Forwarder Management API

Google Security Operations 전달자 관리 API를 사용하여 프로그래매틱 방식으로 다음을 수행할 수 있습니다.

  • 전달자를 만들고 관리합니다.
  • 수집기를 만들고 관리합니다.
  • Google Security Operations 전달자 구성(.conf) 및 인증(_auth.conf) 파일의 파일 콘텐츠를 가져옵니다.

전달자는 하나 이상의 수집기로 구성됩니다. 각 수집기의 구성은 수집 메커니즘(예: 파일, Kafka, PCAP, Splunk 또는 Syslog)과 로그 유형을 지정합니다.

하드웨어 요구사항이 충족되면 동일한 전달자에 여러 수집기를 사용하여 다양한 메커니즘과 로그 유형에서 데이터를 수집할 수 있습니다. 예를 들어 각각 PAN_FIREWALL 및 CISCO_ASA_FIREWALL 데이터를 리슨하는 두 개의 syslog 수집기로 전달자를 설치할 수 있습니다.

API를 사용하면 Google Security Operations 인스턴스에서 전달자와 수집기를 만들 수 있습니다. 전달자가 생성된 후 전달자 파일 생성 엔드포인트를 사용하여 전달자의 구성(.conf) 및 인증(_auth.conf) 파일에 대한 파일 콘텐츠(JSON 페이로드)를 가져올 수 있습니다. 그런 다음 이러한 콘텐츠를 해당 .conf 파일에 작성하여 Windows 또는 Linux 시스템에서 Google Security Operations 전달자 서비스로 배포할 수 있습니다.

전달자 관리 API를 사용하는 Python 샘플은 GitHub 저장소를 참조하세요.

전달자 및 수집기 만들기

수집기를 만들려면 먼저 전달자를 만들어야 합니다.

전달자 및 수집기를 만들려면 다음 안내를 따르세요.

  1. 전달자를 만듭니다.
  2. 전달자의 수집기를 만듭니다.
  3. (선택사항) 2단계를 반복하여 수집기를 더 추가합니다.

Google Security Operations API로 인증하는 방법[:#authenticate]

이 Google Security Operations API는 인증과 승인에 OAuth 2.0 프로토콜을 사용합니다. 애플리케이션은 다음 구현 중 하나를 사용하여 이러한 태스크를 완료할 수 있습니다.

  • 컴퓨터 언어로 Google API 클라이언트 라이브러리를 사용합니다.

  • HTTP를 사용하여 OAuth 2.0 시스템과 직접 상호작용합니다.

Python의 Google 인증 라이브러리에 대한 참조 문서를 확인하세요.

Google 인증 라이브러리는 Google API 클라이언트 라이브러리의 하위 집합입니다. 기타 언어 구현을 참고하세요.

API 인증 사용자 인증 정보 가져오기

Google Security Operations 담당자는 API 클라이언트가 API와 통신할 수 있도록 Google Developer 서비스 계정 사용자 인증 정보를 제공합니다.

또한 API 클라이언트를 초기화할 때 인증 범위를 제공해야 합니다. OAuth 2.0은 범위를 사용하여 계정에 대한 애플리케이션의 액세스를 제한합니다. 애플리케이션이 범위를 요청하면 애플리케이션에 발급된 액세스 토큰은 부여된 범위로 제한됩니다.

다음 범위를 사용하여 Google API 클라이언트를 초기화합니다.

https://www.googleapis.com/auth/chronicle-backstory

Python 예시

다음 Python 예시에서는 google.oauth2 및 googleapiclient을 사용하여 OAuth2 사용자 인증 정보와 HTTP 클라이언트를 사용하는 방법을 보여줍니다.

# Imports required for the sample - Google Auth and API Client Library Imports.
# Get these packages from https://pypi.org/project/google-api-python-client/ or run $ pip
# install google-api-python-client from your terminal
from google.oauth2 import service_account
from googleapiclient import _auth

SCOPES = ['https://www.googleapis.com/auth/chronicle-backstory']

# The apikeys-demo.json file contains the customer's OAuth 2 credentials.
# SERVICE_ACCOUNT_FILE is the full path to the apikeys-demo.json file
# ToDo: Replace this with the full path to your OAuth2 credentials
SERVICE_ACCOUNT_FILE = '/customer-keys/apikeys-demo.json'

# Create a credential using Google Developer Service Account Credential and Google Security Operations API
# Scope.
credentials = service_account.Credentials.from_service_account_file(SERVICE_ACCOUNT_FILE, scopes=SCOPES)

# Build an HTTP client to make authorized OAuth requests.
http_client = _auth.authorized_http(credentials)

# <your code continues here>

Chronicle API 쿼리 한도

Chronicle API는 한 고객이 Google Security Operations 플랫폼에서 수행할 수 있는 요청량을 제한합니다. 쿼리 한도에 도달하거나 초과하면 Chronicle API 서버가 호출자에게 HTTP 429(RESOURCE_EXHAUSTED)를 반환합니다. Chronicle API용 애플리케이션을 개발할 때는 리소스가 소진되지 않도록 시스템 내에 비율 제한을 적용하는 것이 좋습니다. 이러한 한도는 검색, 전달자 관리, 도구 API를 포함한 모든 Chronicle API에 적용됩니다.

