कस्टम HTTP पुश <span title="HTTP का हिंदी अनुवाद है: हाइपरटेक्स्ट ट्रांसफर प्रोटोकॉल">इंटीग्रेशन</span> के साथ डेटा भेजना

समीक्षा

उन संगठनों के लिए जो डेटा को सिस्टमों तक भेजते हैं और जिनके लिए सीटो इंटीग्रेशन मौजूद नहीं है, हम कस्टम HTTP पुश इंटीग्रेशन प्रदान करते हैं।

कस्टम HTTP पुश इंटीग्रेशन का उपयोग करते हुए घटनाओं और प्रवाहों, सीधे उन बाहरी प्लेटफार्मों पर भेजें जो JSON या न्यूलाइन डिलीमिटेड JSON HTML स्वीकार करते हैं। अनुसूचित आधार पर पुनः प्राप्य किए बिना, डेटा को लगातार उत्पन्न होने के समय पुश किया जाता है। यह डाउनस्ट्रीम सिस्टम को लगभग वास्तविक समय में अपडेट प्राप्त करने की अनुमति देता है बिना पोलिंग के।

साधारण उपयोग मामलों

• SIEM और SOC प्लेटफॉर्म - उदाहरण कंपनी IPS संदिग्ध गतिविधि निगरानी सुविधा का उपयोग करती है, जो बड़ी मात्रा में सुरक्षा घटनाओं को उत्पन्न करती है। वे अपने मौजूदा SIEM प्लेटफॉर्म के साथ इस डेटा को केंद्रीकृत करने का निर्णय लेते हैं, जिसके लिए कोई समर्पित Cato एकीकरण नहीं है। उदाहरण कंपनी इवेंट्स इंटीग्रेशन सक्रिय करती है और अपने SIEM's HTTP अंतर्ग्रहण एंडपॉइंट की ओर इवेंट्स को स्वचालित रूप से स्ट्रिम करने के लिए एक कस्टम HTTP पुश इंटीग्रेशन कॉन्फ़िगर करती है, ताकि सभी IPS घटनाएँ एक स्थायी प्रतिधारण के लिए स्ट्रीम की जा सकें।

• कस्टम लॉग संग्रहण और एनालिटिक्स - उदाहरण कंपनी अपनी आंतरिक एनालिटिक्स पाइपलाइन के लिए Cato इवेंट डेटा को परिचालनात्मक रिपोर्टिंग के लिए भेजना चाहती है। वे डेटा प्राप्त करने के लिए एक HTTP- आधारित लॉग कलेक्टर खड़ा करते हैं और अपने Cato खाते में एक कस्टम HTTP पुश इंटीग्रेशन कॉन्फ़िगर करते हैं, ताकि इवेंट्स जनरेट होते ही एकत्रक पर भेजे जा सकें, बिना अपडेट्स के लिए Cato को पॉल करने की आवश्यकता के।

वितरण विश्वसनीयता

डेटा को बेस्ट-एफर्ट डिलीवरी के माध्यम से भेजा जाता है। यदि किसी गंतव्य एंडपॉइंट तक पहुँच नहीं हो पाती है या यह प्रमाणीकरण त्रुटि लौटाता है, तो Cato निम्नलिखित अनुसूची का उपयोग करके स्वत: पुनः कनेक्ट करने का प्रयास करता है:

• संक्षिप्त-अवधि के पुनः प्रयास: 1 मिनट, 5 मिनट, 10 मिनट, 15 मिनट, 1 घंटा, 6 घंटे, और 24 घंटे

• विस्तारित पुनः प्रयास: पहले 24 घंटे के बाद दैनिक पुनः प्रयास, 7 दिनों तक जारी

यदि एकीकरण 7 दिनों के लिए जुड़ने में असमर्थ रहता है, तो निरंतर पुनः प्रयास पूरे एकीकरण के लिए तब तक बंद हो जाते हैं जब तक कि एंडपॉइंट कॉन्फ़िगरेशन समस्या हल नहीं हो जाती।

