← Cloudflare Logs / logs / logpush / logpush-job / enable-destinations

Povolení SentinelOne

HTTP Event Collector (HEC) je spolehlivá metoda pro odesílání logových dat do SentinelOne Singularity Data Lake. Cloudflare Logpush umožňuje odesílat logy přímo do SentinelOne HEC prostřednictvím Cloudflare dashboardu nebo API.

1. V dashboardu Cloudflare přejděte na Logpush stránku na úrovni účtu nebo domény (známé také jako zóna).

   Pro účet: Přejděte na Logpush ↗

   Pro doménu (známou také jako zóna): Přejděte na Logpush ↗

2. Podle vaší volby máte přístup k datové sady v rozsahu účtu a datové sady s rozsahem zóny, v uvedeném pořadí.

3. Vyberte Vytvoření úlohy Logpush.

4. V Vyberte cíl, vyberte SentinelOne.

5. Zadejte nebo vyberte následující informace o cíli:

   • SentinelOne HEC URL
   • Auth Token - Token Event Collector.
   • Typ zdroje - Například marketplace-cloudflare-latest.

Jakmile zadáte podrobnosti cíle, vyberte Pokračovat.

6. Vyberte datovou sadu, kterou chcete odesílat do úložné služby.

7. V dalším kroku musíte nakonfigurovat úlohu Logpush:

   • Zadejte Název úlohy.
   • V části Pokud se protokoly shodují, můžete vybrat, které události chcete do protokolů zahrnout nebo z nich odstranit. Více informací najdete v Filtry s dalšími informacemi. Tato možnost není dostupná u všech datových sad.
   • V Odešlete následující pole, můžete se rozhodnout, zda chcete do cílového úložiště odesílat všechny protokoly, nebo si vybrat, které protokoly chcete odesílat.

8. V Advanced Options, můžete:

   • Zvolte formát polí s časovým razítkem ve svých protokolech (RFC3339 (výchozí), Unix, nebo UnixNano).
   • Vyberte míra vzorkování pro vaše protokoly, nebo odesílejte náhodně vzorkované procento protokolů.
   • Povolte maskování pro CVE-2021-44228. Tato možnost nahradí každý výskyt ${ hodnotou x{.

9. Vyberte Odeslat jakmile dokončíte konfiguraci úlohy Logpush.

Chcete-li nastavit úlohu Logpush pro SentinelOne:

1. Vytvořte úlohu s příslušnou URL adresou koncového bodu a autentizačními parametry.
2. Povolte úlohu, aby mohla začít odesílat protokoly.

Zajistěte, že Log Share oprávnění povolena, než se pokusíte přečíst nebo nakonfigurovat úlohu Logpush. Další informace najdete na Sekce Role.

Chcete-li vytvořit úlohu, proveďte POST požadavek na koncový bod úloh Logpush s následujícími poli:

• název (volitelné) - Jako název úlohy použijte název své domény.
• destination_conf - Cíl protokolů složený z URL endpointu, typu zdroje a autorizační hlavičky ve formátu řetězce níže.
  • <SENTINELONE_ENDPOINT_URL>: URL adresa raw HTTP Event Collectoru SentinelOne včetně portu. Například: sentinelone://ingest.us1.sentinelone.net/services/collector/raw. Cloudflare očekává, že koncový bod SentinelOne bude /services/collector/raw při konfiguraci a nastavování úlohy Logpush.
  • <SENTINELONE_AUTH_TOKEN>: Autorizační token SentinelOne zakódovaný pro URL adresu. Například: Bearer 0e6d94e8c-5792-4ad1-be3c-29bcaee0197d.
  • <SOURCE_TYPE>: Typ zdroje SentinelOne. Například: marketplace-cloudflare-latest.

"https://<SENTINELONE_ENDPOINT_URL>?sourcetype=<SOURCE_TYPE>&header_Authorization=<SENTINELONE_AUTH_TOKEN>"

• dataset - Kategorie protokolů, které chcete přijímat. Viz Datové sady pro úplný seznam podporovaných datových sad.

• output_options (volitelné) - Chcete-li nakonfigurovat pole, sample rate a formát časového razítka, viz Možnosti výstupu protokolu. Pro časové razítko Cloudflare doporučuje použít timestamps=rfc3339.

Příklad požadavku pomocí cURL:

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/logpush/jobs" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "<DOMAIN_NAME>",
		"destination_conf": "sentinelone://<SENTINELONE_ENDPOINT_URL>?sourcetype=<SOURCE_TYPE>&header_Authorization=<SENTINELONE_AUTH_TOKEN>",
		"output_options": {
				"field_names": [
						"ClientIP",
						"ClientRequestHost",
						"ClientRequestMethod",
						"ClientRequestURI",
						"EdgeEndTimestamp",
						"EdgeResponseBytes",
						"EdgeResponseStatus",
						"EdgeStartTimestamp",
						"RayID"
				],
				"timestamp_format": "rfc3339"
		},
		"dataset": "http_requests",
		"enabled": true
	}'

Odpověď:

{
  "errors": [],
  "messages": [],
  "result": {
    "id": <JOB_ID>,
    "dataset": "http_requests",
    "kind": "",
    "enabled": true,
    "name": "<DOMAIN_NAME>",
    "output_options": {
      "field_names": ["ClientIP", "ClientRequestHost", "ClientRequestMethod", "ClientRequestURI", "EdgeEndTimestamp","EdgeResponseBytes", "EdgeResponseStatus", "EdgeStartTimestamp", "RayID"],
      "timestamp_format": "rfc3339"
    },
    "destination_conf": "sentinelone://<SENTINELONE_ENDPOINT_URL>?sourcetype=<SOURCE_TYPE>&header_Authorization=<SENTINELONE_AUTH_TOKEN>",
    "last_complete": null,
    "last_error": null,
    "error_message": null
  },
  "success": true
}

Viz Spravovat Logpush pomocí cURL k aktualizaci úlohy (včetně jejího zapnutí a vypnutí).

Viz Logpush (FAQ) s informacemi o řešení potíží.