Présentation

Utilisez Live Capture pour voir les données qu’une source envoie via le pipeline ainsi que les données qu’un processeur reçoit et envoie. Plus précisément, les informations suivantes sont affichées :

• L’horodatage du moment où les données ont été reçues
• Les données qui ont été envoyées et si elles ont été :
  • Modifié
  • Non modifiées
  • Supprimées
  • Réduites

Un exemple de Live Capture montrant le champ message du log avant et après son traitement par le processeur Parse JSON.

Autorisations

Seuls les utilisateurs disposant de l’autorisation Observability Pipelines Live Capture Write peuvent configurer des captures. Les utilisateurs disposant de l’autorisation Observability Pipelines Live Capture Read peuvent uniquement consulter les événements qui ont déjà été capturés. Consultez Observability Pipelines Permissions pour obtenir la liste des autorisations relatives aux ressources Observability Pipelines.

Les administrateurs disposent par défaut des autorisations de lecture et d’écriture. Les utilisateurs standard disposent par défaut uniquement de l’autorisation de lecture. Consultez Access Control pour plus d’informations sur les rôles Datadog par défaut et sur la façon de créer des rôles personnalisés.

Ajouter des domaines à la liste d’autorisation du pare-feu

Si vous souhaitez utiliser Live Capture et que vous utilisez un pare-feu, vous devez ajouter ces domaines à la liste d’autorisation :

• api.
• obpipeline-intake.
• config.

Capturer des événements

1. Accédez à Observability Pipelines.
2. Sélectionnez votre pipeline.
3. Cliquez sur la roue dentée correspondant à la source ou au processeur pour lequel vous souhaitez capturer des événements.
4. Sélectionnez Capture and view events dans le panneau latéral.
5. Cliquez sur Capture.
6. Configurations facultatives :
   Remarque : Les configurations facultatives ne sont disponibles que si tous les Workers actifs sont en version 2.13 ou ultérieure.
   1. Saisissez une requête pour spécifier les événements que vous souhaitez capturer. Pour plus d’informations, consultez Syntaxe de recherche pour les logs ou Syntaxe de recherche pour les métriques.
   2. Saisissez une durée de capture (en secondes ou en minutes) pour définir la durée pendant laquelle vous souhaitez capturer les événements.
      • Durée minimale (par défaut si aucune durée n’est spécifiée) : 30 secondes
      • Durée maximale : 300 secondes (5 minutes)
   3. Sélectionnez les Workers à partir desquels vous souhaitez capturer des événements. Si aucun Worker n’est sélectionné, un Worker aléatoire est choisi.
7. Cliquez sur Capture pour commencer à capturer les événements.
   Remarque : Il peut s’écouler jusqu’à 60 secondes avant que les événements capturés n’apparaissent dans l’interface utilisateur. Les données capturées sont visibles par tous les utilisateurs disposant d’un accès en lecture et sont stockées sur la plateforme Datadog pendant 72 heures.
8. Une fois la capture terminée :
   1. Cliquez sur un événement capturé spécifique pour voir les données reçues et envoyées. Vous pouvez également rechercher des événements spécifiques dans la barre de recherche. Utilisez le menu déroulant à côté de la barre de recherche pour afficher les événements en fonction de leur statut (MODIFIED, UNMODIFIED, DROPPED et REDUCED).
   2. Dans la section Workers - Capture Execution Details, cliquez sur View Logs pour voir les logs du Worker pour la capture.
9. Pour voir d’autres captures pour le même composant, cliquez sur Captures en haut à gauche du panneau latéral. Remarque : La visualisation d’autres captures ne s’applique que si tous les Workers actifs sont en version 2.13 ou ultérieure.
   • Vous pouvez filtrer les captures par ID d’événement de capture, requête de filtre, version de pipeline ou statut (in_progress ou completed).
   • Pour la colonne Total Events, le nombre maximal d’événements capturés par Worker est de 200, en incluant à la fois l’entrée et la sortie d’un événement.

Pour aller plus loin

Documentation, liens et articles supplémentaires utiles:

Configurez des pipelinesDOCUMENTATION Normalisez les logs de sécurité vers Google SecOps UDM avec Observability Pipelines.BLOG Enrichissez automatiquement les logs de sécurité avec le contexte MITRE ATT&CK avant qu'ils n'atteignent votre SIEMBLOG