Chronicle Forwarder Management API에 대한 다음 한도가 적용되며 초당 쿼리 수(QPS)로 측정됩니다.

Chronicle API API 엔드포인트 한도
전달자 관리 전달자 만들기 1 QPS
전달자 가져오기 1 QPS
전달자 나열 1 QPS
전달자 업데이트 1 QPS
전달자 삭제 1 QPS
수집기 관리 수집기 만들기 1 QPS
수집기 가져오기 1 QPS
수집기 나열 1 QPS
수집기 업데이트 1 QPS
수집기 삭제 1 QPS

Forwarder API 참조

이 섹션에서는 전달자를 만들고 관리하기 위한 엔드포인트를 설명합니다. 수집기를 만들고 관리하는 엔드포인트는 수집기 API 참조를 확인하세요.

전달자 만들기

Google SecOps 인스턴스에 새 전달자를 만듭니다. 새 전달자에는 요청 본문에 제공된 모든 전달자 구성 값이 포함됩니다. 전달자 만들기를 사용한 후 수집기 만들기를 사용하여 수집기의 구성 값을 지정해야 합니다.

특정 설정의 경우 요청 본문에서 누락되었거나 값이 0인 구성 값이 기본값으로 설정됩니다. 전달자 필드 및 값에 대한 자세한 내용은 전달자 구성 필드를 참조하세요.

요청

POST https://backstory.googleapis.com/v2/forwarders

요청 본문
{
  "display_name": string,
  "config": {
    object (ForwarderConfig)
  }
}
본문 매개변수
필드 유형 필수 Description(설명)
display_name string 필수 전달자 이름입니다. 이 이름은 Google SecOps 인터페이스에 표시됩니다.
config 객체 선택사항 이 전달자의 구성 설정입니다. 전달자 구성 필드를 참조하세요.
요청 예시

이 예시는 전달자 만들기 요청에 필요한 키-값 쌍을 보여줍니다. 요청에서 필드가 지정되지 않고 기본값이 있으면 전달자 생성 중에 기본값이 적용됩니다. 기본값에 대한 자세한 내용은 전달자 구성 필드를 참조하세요.

POST https://backstory.googleapis.com/v2/forwarders
{
  "display_name": "chronicle_forwarder"
}

응답

요청이 성공하면 응답은 HTTP 상태 코드 200(OK)을 반환합니다.

응답에는 전달자를 만드는 동안 적용된 구성 값이 표시됩니다. 해당 필드가 요청 본문에서 누락되거나 값이 0이면 리소스 생성 중에 특정 설정에 기본 구성 값이 적용됩니다. 자세한 내용은 전달자 구성 필드를 참조하세요.

응답 필드

요청에 지정된 필드와 기본값이 적용되는 필드 외에도 응답에는 다음과 같이 생성된 필드와 출력 전용 필드가 포함됩니다.

필드 유형 Description(설명)
name string 전달자의 리소스 ID입니다. 형식은 'forwarders/forwarderID'입니다. 예를 들면 다음과 같습니다.

forwarders/12ab3cd4-56ef-7ghi-j89k-1l23m4nopq56
최종 은닉 상태를 열거형

전달자의 현재 상태를 지정합니다. 유효한 값은 다음과 같습니다.

  • 활성: 전달자가 데이터를 업로드할 수 있습니다.
  • 정지됨: 전달자가 데이터를 업로드할 수 없습니다.

기본값은 활성입니다.
응답 예시

다음은 위 요청 예시에 대해 반환된 응답의 예시입니다.

{
  "name": "forwarders/12ab3cd4-56ef-7abc-d89e-1f23a4bcde56",
  "displayName": "chronicle_forwarder",
  "config": {
    "uploadCompression": "false",
    "serverSettings": {
      "gracefulTimeout": 15,
      "drainTimeout": 10,
      "httpSettings": {
        "port": "8080",
        "host": "0.0.0.0",
        "readTimeout": "3",
        "readHeaderTimeout": "3",
        "writeTimeout": "3",
        "idleTimeout": "3"
        "routeSettings": {
          "availableStatusCode": "204",
          "readyStatusCode": "204",
          "unreadyStatusCode": "503"
        },
      },
    },
  },
  "state": "ACTIVE"
}

전달자 가져오기

전달자를 반환합니다.

