이 Logstash 파서 코드는 CloudPassage Halo JSON 로그 데이터를 통합 데이터 모델 (UDM)로 변환합니다. 원시 로그에서 관련 필드를 추출하고, 타임스탬프를 정규화하고, 데이터를 UDM 필드에 매핑하고, 심각도 및 사용자 정보와 같은 추가 컨텍스트로 이벤트를 보강합니다.
시작하기 전에
다음 기본 요건이 충족되었는지 확인합니다.
Google SecOps 인스턴스
CloudPassage Halo에 대한 액세스 권한 관리
CloudPassage에서 API 키 구성
CloudPassage Halo에 로그인합니다.
설정>사이트 관리로 이동합니다.
API 키 탭을 클릭합니다.
작업>새 API 키를 클릭합니다.
API 키 탭에서 키의 표시를 클릭하여 값을 표시합니다.
Key ID와 Secret Key 값을 모두 복사합니다.
피드 설정
피드를 구성하려면 다음 단계를 따르세요.
SIEM 설정>피드로 이동합니다.
새 피드 추가를 클릭합니다.
다음 페이지에서 단일 피드 구성을 클릭합니다.
피드 이름 필드에 피드 이름을 입력합니다 (예: CloudPassage Logs).
소스 유형으로 서드 파티 API를 선택합니다.
로그 유형으로 Cloud Passage를 선택합니다.
다음을 클릭합니다.
다음 입력 파라미터의 값을 지정합니다.
사용자 이름: 키 ID를 입력합니다.
Secret: Secret Key를 입력합니다.
이벤트 유형: 포함할 이벤트 유형입니다. 이벤트 유형을 지정하지 않으면 목록의 기본 이벤트가 사용됩니다.
다음을 클릭합니다.
확정 화면에서 피드 구성을 검토한 다음 제출을 클릭합니다.
UDM 매핑 테이블
로그 필드
UDM 매핑
논리
actor_country
principal.location.country_or_region
원시 로그의 actor_country 필드에서 직접 매핑됩니다.
actor_ip_address
principal.ip
원시 로그의 actor_ip_address 필드에서 직접 매핑됩니다.
actor_username
principal.user.userid
원시 로그의 actor_username 필드에서 직접 매핑됩니다.
created_at
metadata.event_timestamp
원시 로그의 created_at 필드에서 UDM 타임스탬프 형식으로 변환됩니다.
심각
security_result.severity
critical이 true이면 심각도가 'CRITICAL'로 설정됩니다. 그렇지 않으면 이벤트의 경우 'INFORMATIONAL'로 설정되고 스캔의 경우 발견된 항목 수를 기반으로 계산됩니다.
id
metadata.product_log_id
이벤트의 원시 로그에 있는 id 필드에서 직접 매핑됩니다.
메시지
security_result.description
grok 패턴을 사용하여 message 필드에서 설명을 추출했습니다.
name
security_result.summary
이벤트의 원시 로그에 있는 name 필드에서 직접 매핑됩니다.
policy_name
security_result.detection_fields.policy_name
원시 로그의 policy_name 필드에서 직접 매핑됩니다.
rule_name
security_result.rule_name
원시 로그의 rule_name 필드에서 직접 매핑됩니다.
scan.created_at
metadata.event_timestamp
스캔의 원시 로그에 있는 scan.created_at 필드에서 UDM 타임스탬프 형식으로 변환됩니다.
scan.critical_findings_count
security_result.description
스캔 이벤트의 설명을 계산하는 데 사용됩니다. 심각도 수준을 결정하는 데도 사용됩니다.
scan.module
security_result.summary
스캔 이벤트의 요약을 생성하는 데 사용됩니다. 대문자로 변환되었습니다.
scan.non_critical_findings_count
security_result.description
스캔 이벤트의 설명을 계산하는 데 사용됩니다. 심각도 수준을 결정하는 데도 사용됩니다.
scan.ok_findings_count
security_result.description
스캔 이벤트의 설명을 계산하는 데 사용됩니다.
scan.server_hostname
target.hostname
검사의 원시 로그에 있는 scan.server_hostname 필드에서 직접 매핑됩니다.
