SentinelOne 목적지

이 제품은 선택한 Datadog 사이트에서 지원되지 않습니다. ().
이용 가능:

로그

개요

Observability Pipelines의 SentinelOne 목적지를 사용하여 SentinelOne으로 로그를 전송하십시오.

설정

시크릿 관리: 토큰의 식별자만 입력하십시오. 실제 값은 입력하지 마세요.

파이프라인을 설정할 때 SentinelOne 목적지를 구성하십시오. 파이프라인은 UI에서 설정할 수 있으며, API 또는 Terraform을 사용하여 설정할 수 있습니다. 이 섹션에서 설명하는 단계는 UI에서 설정합니다.

파이프라인 UI에서 SentinelOne 목적지를 선택한 후:

  1. 토큰의 식별자를 입력하십시오. 비워두면 기본값이 사용됩니다.
  2. 드롭다운 메뉴에서 SentinelOne 로그 환경을 선택하십시오.
If you enter secret identifiers and then choose to use environment variables, the environment variable is the identifier entered and prepended with DD_OP_. For example, if you entered PASSWORD_1 for a password identifier, the environment variable for that password is DD_OP_PASSWORD_1.

선택적 버퍼링

Toggle the switch to enable Buffering Options. Enable a configurable buffer on your destination to ensure intermittent latency or an outage at the destination doesn’t create immediate backpressure, and allow events to continue to be ingested from your source. Disk buffers can also increase pipeline durability by writing data to disk, ensuring buffered data persists through a Worker restart. See Destination buffers for more information.

  • If left unconfigured, your destination uses a memory buffer with a capacity of 500 events.
  • To configure a buffer on your destination:
    1. Select the buffer type you want to set (Memory or Disk).
    2. Enter the buffer size and select the unit.
      1. Maximum memory buffer size is 128 GB.
      2. Maximum disk buffer size is 5 TB.
        • Note: For Worker versions 2.20.x and older, the maximum disk buffer size is 500 GB.
    3. In the Behavior on full buffer dropdown menu, select whether you want to block events or drop new events when the buffer is full.

시크릿 기본값

These are the defaults used for secret identifiers and environment variables.

    • SentinelOne 쓰기 액세스 토큰 식별자:
      • 기본 식별자는 DESTINATION_SENTINEL_ONE_TOKEN입니다.
    • SentinelOne write access token:
      • The default environment variable is DD_OP_DESTINATION_SENTINEL_ONE_TOKEN.

    SentinelOne 클러스터에서 로그를 조회하십시오

    SentinelOne 목적지로 로그를 전송하도록 파이프라인을 설정한 후, SentinelOne 클러스터에서 로그를 조회할 수 있습니다:

    1. S1 콘솔에 로그인합니다.
    2. Singularity Data Lake (SDL) Search 페이지로 이동합니다. 콘솔에서 액세스하려면 왼쪽 메뉴에서 Visibility을 클릭하여 SDL로 이동한 다음, Search 탭에 있는지 확인하십시오.
    3. 검색 창 옆의 필터가 All Data로 설정되어 있는지 확인하십시오.
    4. 이 페이지에는 Observability Pipelines에서 SentinelOne으로 전송한 로그가 표시됩니다.

    상태 메트릭

    모든 목적지에서 내보내는 구성 요소 메트릭 및 목적지 버퍼 메트릭에 대해서는 Pipelines 사용량 메트릭 설명서를 참조하세요. Splunk HEC 목적지 메트릭을 필터링하거나 그룹화하려면 component_type:splunk_hec_logs 태그를 사용하십시오.

    목적지의 작동 방식

    이벤트 배치 처리

    이벤트 배치는 다음 중 하나의 파라미터를 충족하면 플러시됩니다. 자세한 내용은 목적지 이벤트 배치 처리를 참조하십시오.

    최대 이벤트최대 크기(MB)타임아웃(초)
    없음11

    추가 자료

    추가 유용한 문서, 링크 및 기사:

    Observability Pipelines로 EDR 로그를 최적화하고 SentinelOne으로 라우팅하십시오.블로그 more more