Cloud Object Storage:驗證所有權

建立 Logpush 工作將日誌傳送至 Cloud Object Storage 之後，您必須驗證所有權。

當挑戰標記寫入指定 Cloud Object Storage 桶中的檔案時，請遵循下列步驟：

• 從 Cloud Object Storage bucket 下載檔案並開啟。
• 從檔案複製挑戰標記並貼入指令提示，以解決所有權挑戰。

CIS 驗證所有權挑戰後，Logpush 作業就會成功建立。 然後，工作會每 30 秒或達到 100,000 條記錄後 (以先到者為準)，將請求記錄推送到您的 Cloud Object Storage bucket。 請注意，在 30 秒期間或每 100,000 條記錄可能會推送多個檔案。

您也可以使用水桶路徑中的 {DATE} 令牌，將 Logpush 日誌整理到每日資料夾中。 例如： cos://mybucket/cislog/{DATE}?region=us-south&instance-id=c84e2a79-ce6d-3c79-a7e4-7e7ab3054cfe

指令範例

支援目的地的 CLI 範例：

IBM Cloud 日誌

範例

ibmcloud cis logpush-job-create 601b728b86e630c744c81740f72570c3 --destination "ibmcl://604a309c-585c-4a42-955d-76239ccc1905.ingress.us-south.logs.cloud.ibm.com/logs/v1/singles?ibm_api_key=xxxxxxxx" --name logpushJobGen --enable true --fields RayID --dataset http_requests --frequency high -i 1a9174b6-0106-417a-844b-c8eb43a72f63

Cloud Object Storage

範例

ibmcloud cis logpush-job-create 31984fea73a15b45779fa0df4ef62f9b --destination cos://cis-test-bucket/logs?region=us&instance-id=f75e6d90-4212-4026-851c-d572071146cd --name logpushcreate --enable true --fields all --timestamps rfc3339 --dataset http_requests --frequency low -i cis-demo --output JSON

自訂 HTTP

範例

ibmcloud cis logpush-job-create 601b728b86e630c744c81740f72570c3 --destination https://logs.example.com?header_Authorization=a64VuywesDu5Aq" --name logpushJobGen --enable true --fields RayID --dataset http_requests --frequency high -i 1a9174b6-0106-417a-844b-c8eb43a72f63

使用 API 取得資料集的可用日誌欄位

可在 Logpush Job 的 logpull_options 中指定日誌欄位，以自訂傳送至目的地的內容。 若要取得 Logpush 資料集的可用日誌欄位，請遵循下列步驟：

1. 使用正確的變數設定您的 API 環境。

2. 將以下值儲存在 API 命令中使用的變數中：

   CRN:服務實例的完整 URL 編碼 CRN。

   ZONE_ID:網域 ID。

   DATASET:正在檢查的 Logpush 資料集。 之一 http_requests, range_events, dns_logs, firewall_events。

3. 當所有變數都啟動後，建立Logpush作業：

   curl -X GET https://api.cis.cloud.ibm.com/v2/$CRN/zones/$ZONE_ID/logpush/datas/$DATASET/fields \
   --header "Content-Type: application/json" \
   --header "X-Auth-User-Token: Bearer $IAM_TOKEN"'
   

建立 Logpush 工作以傳送日誌到您的目的地

若要建立一個 Logpush 工作到您的目的地 ( IBM Cloud Logs, Cloud Object Storage, 或 Splunk )，請遵循下列步驟：

1. 使用正確的變數設定您的 API 環境。

2. 將以下值儲存在 API 命令中使用的變數中：

   CRN:服務實例的完整 URL 編碼雲端資源名稱 (CRN)。

   ZONE_ID:網域 ID。

   --request body:用於建立 Logpush 工作正文的資訊 ( logpush_job_DESTINATION_req ) 其中 DESTINATION 為下列值之一：

   IBM Cloud 日誌目的地

   IBM Cloud 日誌

   ibmcl:用於識別推送資料的 IBM Cloud Logs 實例的資訊。 ibmcl 物件內的欄位為 instance_id : IBM Cloud 日誌實例的 ID。 region : IBM Cloud 日誌實例的區域 (例如 us-south )。 api_key :需要設定 IBM Cloud Logs 帳戶的 API 金鑰。 您可以使用使用者 API 金鑰或服務 ID API 金鑰。 此密鑰用於為 Logpush 工作產生承載令牌。 API 金鑰可透過使用更新 Logpush 工作 API 來輪換。 重要 ：該使用者或服務 ID 必須在 IBM Cloud Logs 服務上被授予 Sender IAM 角色。 ibmcl_names ： 可選欄位，用於自訂 IBM Cloud 日誌中使用的應用程式和子系統名稱。 ibmcl_names 物件內的欄位為 application_name :工作的自訂應用程式名稱。 subsystem_name :工作的自訂子系統名稱。