देशी इंटीग्रेशन और कस्टम HTTP पुश का मुकाबला

Cato घटनाओं को आमतौर पर उपयोग किए जाने वाले प्लेटफार्म पर निर्यात करने के लिए उद्देश्य-निर्मित एकीकरण प्रदान करता है, जिसमें Splunk, Microsoft Sentinel, CrowdStrike और Azure Storage शामिल हैं। जब आपके गंतव्य के लिए एक देशी एकीकरण उपलब्ध हो, हम इसे उपयोग करने की सिफारिश करते हैं। लाभ यह है कि इसे उस प्लेटफार्म के लिए अनुकूलित किया गया है और यह प्लेटफार्म विशेष क्षमताएं प्रदान कर सकता है।

जब आपके गंतव्य के पास कोई समर्पित एकीकरण नहीं होता है, या जब आपको इवेंट्स को एक कस्टम एप्लिकेशन या सेवा में वितरित करने की आवश्यकता होती है, तो कस्टम HTTP पुश इंटीग्रेशन का उपयोग करें।

फिल्टर्स

यह नियंत्रित करने के लिए फ़िल्टर का उपयोग करें कि कौन सी घटनाएं निर्यात की जाती हैं। यह मदद करता है निवेश लागतों को कम करने, शोर को कम करने, और जांच को उन घटनाओं पर केंद्रित करने पर, जो विशेष साइटों, उपयोगकर्ताओं, या क्षेत्रों के लिए सबसे उपयुक्त हैं। आप विभिन्न घटनाओं के उपसमूहों को विभिन्न SIEM परिवेशों में भेजने के लिए भी फ़िल्टर का उपयोग कर सकते हैं।

किसी भी इवेंट फ़ील्ड या फ़ील्ड्स के संयोजन के आधार पर फिल्टर को परिभाषित करने के लिए फ़िल्टर समूह का उपयोग करें। प्रत्येक समूह के भीतर स्थितियां AND लॉजिक का उपयोग करती हैं। समूहों के बीच OR लॉजिक लागू होता है। स्क्रीनशॉट में फिल्टर एकीकरण को निर्यात करने के लिए कॉन्फ़िगर करते हैं:

• घटनाएँ जो Paris या Madrid से उत्पन्न होती हैं, उप-प्रकार इंटरनेट फ़ायरवॉल की होती हैं, और कार्रवाइयाँ Monitor या Prompt के अलावा होती हैं।

• उपयोगकर्ता नाम तथ्य का उपयोग करते हैं।

पूर्वशर्तें

कस्टम HTTP पुश इंटीग्रेशन को कॉन्फ़िगर करने से पहले, यह सत्यापित करें कि गंतव्य प्लेटफार्म निम्नलिखित में से सभी का समर्थन करता है:

• HTTP पोस्ट या पुट अनुरोध

• JSON या न्यूलाइन-डीलिमिटेड JSON (NDJSON)

• कस्टम अनुरोध बॉडी, विक्रेता-विशिष्ट रैपर, या अतिरिक्त निर्देश की आवश्यकता के बिना मानक Cato पेलोड

पेलोड संरचना स्थिर है। फ़ील्ड्स को जोड़ा, हटाया, या पुनः व्यवस्थित नहीं किया जा सकता।

सारांश:

• एक गंतव्य प्लेटफार्म आमतौर पर संगत होता है यदि यह सामान्य JSON वस्तुओं या NDJSON इवेंट स्ट्रीम को वैसा ही स्वीकार कर सकता है जैसा Cato उन्हें भेजता है। उदाहरण में SentinelOne, Securonix और ट्रेंड AI शामिल हैं।