요청

GET https://backstory.googleapis.com/v2/forwarders/{forwarderID}

요청 본문

요청 본문을 포함하지 않습니다.

요청 예시
GET https://backstory.googleapis.com/v2/forwarders/12ab3cd4-56ef-7abc-d89e-1f23a4bcde56
응답 예시
{
  "name": "forwarders/12ab3cd4-56ef-7abc-d89e-1f23a4bcde56",
  "displayName": "chronicle_forwarder",
  "config": {
    "uploadCompression": "false",
    "serverSettings": {
      "gracefulTimeout": 15,
      "drainTimeout": 10,
      "httpSettings": {
        "port": "8080",
        "host": "0.0.0.0",
        "readTimeout": "3",
        "readHeaderTimeout": "3",
        "writeTimeout": "3",
        "idleTimeout": "3"
        "routeSettings": {
          "availableStatusCode": "204",
          "readyStatusCode": "204",
          "unreadyStatusCode": "503"
        },
      },
    },
  },
  "state": "ACTIVE"
}

전달자 나열

Google SecOps 인스턴스의 모든 전달자를 나열합니다.

요청

GET https://backstory.googleapis.com/v2/forwarders

요청 예시

GET https://backstory.googleapis.com/v2/forwarders

응답

전달자 목록을 반환합니다.

응답 예시
{
  "forwarders": [
    {
      "name": "forwarders/12ab3cd4-56ef-7abc-d89e-1f23a4bcde56",
      "displayName": "chronicle_forwarder_1",
      "config": {
        "uploadCompression": "false",
        "serverSettings": {
          "gracefulTimeout": 15,
          ...
         },
      },
      "state": "ACTIVE"
    },
    {
      "name": "forwarders/12ab3cd4-56ef-7abc-d89e-1f23a4bcde57",
      "displayName": "chronicle_forwarder_2",
      "config": {
        "uploadCompression": "false",
        "serverSettings": {
          "gracefulTimeout": 15,
       ...
       },
      },
      "state": "ACTIVE"
    }
  ]
}

전달자 업데이트

updateMask URL 쿼리 매개변수를 사용하여 업데이트할 필드를 지정하여 전달자를 업데이트할 수 있습니다.

예를 들어 표시 이름을 업데이트하려면 패치 요청과 같이 updateMask 쿼리 매개변수를 사용합니다.

?updateMask=displayName

요청 본문에는 업데이트할 필드(정확한 위치)만 포함되어야 합니다.

요청

PATCH https://backstory.googleapis.com/v2/forwarders/{forwarderID}?updateMask=<field_1,field_2>
요청 본문
{
  "display_name": string,
  "config": {
    object (ForwarderConfig)
  },
}
본문 매개변수
필드 유형 필수 Description(설명)
display_name string 필수 전달자 이름입니다. 이 이름은 Google SecOps 인터페이스에 표시됩니다.
config 객체 선택사항 이 전달자의 구성 설정입니다. 전달자 구성 필드를 참조하세요.
요청 예시

이는 요청이 displayName의 새 값을 지정하고 메타데이터 라벨을 추가하는 Update Forwarder 요청의 예시입니다.

PATCH https://backstory.googleapis.com/v2/forwarders/12ab3cd4-56ef-7abc-d89e-1f23a4bcde56?updateMask=displayName,config.metadata.labels
{
  "display_name": "UpdatedForwarder",
  "config": {
    "metadata": {
      "labels": [
        {
          "key": "office",
          "value": "corporate",
        }
      ]
    }
  }
}
응답 예시

다음은 위 요청 예시에 대해 반환된 응답의 예시입니다.

{
  "name": "forwarders/{forwarderUUID}",
  "displayName": "UpdatedForwarder",
  "config": {
    "uploadCompression": "false",
    "metadata": {
      "labels": [
        {
          "key": "office",
          "value": "corporate"
        }
      ]
    }
  },
  "state": "ACTIVE"
}

전달자 삭제

전달자를 삭제합니다.

요청

DELETE https://backstory.googleapis.com/v2/forwarders/{forwarderID}
요청 본문

요청 본문을 포함하지 않습니다.

요청 예시
DELETE https://backstory.googleapis.com/v2/forwarders/12ab3cd4-56ef-7abc-d89e-1f23a4bcde56
응답 예시

작업이 성공하면 전달자 삭제가 HTTP 상태 코드 200(OK)이 포함된 빈 응답을 반환합니다.