   Cloud Object Storage 目的地

   Cloud Object Storage
   cos:識別推送資料的 Cloud Object Storage 桶的資訊。 cos 物件內的欄位為 bucket_name :傳送日誌的 COS 桶名稱 (例如： cos-bucket001 )。 region : Cloud Object Storage 實例的區域 (例如： us-south )。 id :COS 實例的 ID。

   Splunk 目的地

   Splunk
   splunk:用來辨識推送資料的 Splunk HTTP Event Collector (HEC) 的資訊。 splunk 物件內的欄位： endpoint_url : URL 的 Splunk HEC。 channel_id :用於唯一識別日誌推送的隨機 GUID。 skip_verify :用於跳過 HTTP Event Collector 證書驗證的布林標誌。 只有在 HEC 使用自簽證書時，才將此設定為 true 。 source_type : Splunk 來源類型 (例如： cloudflare:json )。 auth_token : Splunk 授權令牌。

   自訂 HTTP 目的地

   自訂 HTTP
   destination_conf:用於設定推送資料的自訂 HTTP 目的地的資訊。 標頭可指定由 Logpush 使用，查詢參數以 header_ 為前綴 (例如：header_Authorization=XXXX)。

   name：Logpush 作業的名稱。

   enabled：作業是否啟用。 true 或 false.

   logpull_options:設定字串。 例如，fields=RayID,ZoneID&timestamps=rfc3339。

   dataset：拉取的資料集。 之一 http_requests, dns_logs, range_events, firewall_events。

   frequency: CIS 將記錄批次傳送至目的地的頻率。 high 或 low.

3. 當所有變數都啟動後，建立Logpush作業：

   IBM Cloud 日誌

   curl -X POST https://api.cis.cloud.ibm.com/v2/$CRN/zones/$ZONE_ID/logpush/jobs \
   --header "Content-Type: application/json" \
   --header "X-Auth-User-Token: Bearer $IAM_TOKEN" \
   --data '{
      "ibmcl": {
         "instance_id": "f8k3309c-585c-4a42-955d-76239cccf8k3",
         "region": "us-south",
         "api_key": "f8k3NQI22dPwNVCcmS62YFL1tm9vaehY6C9jxdtnf8k3"
      },
      "ibmcl_names": {
         "application_name": "cis-edge-logs",
         "subsystem_name": "stage-firewall-logs"
      }
      "dataset": "http_requests",
      "enabled": true,
      "logpull_options": "fields=RayID,ZoneID&timestamps=rfc3339",
      "name": "CIS-Edge-Requests",
      "frequency": "low"
   }'
   

   Cloud Object Storage

   curl -X POST https://api.cis.cloud.ibm.com/v2/$CRN/zones/$ZONE_ID/logpush/jobs \
   --header "Content-Type: application/json" \
   --header "X-Auth-User-Token: Bearer $IAM_TOKEN" \
   --data '{
      "cos": {
         "bucket_name": "example_bucket",
         "path": "temp/",
         "id": "cos_instance_id",
         "region": "us-east"
      },
      "dataset": "firewall_events",
      "enabled": false,
      "name": "CIS-Firewall-COS",
      "frequency": "low",
      "logpull_options": "fields=RayID,ZoneID&timestamps=rfc3339",
      "ownership_challenge": "xxxxxxx"
   }'
   

   Splunk

   curl -X POST https://api.cis.cloud.ibm.com/v2/$CRN/zones/$ZONE_ID/logpush/jobs \
   --header "Content-Type: application/json" \
   --header "X-Auth-User-Token: Bearer $IAM_TOKEN" \
   --data '{
      "splunk": {
         "endpoint_url": "example.splunkcloud.com:8088/services/collector/raw",
         "channel_id": "def3c136-7a01-4655-b17f-8e25a780ef2c",
         "skip_verify": false,
         "source_type": "cloudflare:json",
         "auth_token": "Splunk fake3585-0f38-4d62-8b43-c4b78584fake"
      },
      "dataset": "http_requests",
      "enabled": true,
      "name": "CIS-Splunk-Logpush",
      "frequency": "high",
      "logpull_options": "fields=RayID,CacheResponseBytes,CacheResponseStatus,CacheCacheStatus&timestamps=rfc3339"
   }'
   

   自訂 HTTP

   curl -X POST https://api.cis.cloud.ibm.com/v2/$CRN/zones/$ZONE_ID/logpush/jobs \
   --header "Content-Type: application/json" \
   --header "X-Auth-User-Token: Bearer $IAM_TOKEN" \
   --data '{
      "destination_conf": "https://logs.example.com?header_Authorization=a64VuywesDu5Aq",
      "dataset": "http_requests",
      "enabled": true,
      "name": "CIS-Custom-Logpush",
      "frequency": "high",
      "logpull_options": "fields=RayID,CacheResponseBytes,CacheResponseStatus,CacheCacheStatus&timestamps=rfc3339"
   }'