Befehlsbeispiele

Beispiele für CLI für die unterstützten Ziele:

IBM Cloud-Protokolle

Beispiel

ibmcloud cis logpush-job-create 601b728b86e630c744c81740f72570c3 --destination "ibmcl://604a309c-585c-4a42-955d-76239ccc1905.ingress.us-south.logs.cloud.ibm.com/logs/v1/singles?ibm_api_key=xxxxxxxx" --name logpushJobGen --enable true --fields RayID --dataset http_requests --frequency high --instance 1a9174b6-0106-417a-844b-c8eb43a72f63

Cloud Object Storage :
Beispiel

   ```sh {: pre}
   ibmcloud cis logpush-job-create 31984fea73a15b45779fa0df4ef62f9b --destination cos://cis-test-bucket/logs/{DATE}?region=us&instance-id=f75e6d90-4212-4026-851c-d572071146cd&ibm_api_key=XXX --name logpushcreate --enable true --fields all --timestamps rfc3339 --dataset http_requests --frequency low -i cis-demo --output JSON
   ```

IBM QRadar

Beispiel

ibmcloud cis logpush-job-create 31984fea73a15b45779fa0df4ef62f9b --destination https://qradar.example.com:8088 --name logpushJobQRadar --enable true --fields RayID --dataset http_requests --frequency high --instance 1a9174b6-0106-417a-844b-c8eb43a72f63

Splunk

Beispiel

ibmcloud cis logpush-job-create 601b728b86e630c744c81740f72570c3 --destination splunk://cis-analytics.ibm.com:8088/services/collector/raw?header_Authorization=Splunk%20e6d94e8c-5792-4ad1-be3c-29bcaee0197d&channel=f1aafa4f-684f-4c29-a040-7fe184b03712&sourcetype=cloudflare:json&insecure-skip-verify=false --name logpushJobSplunk --enable true --fields RayID --dataset http_requests --frequency high --instance 1a9174b6-0106-417a-844b-c8eb43a72f63

Individuell HTTP

Beispiel

ibmcloud cis logpush-job-create 601b728b86e630c744c81740f72570c3 --destination https://logs.example.com?header_Authorization=a64VuywesDu5Aq" --name logpushJobGen --enable true --fields RayID --dataset http_requests --frequency high --instance 1a9174b6-0106-417a-844b-c8eb43a72f63

Abrufen der verfügbaren Protokollfelder für einen Datensatz mit der API

Protokollfelder können in der logpull_options eines Logpush-Jobs angegeben werden, um anzupassen, was an den Zielort gesendet wird. Um die verfügbaren Log-Felder für einen Logpush-Datensatz zu erhalten, gehen Sie wie folgt vor:

1. Richten Sie Ihre API-Umgebung mit den richtigen Variablen ein.
2. Speichern Sie die folgenden Werte in Variablen, damit diese im API-Befehl verwendet werden können:

CRN: Der vollständige URL-codierte CRN der Serviceinstanz.

ZONE_ID: Die Domänen-ID.

DATASET: Das Logpush-Dataset wird untersucht. Eine von http_requests, range_events, dns_logs, firewall_events.

1. Wenn alle Variablen initialisiert sind, erstellen Sie den Job 'logpush':

   curl -X GET https://api.cis.cloud.ibm.com/v2/$CRN/zones/$ZONE_ID/logpush/datas/$DATASET/fields \
   --header "Content-Type: application/json" \
   --header "X-Auth-User-Token: Bearer $IAM_TOKEN"'
   

Erstellen eines Logpush-Jobs, um Protokolle an Ihr Ziel zu senden

Um einen Logpush-Auftrag an Ihr Ziel ( IBM Cloud Logs, Cloud Object Storage oder Splunk ) zu erstellen, gehen Sie wie folgt vor:

1. Richten Sie Ihre API-Umgebung mit den richtigen Variablen ein.
2. Speichern Sie die folgenden Werte in Variablen, damit diese im API-Befehl verwendet werden können:

CRN: Der vollständige URL-codierte Cloud Resource Name (CRN) der Dienstinstanz.

ZONE_ID: Die Domänen-ID.

--request body: Informationen zum Erstellen des Logpush-Job-Textkörpers ( logpush_job_DESTINATION_req ), wobei DESTINATION einer der folgenden Werte ist:

name: Der Name des LogPush-Jobs.

enabled: Gibt an, ob der Job aktiviert ist true oder false.

logpull_options: Die Konfigurationszeichenfolge. Beispiel: fields=RayID,ZoneID&timestamps=rfc3339.

dataset: Das Dataset, das extrahiert wird. Eine von http_requests, dns_logs, range_events, firewall_events.

frequency: Die Häufigkeit, mit der CIS Protokollstapel an Ihr Ziel sendet. high oder low.

