SentinelOne の宛先

ドキュメント > Observability Pipelines > 送信先 > SentinelOne の宛先

利用可能な対象:

ログ

概要

Observability Pipelines の SentinelOne の宛先を使用して、SentinelOne にログを送信します。

セットアップ

シークレット管理の場合: トークンの識別子のみを入力します。実際の値は入力しないでください。

パイプラインをセットアップする際に、SentinelOne の宛先を設定します。パイプラインは、UI、API、または Terraform を使用してセットアップできます。このセクションの手順は、UI で設定します。

パイプライン UI で SentinelOne の宛先を選択した後:

トークンの識別子を入力します。空白のままにすると、デフォルトが使用されます。
ドロップダウンメニューで SentinelOne のログ環境を選択します。

If you enter secret identifiers and then choose to use environment variables, the environment variable is the identifier entered and prepended with DD_OP_. For example, if you entered PASSWORD_1 for a password identifier, the environment variable for that password is DD_OP_PASSWORD_1.

オプションのバッファリング

Toggle the switch to enable Buffering Options. Enable a configurable buffer on your destination to ensure intermittent latency or an outage at the destination doesn’t create immediate backpressure, and allow events to continue to be ingested from your source. Disk buffers can also increase pipeline durability by writing data to disk, ensuring buffered data persists through a Worker restart. See Destination buffers for more information.

If left unconfigured, your destination uses a memory buffer with a capacity of 500 events.
To configure a buffer on your destination:
1. Select the buffer type you want to set (Memory or Disk).
2. Enter the buffer size and select the unit.
  1. Maximum memory buffer size is 128 GB.
  2. Maximum disk buffer size is 5 TB.
    - Note: For Worker versions 2.20.x and older, the maximum disk buffer size is 500 GB.
3. In the Behavior on full buffer dropdown menu, select whether you want to block events or drop new events when the buffer is full.

シークレットのデフォルト

These are the defaults used for secret identifiers and environment variables.

SentinelOne 書き込みアクセストークンの識別子:
- デフォルトの識別子は DESTINATION_SENTINEL_ONE_TOKEN です。

SentinelOne write access token:
- The default environment variable is DD_OP_DESTINATION_SENTINEL_ONE_TOKEN.

SentinelOne クラスターでログを表示する

SentinelOne 宛先にログを送信するようにパイプラインをセットアップした後、SentinelOne クラスターでログを表示することができます。

S1 コンソールにログインします。
Singularity Data Lake (SDL) Search ページに移動します。コンソールからアクセスするには、左側のメニューの Visibility をクリックして SDL に移動し、Search タブが表示されていることを確認します。
検索バーの横にあるフィルターが All Data に設定されていることを確認します。
このページには、Observability Pipelines から SentinelOne に送信したログが表示されます。

健全性メトリクス

すべての宛先から出力されるコンポーネントメトリクスおよび宛先バッファメトリクスについては、パイプライン使用状況メトリクスのドキュメントを参照してください。Splunk HEC 宛先メトリクスでフィルタリングまたはグループ化するには、タグ component_type:splunk_hec_logs を使用します。