{}

전달자 파일 생성

전달자의 구성(.conf) 및 인증(_auth.conf) 파일의 콘텐츠를 생성하고 반환합니다.

요청

GET https://backstory.googleapis.com/v2/forwarders/{forwarderID}:generateForwarderFiles
요청 본문

요청 본문을 포함하지 않습니다.

요청 예시
GET https://backstory.googleapis.com/v2/forwarders/12ab3cd4-56ef-7abc-d89e-1f23a4bcde56:generateForwarderFiles
응답 예시

작업이 성공하면 HTTP 상태 코드 200(OK)이 반환됩니다. 또한 전달자 수집기의 구성 데이터와 전달자에서 Google SecOps 인스턴스로 인증하는 데 사용하는 인증(_auth.conf) 파일의 콘텐츠를 포함한 전달자 구성 파일 콘텐츠를 반환합니다.

전달자 구성 필드

다음 표에는 전달자 만들기 및 전달자 업데이트를 사용하여 지정할 수 있는 전달자 구성 설정이 나열되어 있습니다. 전달자 만들기를 사용할 때 설정 값을 지정하지 않으면 설정의 기본값(아래 참조)이 적용됩니다.

요청 본문의 config 객체에 다음 필드를 제공할 수 있습니다.

필드 유형 필수 Description(설명)
upload_compression 부울 선택사항 true이면 데이터 배치가 업로드 전에 압축됩니다.

기본값은 false입니다.
metadata.asset_namespace string 선택사항 이 전달자에서 로그를 식별하기 위한 네임스페이스입니다.

참고: 수집기 수준에서 재정의되지 않는 한 전달자 및 전달자의 수집기에 적용되는 전역 설정입니다. 자세한 내용은 네임스페이스 구성을 참조하세요.
metadata.labels list 선택사항 전달자 구성에서 지정할 수 있는 임의의 키-값 쌍 목록입니다.

참고: 수집기 수준에서 재정의되지 않는 한 전달자 및 전달자의 수집기에 적용되는 전역 설정입니다.
metadata.labels.key string 선택사항 메타데이터 라벨 목록의 필드 키입니다.
metadata.labels.value string 선택사항 메타데이터 라벨 목록의 필드 값입니다.
regex_filters.description string 선택사항 필터링 대상과 이유를 설명합니다.
regex_filters.regexp string 선택사항 각 수신 줄과 일치시키는 데 사용되는 정규 표현식입니다.
regex_filters.behavior 열거형 선택사항

서버 기능의 상태를 지정합니다. 유효한 값은 다음과 같습니다.

  • 허용: 이 상태에서는 필터링된 줄을 업로드할 수 있습니다.
  • 차단: 이 상태는 필터링된 줄이 업로드되지 않도록 방지합니다.
server_settings 객체 선택사항 Linux의 syslog 컬렉션에 대한 부하 분산 및 고가용성 옵션을 구성하는 데 사용할 수 있는 전달자의 기본 제공 HTTP 서버를 구성하는 설정입니다.
server_settings.state 열거형 선택사항

서버 기능의 상태를 지정합니다. 유효한 값은 다음과 같습니다.

  • 활성: 이 상태에서는 서버 설정이 지정된 대로 적용됩니다.
  • 정지됨: 이 상태에서는 서버 설정이 적용되지 않습니다.
server_settings.graceful_timeout 정수 선택사항 전달자가 잘못된 준비/상태 점검을 반환하고 새 연결을 계속 수락하는 시간(초)입니다. 또한 중지 신호를 수신하고 실제로 서버 자체의 종료를 시작하기까지 기다리는 시간입니다. 이렇게 하면 부하 분산기 시간이 풀에서 전달자를 삭제할 수 있습니다.

기본값은 15입니다.
server_settings.drain_timeout 정수 선택사항 전달자가 활성 연결이 서버에 의해 닫히기 전에 스스로 종료되기를 기다리는 시간(초)입니다.

기본값은 10입니다.
server_settings.http_settings.port 정수 선택사항 HTTP 서버가 부하 분산기에서 상태 점검을 리슨하는 포트 번호입니다. 1,024에서 65,535 사이여야 합니다.

기본값은 8080입니다.
server_settings.http_settings.host string 선택사항 서버가 리슨할 IP 주소 또는 IP 주소로 변환할 수 있는 호스트 이름입니다.

기본값은 0.0.0.0(로컬 시스템)입니다.
server_settings.http_settings.read_timeout 정수 선택사항 헤더와 본문을 포함하여 전체 요청을 읽을 수 있는 최대 시간(초)입니다.