1. Wenn alle Variablen initialisiert sind, erstellen Sie den Job 'logpush':

   IBM Cloud-Protokolle

   curl -X POST https://api.cis.cloud.ibm.com/v2/$CRN/zones/$ZONE_ID/logpush/jobs \
   --header "Content-Type: application/json" \
   --header "X-Auth-User-Token: Bearer $IAM_TOKEN" \
   --data '{
      "ibmcl": {
         "instance_id": "f8k3309c-585c-4a42-955d-76239cccf8k3",
         "region": "us-south",
         "api_key": "f8k3NQI22dPwNVCcmS62YFL1tm9vaehY6C9jxdtnf8k3"
      },
      "ibmcl_names": {
         "application_name": "cis-edge-logs",
         "subsystem_name": "stage-firewall-logs"
      }
      "dataset": "http_requests",
      "enabled": true,
      "logpull_options": "fields=RayID,ZoneID&timestamps=rfc3339",
      "name": "CIS-Edge-Requests",
      "frequency": "low"
   }'
   

   {: pre}
   
   Cloud Object Storage
   :   ```sh
      curl -X POST https://api.cis.cloud.ibm.com/v2/$CRN/zones/$ZONE_ID/logpush/jobs \
      --header "Content-Type: application/json" \
      --header "X-Auth-User-Token: Bearer $IAM_TOKEN" \
      --data '{
         "cos": {
            "bucket_name": "example_bucket",
            "path": "temp/",
            "id": "cos_instance_id",
            "region": "us-east"
         },
         "dataset": "firewall_events",
         "enabled": false,
         "name": "CIS-Firewall-COS",
         "frequency": "low",
         "logpull_options": "fields=RayID,ZoneID&timestamps=rfc3339",
         "ownership_challenge": "xxxxxxx"
      }'
   

   IBM QRadar

   curl -X POST https://api.cis.cloud.ibm.com/v2/$CRN/zones/$ZONE_ID/logpush/jobs \
   --header "Content-Type: application/json" \
   --header "X-Auth-User-Token: Bearer $IAM_TOKEN" \
   --data '{
      "qradar": {
         "url": "https://example.qradar.ibmcloud.com",
         "port": 8088
      },
      "dataset": "firewall_events",
      "enabled": false,
      "name": "CIS-Firewall-QRadar",
      "frequency": "low",
      "logpull_options": "fields=RayID,CacheResponseBytes,CacheResponseStatus,CacheCacheStatus&timestamps=rfc3339"
   }'
   

   {: pre}
   
   Splunk
   :   ```sh
      curl -X POST https://api.cis.cloud.ibm.com/v2/$CRN/zones/$ZONE_ID/logpush/jobs \
      --header "Content-Type: application/json" \
      --header "X-Auth-User-Token: Bearer $IAM_TOKEN" \
      --data '{
         "splunk": {
            "endpoint_url": "example.splunkcloud.com:8088/services/collector/raw",
            "channel_id": "def3c136-7a01-4655-b17f-8e25a780ef2c",
            "skip_verify": false,
            "source_type": "cloudflare:json",
            "auth_token": "Splunk fake3585-0f38-4d62-8b43-c4b78584fake"
         },
         "dataset": "http_requests",
         "enabled": true,
         "name": "CIS-Splunk-Logpush",
         "frequency": "high",
         "logpull_options": "fields=RayID,CacheResponseBytes,CacheResponseStatus,CacheCacheStatus&timestamps=rfc3339"
      }'
   

   Individuell HTTP

   curl -X POST https://api.cis.cloud.ibm.com/v2/$CRN/zones/$ZONE_ID/logpush/jobs \
   --header "Content-Type: application/json" \
   --header "X-Auth-User-Token: Bearer $IAM_TOKEN" \
   --data '{
      "destination_conf": "https://logs.example.com?header_Authorization=a64VuywesDu5Aq",
      "dataset": "http_requests",
      "enabled": true,
      "name": "CIS-Custom-Logpush",
      "frequency": "high",
      "logpull_options": "fields=RayID,CacheResponseBytes,CacheResponseStatus,CacheCacheStatus&timestamps=rfc3339"
   }'
   

   {: pre}