Öncelikle R2 bucketı'mıza logları gönderecek Logpush job'ı Cloudflare web arayüzünden oluşturuyoruz.
Logların kaydedileceği destination olarak R2 object storage (Automatic) seçiyoruz. Böylece cloudflare bizim için bir R2 bucket kendisi otomatik olarak oluşturuyor.
Destination'dan sonra hangi logların gönderileceğini dataset altıdan seçip son olarak R2 bucket'ımızın oluşmasını istediğimiz region'u seçiyoruz ve logpush job oluşmuş oluyor.
Logpush Job oluşturulduktan sonra sırada QRadar R2 bağlantısını sağlamak için API Token oluşturmak var. Bunun içinse R2 object storage sayfasına girip manage apı token seçeneğini ve açılan ekranda create API token butonunu tikliyoruz/
Karşımıza çıkan ekrandaki ayarları aşağıdaki şekilde yapılandırıyoruz:
- Permissions:
QRadar yalnızca logları okuyacağı için Object Read Only yetkisi yeterli olacaktır.
- Specific Buckets:
Token'ın erişebileceği R2 bucket'larını, loglarımızın bulunduğu bucket ile sınırlandırmak için Specific Buckets seçeneğini seçiyoruz. Ardından Cloudflare'ın bir önceki adımda otomatik olarak oluşturduğu bucket'ın adını ekliyoruz.
- TTL:
Demo amaçlı bir token oluşturduğumuz için Forever seçeneğini kullanmakta sakınca yoktur. Ancak kritik verilerin tutulduğu sistemlerde token için sınırlı bir geçerlilik süresi belirlemek, veri güvenliği açısından oldukça önemlidir.
- Client IP Address Filtering:
Token'ın erişimini daha da kısıtlamak amacıyla QRadar'ın public IP adresini ekliyoruz.
Son olarak gerekli ayarları tamamladıktan sonra token'ımızı oluşturuyoruz.
Token oluştuktan sonra Access Key ID, Secret Access Key ve Endpointi QRadar tarafında kullanmak üzere kaydediyoruz.
QRadar üzerinde Admin sayfasından Log Sources seçip yeni log source oluşturma seçeneğini seçiyoruz.
Karşımıza ilk olarak Log Source Type seçenekleri çıkıyor. QRadar'ın Clooudflare log'ları için bir entegrasyonu bulunduğundan Cloudflare Logs seçiyoruz.
Bunun ardından karşımıza bu logları çekmek için hangi protokolü kullanacağımızı seçeceğimiz Protocol Type ekranı geliyor. Burada R2 S3 Rest API uyumlu olduğu için bu protokolü seçiyoruz.
Log Source paremetrelerinden bu log source için uygun bir isim veriyoruz ve protokol parametrelerine geçiyoruz.
Karşımıza gelen protokol parametreleri sayfasında bir log source identifier verdikten sonra asıl protokol bilgilerini giriyoruz
Authentication Method: Access Key ID/ Secret Key seçiyoruz
Access Key ID, Secret Key: Token oluşturduğumuzda kaydettiklerimizi buraya giriyoruz
AWS S3 Collection Configuration:
S3 Collection Method: Use a specific prefix seçiyoruz
Bucket Name: Logların yazıldığı bucket'ın adını yazıyoruz
Directory Prefix: Bucket'ın girdiğimiz endpointe göre konumunu giriyoruz. Eğer aksi bir ayar yapılmadıysa "/" prefixi uygun olacaktır.
Region Name: R2 bucket region için us-east-1 giriyoruz.
Event Format: Cloudflare logları için LINEBYLINE formatı seçmemiz gerekiyor.
Bunun ardından Show Advanced Options özelliğini açıp S3 endpoint URL'imizi giriyoruz. File pattern içim .* seçeneği bütün dosya isimlerini kabul edecektir. Eğer ksııtlamak isterseniz uygun bir regex girebilirsiniz.
Son olaraksa girdiğimiz parametrelerle bağlantıyı test ediyoruz. QRadar bize hata oluşursa hangi katmanda hata oluştuğunu gösteriyor