기본값은 3입니다.
server_settings.http_settings.read_header_timeout 정수 선택사항 요청 헤더를 읽을 수 있는 최대 시간(초)입니다.

기본값은 3입니다.
server_settings.http_settings.write_timeout 정수 선택사항 응답을 보낼 수 있는 최대 시간(초)입니다.

기본값은 3입니다.
server_settings.http_settings.idle_timeout 정수 선택사항 유휴 연결이 사용 설정된 경우 다음 요청을 기다리는 최대 시간(초)입니다.

기본값은 3입니다.
server_settings.http_settings.route_settings.available_status_code 정수 선택사항 활성 확인이 수신되고 전달자를 사용할 수 있는 경우에 반환되는 상태 코드입니다.

기본값은 204입니다.
server_settings.http_settings.route_settings.ready_status_code 정수 선택사항 전달자가 트래픽을 수락할 준비가 되면 반환되는 상태 코드입니다.

기본값은 204입니다.
server_settings.http_settings.route_settings.unready_status_code 정수 선택사항 전달자가 트래픽을 수락할 준비가 되지 않은 경우 반환되는 상태 코드입니다.

기본값은 503입니다.

수집기 API 참조

이 섹션에서는 수집기 작업을 위한 엔드포인트를 설명합니다.

수집기를 만들고 업데이트할 때 각 수집기 구성은 다음 중 하나에 대해 수집 설정을 지정할 수 있지만 둘 이상은 지정할 수 없습니다.

  • 로그 파일 데이터
  • Kafka 주제
  • 패킷 데이터(pcap)
  • Splunk 데이터
  • Syslog 데이터

전달자 작업을 위한 엔드포인트는 Forwarder API 참조를 확인하세요.

수집기 만들기

Google SecOps 계정에 새 수집기를 만듭니다. 전달자 만들기를 사용한 후 수집기 만들기를 사용하여 수집기 구성 값을 지정해야 합니다.

특정 설정의 경우 요청 본문에서 누락되었거나 값이 0인 구성 값이 기본값으로 설정됩니다. 수집기 구성 필드와 값에 대한 자세한 내용은 수집기 구성 필드를 참조하세요.

요청

POST https://backstory.googleapis.com/v2/forwarders/{forwarderID}/collectors
요청 본문
{
  "display_name": string,
  "config": {
    object (CollectorConfig)
  }
  "state": enum
}
본문 매개변수
필드 유형 필수 Description(설명)
display_name string 필수 수집기 이름입니다. 이 이름은 Google SecOps 인터페이스에 표시됩니다.
config 객체 필수 이 수집기의 구성 설정입니다. 수집기 구성 필드를 참조하세요.
최종 은닉 상태를 열거형 선택사항

수집기의 현재 상태를 지정합니다. 유효한 값은 다음과 같습니다.

  • 활성: 수집기가 데이터를 수락하도록 허용됩니다.
  • 정지됨: 수집기가 데이터를 수락할 수 없습니다.
요청 예시

이 예시는 수집기 만들기 요청에 필요한 키-값 쌍을 보여줍니다. 제공되지 않은 필드의 경우 수집기를 만드는 동안 기본값이 적용됩니다.

이 예시에서 수집기 유형은 file이므로 수집기 구성에는 수집기 유형 및 해당 설정을 나타내는 file_settings가 포함됩니다. 수집기 유형이 syslog이면 수집기 구성에 syslog_settings가 포함됩니다. 자세한 내용은 수집기 구성 필드를 참조하세요.

POST https://backstory.googleapis.com/v2/forwarders/12ab3cd4-56ef-7abc-d89e-1f23a4bcde56/collectors
{
  "display_name": "abc_collector",
  "config" {
    "log_type": "CS_EDR"
    "file_settings": {
      "file_path": "/opt/chronicle/edr/output/sample.txt",
    }
  }
}

응답

요청이 성공하면 응답은 HTTP 상태 코드 200(OK)을 반환합니다.

응답에는 수집기를 만드는 동안 적용된 구성 값이 표시됩니다. 해당 필드가 요청 본문에서 누락되거나 값이 0이면 리소스 생성 중에 특정 설정에 기본 구성 값이 적용됩니다. 자세한 내용은 수집기 구성 필드를 참조하세요.

응답 필드

요청에 지정된 필드 및 기본값이 적용되는 필드 외에도 응답에는 다음 필드가 포함됩니다.