• एक प्लेटफ़ॉर्म संगत नहीं होता, यदि इसका इन्गेशन API एक स्वामित्वबद्ध पेलोड संरचना जैसे एक लिफ़ाफ़ा, रैपर, या नियंत्रण रेखा की आवश्यकता के साथ अनुरोध बॉडी में जोड़ा जाता है। उदाहरण में Elastic और Datadog शामिल हैं।

कस्टम HTTP पुश इंटीग्रेशन सेट करें

चरण 1: पैरामीटर एकत्र करें

अपने लक्षित प्लेटफ़ॉर्म से प्राप्त करें:

• इनजेशन URL: HTTP(S) एंडपॉइंट जो इवेंट्स को स्वीकार करता है

• प्रमाणीकरण विवरण: इंटीग्रेशन कस्टम हेडर(s), API कुंजी, बियरर टोकन, या बेसिक ऑथ का समर्थन करता है। यदि आपका विक्रेता एक उपसर्गित मूल्य देता है (उदा. बियरर <टोकन>), तो आप पूरी स्ट्रिंग दर्ज करेंगे — उपसर्ग सहित — एक एकल मूल्य के रूप में। यह Cato की ओर एन्क्रिप्टेड के रूप में संग्रहीत होता है।

चरण 2: कर्ल के साथ टेस्ट करें

स्वतंत्र रूप से गंतव्य को एक कमांड-लाइन कर्ल अनुरोध का उपयोग करके मान्य करें। यह विक्रेता-पक्षीय समस्याओं को अलग करता है (प्रमाणिकता, एंडपॉइंट, पेलोड स्वीकृति) और आपको कनेक्टर सेटअप में सीधे पुनः उपयोग कर सकने वाला कार्यशील अनुरोध देता है।

निम्नलिखित उदाहरण एक कर्ल अनुरोध दिखाता है जो एलास्टिक के लिए असफल होता है:

curl -X POST "https://<your-elastic-endpoint>/_bulk" \
 -H "Authorization: ApiKey <KEY>" \
 -H "Content-Type: application/x-ndjson" \
 --data-binary $'{"create":{"_index":"logs-cato.events-default"}}\n{"message":"test event from curl","event_type":"test","timestamp":"2026-07-05T12:00:00Z"}\n'

यह कनेक्टर की आवश्यकताओं को पूरा नहीं करता है, हालांकि कर्ल कॉल स्वयं एलास्टिक के खिलाफ सफल हो सकता है। पेलोड को हर इवेंट लाइन के पहले एक निर्देश की आवश्यकता होती है; इंटीग्रेशन के पास अन्य सूचना को प्रवेश करने का कोई तरीका नहीं है, चूंकि बॉडी फॉर्मेट स्थिर है।

निम्नलिखित उदाहरण एक कर्ल अनुरोध दिखाता है जो सेंटीनेलवन के लिए सफल होता है:

curl -i "https://ingest.us1.sentinelone.net/services/collector/raw?sourcetype=cato_events" \
 -H "Authorization: <token>" \
 -H "Content-Type: application/x-ndjson" \
 --data-binary $'{"event_type":"test"}\n'

यह इसलिए काम करता है क्योंकि SentinelOne का HEC रॉ एंडपॉइंट प्रत्येक लाइन पर एक सादा इवेंट वस्तु को स्वीकार करता है - न कोई बाहरी वस्त्र, न कोई अतिरिक्त निर्देश - जो वास्तव में कनेक्टर भेजता है। जब इस तरह का कर्ल टेस्ट सफल होता है, तो आप इसे कनेक्टर सेटअप में अक्षरशः उपयोग कर सकते हैं:

• URL: क्वेरी पैरामीटर्स सहित पूर्ण एंडपॉइंट पेस्ट करें (उदाहरण के लिए, ?sourcetype=cato_events)

• ऑथ: कस्टम हेडर्स → हेडर नाम "ऑथराइजेशन", मूल्य आपके वास्तविक टोकन के लिए सेट (सीक्रेट के रूप में संग्रहीत)

