baru dibuat.