필드 유형 Description(설명)
name string 수집기의 리소스 ID입니다. 형식은 'forwarders/{forwarderID}/collectors/{collectorID}'입니다. 예를 들면 다음과 같습니다.

forwarders/12ab3cd4-56ef-7abc-d89e-1f23a4bcde56/collectors/98ab7cd6-54ef-3abc-d21e-1f23a4bcde56
응답 예시

다음은 위 요청 예시에 대해 반환된 응답의 예시입니다.

{
  "name": "forwarders/12ab3cd4-56ef-7ghi-j89k-1l23m4nopq56/collectors/
     98ab7cd6-54ef-3abc-d21e-1f23a4bcde56",
  "displayName": "abc_collector",
  "config": {
    "logType": "tomcat",
    "maxSecondsPerBatch": "10",
    "maxBytesPerBatch": "1048576"
  }
}

수집기 가져오기

수집기를 반환합니다.

요청

GET https://backstory.googleapis.com/v2/forwarders/{forwarderID}/collectors/{collectorID}
요청 본문

요청 본문을 포함하지 않습니다.

요청 예시
GET
https://backstory.googleapis.com/v2/forwarders/12ab3cd4-56ef-7abc-d89e-1f23a4bcde56/collectors/98ab7cd6-54ef-3abc-d21e-1f23a4bcde56
응답 예시
{
  "name": "?",
  "displayName": "abc_collector",
  "config": {
    "logType": "tomcat",
    "maxSecondsPerBatch": "10",
    "maxBytesPerBatch": "1048576"
  }
}

수집기 나열

지정된 전달자의 기존 수집기를 나열합니다.

요청

GET https://backstory.googleapis.com/v2/forwarders/{forwarderID}/collectors
요청 예시
GET https://backstory.googleapis.com/v2/forwarders/12ab3cd4-56ef-7abc-d89e-1f23a4bcde56/collectors

응답

여러 수집기를 반환합니다.

응답 예시
{
  "collectors": [
    {
      "name": "?",
      "displayName": "abc_collector_1",
      "config": {
        "logType": "tomcat",
        "maxSecondsPerBatch": "10",
        "maxBytesPerBatch": "1048576"
      }
    },
    {
      "name": "?",
      "displayName": "abc_collector_2",
      "config": {
        "logType": "tomcat",
        "maxSecondsPerBatch": "10",
        "maxBytesPerBatch": "1048576"
      }
    }
  ]
}

수집기 업데이트

API로 수집기를 업데이트할 때 전체 수집기 구성을 덮어쓰거나 수집기 구성의 특정 필드만 덮어쓸 수 있습니다. 모든 데이터를 실수로 덮어쓰지 않도록 일반적으로 특정 필드를 덮어쓰는 것이 가장 좋습니다. 특정 필드를 덮어쓰려면 업데이트 요청에 FieldMask를 제공합니다.

수집기의 표시 이름을 업데이트하기 위해 FieldMask를 제공하려면 패치 요청에 updateMask URL 쿼리 매개변수를 제공합니다. 예를 들면 다음과 같습니다.

?updateMask=displayName

요청 본문에는 업데이트할 필드(정확한 위치)만 포함되어야 합니다.

요청

PATCH https://backstory.googleapis.com/v2/forwarders/{forwarderID}/collectors/{collectorID}?updateMask=<field_1,field_2>
요청 본문
{
  "display_name": string,
  "config": {
    object (CollectorConfig)
  },
}
본문 매개변수
필드 유형 필수 Description(설명)
displayName string 필수 수집기 이름입니다. 이 이름은 Google SecOps 인터페이스에 표시됩니다.
config 객체 선택사항 이 전달자의 구성 설정입니다. 수집기 구성 필드를 참조하세요.
요청 예시

이는 displayName, logType, assetNamespace, 프로토콜의 새 값을 지정하는 수집기 업데이트 요청의 예시입니다.

PATCH https://backstory.googleapis.com/v2/forwarders/12ab3cd4-56ef-7abc-d89e-1f23a4bcde56/collectors/98ab7cd6-54ef-3abc-d21e-1f23a4bcde56?updateMask=displayName,config.logType,config.metadata.assetNamespace,config.syslogSettings.protocol
{
  "display_name": "UpdatedCollector"
  "config": {
    "metadata": {
      "asset_namespace": "COLLECTOR",
      },
      "log_type": "CISCO_ASA_FIREWALL",
      "syslog_settings": {
        "protocol": "TCP",
      }
    }
  }
응답 예시

다음은 위 요청 예시에 대해 반환된 응답의 예시입니다.

