Přeskočit obsah

Ulice událostí

Integrace jsou deklarovány v dráhách událostí. Každá dráha událostí může poskytovat jednu nebo více integrací. Události jsou přeposílány z Kafka tématu events, které je uvedeno v deklaraci dráhy událostí.

/EventLanes/mytenant/my-event-lane.yaml
---
define:
  type: lmio/event-lane
  name: Fortinet FortiGate (10040)

...

integrations:

  # Forward events using TCP syslog protocol
  - bsd_syslog:
      output_type: tcp
      address: 1.2.3.4 514
      # filters:  # see below
      # rate_limiter:  # see below

  # Forward events in CEF format
  - cef:
      output_type: tcp
      address: 1.2.3.4 1234
      # filters:  # see below
      # rate_limiter:  # see below

Podporované integrace:

  • json: Přeposílá příchozí událost jako JSON řetězec
  • bsd_syslog: Přeposílá původní událost nebo JSON pomocí BSD Syslog
  • cef: Přeposílá událost ve formátu CEF vhodném např. pro Micro Focus ArcSight
  • raw: Přeposílá původní událost bez jakéhokoli záhlaví nebo formátování
  • tcp_bsd_syslog_rfc6587: Přeposílá původní událost přes TCP s rámcováním RFC 6587 počítajícím oktety (kompatibilní s LogMan.io Collector input:TCPBSDSyslogRFC6587)
  • events: Přeposílá (parsované) události zevnitř Event Lane
  • mapping: Mapuje atributy z události na vlastní názvy polí pomocí konfigurační možnosti mapping

typ_výstupu:

  • tcp: Odesílá zprávy přes protokol TCP. Vyžaduje adresu (host port).
  • kafka: Odesílá zprávy na určené téma Kafka, odkud je může číst jiná služba.
  • unix-stream: Odesílá zprávy přes UNIX stream socket.
  • script: Odesílá zprávy do skriptu specifikovaného v konfigurační volbě script:, skript by měl být umístěn v /Integrations/Scripts uvnitř knihovny

Omezovač rychlosti

Když je použit výstupní typ tcp, lze pro danou integraci použít možnost omezovače rychlosti s názvem rate_limiter následujícím způsobem k omezení počtu EPS (událostí za sekundu):

  bsd_syslog:
    output_type: tcp
    address: 127.0.0.1 7999
    rate_limiter: 20000  # EPS

Omezovač rychlosti tedy nastavuje maximálně 20 000 EPS pro danou integraci, takže výstupní technologie, která bude data zpracovávat, se může vyhnout problémům s výkonem.

Surové přeposílání

Konfigurace:

raw:
  output_type: tcp
  address: 1.2.3.4 2345
  • delimiter: Nepovinný argument, který určuje, jaký oddělovač připojit ke každé přeposlané události, je to znak nebo CR, LF nebo CRLF.

Tato integrace používá pole raw ze schématu.

Tip

Použijte tuto integraci, pokud chcete jednoduše přeposílat příchozí zprávy v jejich původní podobě do jiných aplikací.

TCP BSD Syslog RFC 6587

Konfigurace:

tcp_bsd_syslog_rfc6587:
  output_type: tcp
  address: 1.2.3.4 514

Přeposílá původní událost pomocí RFC 6587 rámcování počítáním oktetů (<octet-count> SP <message>). Kompatibilní s LogMan.io Collector input:TCPBSDSyslogRFC6587.

Tato integrace používá pole raw ze schématu.

Tip

Použijte tuto integraci místo raw, když mohou protokoly obsahovat znaky nového řádku a přijímající kolektor očekává rámování podle RFC 6587.

JSON

Konfigurace:

json:
  output_type: tcp
  address: 1.2.3.4 2345

Tato integrace převádí událost na JSON řetězec a odesílá ji na specifikovaný (zde tcp) výstup.

BSD Syslog

Integrace, která vytváří události ve formátu BSD Syslog (RFC 3164).

Konfigurace:

bsd_syslog:
  output_type: tcp
  address: 1.2.3.4 514
  • delimiter: Nepovinný argument, který určuje, jaký oddělovač připojit ke každé přeposlané události, je to znak nebo CR, LF či CRLF.

Tato integrace používá pole raw a principal_datetime ze schématu.

Příklad výstupu

<14> Oct 01 12:43:25 instance-1 lmio-integ[1]: <30>Oct 01 12:43:13 bradavice-hagrid ntopng[1007416]: ....

Note the BSD syslog header added by TeskaLabs LogMan.io.

Přesměrování pole

Integrace přeposílání polí vytváří události s konkrétním polem, obvykle event.original, v jednoduchém JSONu.

field:
  output_type: tcp
  address: 1.2.3.4
  field_name: event.original

Příklad výstupu

{
    "event.original": <30>Oct 01 12:43:13 bradavice-hagrid ntopng[1007416]: ....
}

CEF

Integrace CEF (např. s Micro Focus ArcSight) odesílá zpracované události z tématu events ve běžném formátu CEF ArcSight.

Konfigurace:

cef:
  output_type: tcp
  address: 1.2.3.4 1234

Předpokládáme, že Micro Focus ArcSight naslouchá na TCP 1.2.3.4:1234.

Tato integrace používá pole deviceEventClassId_field, name_field a severity_field ze schématu:

---
define:
  type: lmio/schema

  deviceEventClassId_field: deviceEventClassId
  name_field: name
  severity_field: severity

...

Příklad výstupu

CEF:0|TeskaLabs|LogMan.io|1.0|<deviceEventClassId_field>|<name_field>|<severity_field>| {
"@timestamp": "2024-09-30T02:30:13.343068Z",
"ecs.version": "1.10.0",
"event.action": "high-download-rate",
"event.dataset": "complex",
"event.kind": "alert",
"related.events": [],
"rule.description": "This baseliner observes logs that indicate file download activity and checks if a user exceeds the expected rate of downloads.  It tracks download activity across a defined period (day) and region (Czech Republic), analyzing patterns based on workdays,  weekends, and holidays. When the user's download rate exceeds normal behavior by a significant margin (3 standard deviations above the mean), it triggers an alert for further investigation.\n",
"rule.id": "",
"rule.name": "High Download Rate",
"rule.ruleset": "lmio-library",
"tenant": "plus",
"threat.indicator.sightings": 22,
"user.id": "dolores_umbridge@hogwarts.uk",
"_id": "9c15c30d30b3b813df94393288310d17ff06364f6e9cb5bb8d374ec1ca6dd6a0"
}

Filtry

Pro nastavení filtrů pro příchozí události viz sekci Filtry.