scan.status
security_result.summary
스캔 이벤트의 요약을 생성하는 데 사용됩니다.
scan.url
metadata.url_back_to_product
검사의 원시 로그에 있는 scan.url 필드에서 직접 매핑됩니다.
server_group_name
target.group.attribute.labels.server_group_name
원시 로그의 server_group_name 필드에서 직접 매핑됩니다.
server_group_path
target.group.product_object_id
원시 로그의 server_group_path 필드에서 직접 매핑됩니다.
server_hostname
target.hostname
이벤트의 원시 로그에 있는 server_hostname 필드에서 직접 매핑됩니다.
server_ip_address
target.ip
원시 로그의 server_ip_address 필드에서 직접 매핑됩니다.
server_platform
target.platform
원시 로그의 server_platform 필드에서 직접 매핑됩니다. 대문자로 변환되었습니다.
server_primary_ip_address
target.ip
원시 로그의 server_primary_ip_address 필드에서 직접 매핑됩니다.
server_reported_fqdn
network.dns.authority.name
원시 로그의 server_reported_fqdn 필드에서 직접 매핑됩니다.
target_username
target.user.userid
원시 로그의 target_username 필드에서 직접 매핑됩니다.
metadata.event_type
이벤트의 경우 'SCAN_UNCATEGORIZED', 스캔의 경우 'SCAN_HOST'로 설정됩니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-08-21(UTC)"],[[["\u003cp\u003eThis guide provides instructions for collecting CloudPassage Halo logs and ingesting them into Google SecOps using a Logstash parser.\u003c/p\u003e\n"],["\u003cp\u003eThe Logstash parser transforms CloudPassage Halo JSON log data into a unified data model (UDM), extracting fields, normalizing timestamps, and enriching events.\u003c/p\u003e\n"],["\u003cp\u003eConfiguring an API key within CloudPassage Halo is required, involving accessing the "API Keys" tab in the "Site Administration" section.\u003c/p\u003e\n"],["\u003cp\u003eThe guide outlines the steps to set up a new feed in Google SecOps, specifying the feed name, source type, log type, and API credentials for CloudPassage integration.\u003c/p\u003e\n"],["\u003cp\u003eA detailed UDM mapping table demonstrates how various CloudPassage Halo log fields are translated and mapped to corresponding UDM fields, including their logic for each mapping.\u003c/p\u003e\n"]]],[],null,["# Collect CloudPassage Halo logs\n==============================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis Logstash parser code transforms CloudPassage Halo JSON log data into a unified data model (UDM). It extracts relevant fields from the raw logs, normalizes timestamps, maps data to UDM fields, and enriches events with additional context like severity and user information.\n\nBefore you begin\n----------------\n\nEnsure that you have the following prerequisites:\n\n- Google SecOps instance.\n- Privileged access to CloudPassage Halo.\n\nConfiguring an API key in CloudPassage\n--------------------------------------\n\n1. Sign in to CloudPassage Halo.\n2. Go to **Settings** \\\u003e **Site Administration**.\n3. Click the **API Keys** tab.\n4. Click **Actions** \\\u003e **New Api Key**.\n5. Click **Show** for your key on the **API Keys** tab to display values.\n6. Copy both the **Key ID** and the **Secret Key** values.\n\nSet up feeds\n------------\n\nTo configure a feed, follow these steps:\n\n1. Go to **SIEM Settings** \\\u003e **Feeds**.\n2. Click **Add New Feed**.\n3. On the next page, click **Configure a single feed**.\n4. In the **Feed name** field, enter a name for the feed (for example, **CloudPassage Logs**).\n5. Select **Third party API** as the **Source type**.\n6. Select **Cloud Passage** as the **Log type**.\n7. Click **Next**.\n8. Specify values for the following input parameters:\n - **Username** : enter the **Key ID**.\n - **Secret** : enter the **Secret Key**.\n - **Event Types**: type of events to include (if you don't specify event types, default events from the list will be used).\n9. Click **Next**.\n10. Review the feed configuration in the **Finalize** screen, and then click **Submit**.\n\nUDM Mapping Table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