{
  "name": "forwarders/12ab3cd4-56ef-7abc-d89e-1f23a4bcde56/collectors/98ab7cd6-54ef-3abc-d21e-1f23a4bcde56",
  "displayName": "UpdatedCollector",
  "config": {
    "logType": "CISCO_ASA_FIREWALL",
    "metadata": {
      "assetNamespace": "COLLECTOR"
    },
    "maxSecondsPerBatch": 10,
    "maxBytesPerBatch": "1048576",
    "syslogSettings": {
      "protocol": "TCP",
      "address": "0.0.0.0",
      "port": 10514,
    }
  },
  "state": "ACTIVE"
}

수집기 삭제

수집기를 삭제합니다.

요청

DELETE https://backstory.googleapis.com/v2/forwarders/{forwarderID}/collectors/{collectorID}
요청 본문

요청 본문을 포함하지 않습니다.

요청 예시
DELETE https://backstory.googleapis.com/v2/forwarders/12ab3cd4-56ef-7abc-d89e-1f23a4bcde56/collectors/98ab7cd6-54ef-3abc-d21e-1f23a4bcde56
응답 예시

작업이 성공하면 수집기 삭제가 HTTP 상태 코드 200(OK)이 포함된 빈 응답을 반환합니다.

{}

수집기 구성 필드

요청 본문의 config 객체에 다음 필드를 제공할 수 있습니다.

필드 유형 필수 Description(설명)
log_type string 필수 지원되는 로그 유형(Google SecOps에서 수집할 수 있는 유형)입니다. Google SecOps에 파서가 있는 지원되는 로그 유형 목록은 지원되는 기본 파서 페이지의 수집 라벨 열을 참조하세요. 지원되는 로그 유형의 전체 목록을 가져오려면 logtypes 엔드포인트를 사용합니다.
metadata.asset_namespace 객체 선택사항 이 수집기에서 로그를 식별하기 위한 네임스페이스입니다.

참고: 수집기 수준에서 재정의되지 않는 한 전달자 및 전달자의 수집기에 적용되는 전역 설정입니다. 자세한 내용은 네임스페이스 구성을 참조하세요.
metadata.labels list 선택사항 수집기 구성에서 지정할 수 있는 임의의 키-값 쌍 목록입니다.

참고: 수집기 수준에서 재정의되지 않는 한 전달자 및 전달자의 수집기에 적용되는 전역 설정입니다.
metadata.labels.key string 선택사항 메타데이터 라벨 목록의 필드 키입니다.
metadata.labels.value string 선택사항 메타데이터 라벨 목록의 필드 값입니다.
regex_filters.description string 선택사항 필터링 대상과 이유를 설명합니다.
regex_filters.regexp string 선택사항 각 수신 줄과 일치시키는 데 사용되는 정규 표현식입니다.
regex_filters.behavior 열거형 선택사항

서버 기능의 상태를 지정합니다. 유효한 값은 다음과 같습니다.

  • 허용: 이 상태에서는 필터링된 줄을 업로드할 수 있습니다.
  • 차단: 이 상태는 필터링된 줄이 업로드되지 않도록 방지합니다.
disk_buffer.state 열거형 선택사항

수집기의 디스크 버퍼링 상태를 지정합니다. 유효한 값은 다음과 같습니다.

  • 활성: 버퍼링이 사용 설정되었습니다.
  • 정지됨: 버퍼링이 사용 중지되었습니다.
disk_buffer.directory_path string 선택사항 작성된 파일의 디렉터리 경로입니다.
disk_buffer.max_file_buffer_bytes 정수 선택사항 버퍼링된 최대 파일 크기입니다.
max_seconds_per_batch 정수 선택사항 배치 사이의 시간(초)입니다.

기본값은 10입니다.
max_bytes_per_batch 정수 선택사항 전달자 일괄 업로드 전에 큐에 추가된 바이트 수입니다.

기본값은 1048576입니다.
<collector_type>_settings.<fields> 필수 수집기 유형과 해당 설정을 지정합니다. 모든 수집기는 하나의 수집기 유형과 해당 필드를 지정해야 합니다. 예를 들어 file 수집기 유형을 사용하려면 file_settings.file_path 필드를 구성에 추가하고 값을 지정해야 합니다. 예를 들면 다음과 같습니다.