• बॉडी: सामग्री प्रकार को उसी से मिलाएं जो आपने टेस्ट किया था (यहाँ application/x-ndjson)

यदि आपका कर्ल टेस्ट सफल होता है, तो चरण 3 पर जारी रखें।

चरण 3: कनेक्टर कॉन्फ़िगर करें

1. CMA में, संसाधन > इंटीग्रेशन > कॉन्फ़िगर किए गए इंटीग्रेशन पर जाएं, और नया पर क्लिक करें।

2. इंटीग्रेशन के अंतर्गत, कस्टम HTTP इंटीग्रेशन चुनें।

3. क्षमता के अंतर्गत, डेटा एक्सपोर्ट चुनें।

4. ऑथ के अंतर्गत, वह विधि चुनें जो आपने कर्ल के साथ सत्यापित की थी (कस्टम हेडर्स, API कुंजी, बियरर टोकन, या बेसिक ऑथ)।

5. नाम और वैकल्पिक विवरण दर्ज करें।

6. URL — वही एंडपॉइंट आप कर्ल के साथ टेस्ट किए थे दर्ज करें।

7. अपने कस्टम हेडर्स (या समतुल्य ऑथ फ़ील्ड्स) जोड़ें — अपने सफल कर्ल कमांड से सही हेडर नाम और मूल्य ले जाएं। हर मान को सीक्रेट या प्लेन के रूप में संग्रहीत किया जा सकता है।

8. बॉडी के अंतर्गत, सामग्री का प्रकार की पुष्टि करें (डिफ़ॉल्ट application/json है; NDJSON भी समर्थित है)।

कनेक्टर द्वारा भेजा गया अनुरोध बॉडी कॉन्फ़िगरेबल नहीं है: आप कस्टम फ़ील्ड्स नहीं जोड़ सकते या पेलोड को पुनःसंरचना नहीं कर सकते।

9. डेटा स्रोतों के अंतर्गत, इवेंट्स, प्रवाह, या दोनों चुनें।

10. स्वेच्छा से भेजे गए को स्कोप बनाएँ इवेंट्स फ़िल्टर और प्रवाह फ़िल्टर का उपयोग करके (किसी भी कॉन्फ़िगर किए गए फ़िल्टर ग्रुप्स से मेल खाता है)। अधिक जानकारी के लिए, देखें फ़िल्टर ऊपर।

11. चुनें कि क्या कनेक्टर इवेंट्स के साथ त्रुटियों को ट्रैक करें। यह अनुशंसित है ताकि वितरण विफलताएं इवेंट्स के रूप में सामने आएं जिन पर आप अलर्ट कर सकते हैं।

12. कॉन्फिगरेशन को सहेजें और स्थिति को कनेक्टेड दिखाता है इसकी पुष्टि करें।

ट्रबलशूटिंग

• Curl सफल होता है, लेकिन Cato कनेक्टिविटी त्रुटि दिखाता है: यह सुनिश्चित करें कि आपने Cato में दर्ज किए गए हेडर्स/ऑथ का कर्ल में आप जिस तरह से उपयोग किया था वह बिल्कुल मेल खाता है, जिसमें कोई भी आवश्यक उपसर्ग शामिल हो (उदाहरण के लिए, बियरर) जो एन्क्रिप्टेड मूल्य का हिस्सा है।

• मेरे बाहरी प्लेटफार्म में कोई इवेंट्स नहीं आ रहे हैं: अपने इवेंट्स फ़िल्टर/प्रवाह फ़िल्टर की जाँच करें। एक अत्यधिक संकुचित फ़िल्टर सब कुछ चुपचाप छोड़ सकता है।

• वेंडर पेलोड को अस्वीकार करता है: आवश्यकताओं की समीक्षा करें। आपके विक्रेता को संभवतः एक कस्टम बॉडी संरचना की आवश्यकता होती है जिसे यह कनेक्टर उत्पन्न नहीं कर सकता।

लेख चेंजलॉग

FAQ