"file_settings": {
  "file_path": "/opt/chronicle/edr/output/sample.txt",
}

수집기 유형 및 해당 필드는 이 테이블의 후속 행에 나열됩니다. 사용 가능한 수집기 유형은 다음과 같습니다.
  • file
  • kafka
  • pcap
  • splunk
  • syslog
file_settings.file_path string 선택사항 모니터링할 파일의 경로입니다.
kafka_settings.authentication.username string 선택사항 인증에 사용되는 ID의 사용자 이름입니다.
kafka_settings.authentication.password string 선택사항 사용자 이름으로 식별된 계정의 비밀번호입니다.
kafka_settings.topic string 선택사항 데이터를 수집할 Kafka 주제입니다. 자세한 내용은 Kafka 주제에서 데이터 수집을 참조하세요.
kafka_settings.group_id string 선택사항 그룹 ID
kafka_settings.timeout 정수 선택사항 연결이 완료되기를 기다리는 최대 시간(초)입니다.

기본값은 60입니다.
kafka_settings.brokers string 선택사항 Kafka 브로커를 나열하는 반복되는 문자열입니다. 예를 들면 다음과 같습니다.

'broker-1:9092', 'broker-2:9093'

참고: 업데이트 작업 중에는 모든 값이 바뀝니다. 따라서 브로커 목록을 업데이트하여 새 브로커를 추가하려면 모든 기존 브로커와 새 브로커를 지정합니다.
kafka_settings.tls_settings.certificate string 선택사항 경로 및 인증서 파일 이름입니다. 예를 들면 다음과 같습니다.

/path/to/cert.pem
kafka_settings.tls_settings.certificate_key string 선택사항 경로 및 인증서 키 파일 이름입니다. 예를 들면 다음과 같습니다.

/path/to/cert.key
kafka_settings.tls_settings.minimum_tls_version string 선택사항 최소 TLS 버전입니다.
kafka_settings.tls_settings.insecure_skip_verify 부울 선택사항 true이면 SSL 인증 확인을 사용 설정합니다.

기본값은 false입니다.
pcap_settings.network_interface string 선택사항 PCAP 데이터를 리슨할 인터페이스입니다.
pcap_settings.bpf string 선택사항 pcap용 Berkeley Packet Filter(BPF)
splunk_settings.authentication.username string 선택사항 인증에 사용되는 ID의 사용자 이름입니다.
splunk_settings.authentication.password string 선택사항 사용자 이름으로 식별된 계정의 비밀번호입니다.
splunk_settings.host string 선택사항 Splunk REST API의 호스트 또는 IP 주소입니다.
splunk_settings.port 정수 선택사항 Splunk REST API의 포트입니다.
splunk_settings.minimum_window_size 정수 선택사항 지정된 Splunk 검색의 최소 기간(초)입니다. 자세한 내용은 Splunk 데이터 수집을 참조하세요.

기본값은 10입니다.
splunk_settings.maximum_window_size 정수 선택사항 지정된 Splunk 검색의 최대 기간(초)입니다. 자세한 내용은 Splunk 데이터 수집을 참조하세요.

기본값은 30입니다.
splunk_settings.query_string string 선택사항 Splunk 내에서 레코드를 필터링하는 데 사용되는 쿼리입니다.

예를 들면 다음과 같습니다. search index=* sourcetype=dns
splunk_settings.query_mode string 선택사항 Splunk의 쿼리 모드입니다.

예를 들면 다음과 같습니다. realtime
splunk_settings.cert_ignored 부울 선택사항 true인 경우 인증서는 무시됩니다.
syslog_settings.protocol 열거형 선택사항

수집기가 syslog 데이터를 리슨하기 위해 사용할 프로토콜을 지정합니다. 유효한 값은 다음과 같습니다.

  • TCP
  • UDP
syslog_settings.address string 선택사항 수집기가 상주하고 syslog 데이터를 리슨하는 대상 IP 주소 또는 호스트 이름입니다.
syslog_settings.port 정수 선택사항 수집기가 상주하고 syslog 데이터를 리슨하는 대상 포트입니다.
syslog_settings.buffer_size 정수 선택사항 TCP 소켓 버퍼의 크기(바이트)입니다.

TCP의 기본값은 65536입니다.
UDP의 기본값은 8192입니다.
syslog_settings.connecton_timeout 정수 선택사항 TCP 연결이 중단된 후 비활성 시간(초)입니다.

기본값은 60입니다.
syslog_settings.tls_settings.certificate string 선택사항 경로 및 인증서 파일 이름입니다. 예를 들면 다음과 같습니다.

/path/to/cert.pem
syslog_settings.tls_settings.certificate_key string 선택사항 경로 및 인증서 키 파일 이름입니다. 예를 들면 다음과 같습니다.

/path/to/cert.key
syslog_settings.tls_settings.minimum_tls_version string 선택사항 최소 TLS 버전입니다.
syslog_settings.tls_settings.insecure_skip_verify 부울 선택사항 true이면 SSL 인증 확인을 사용 설정합니다.

기본값은 false입니다.