Atlassian Jira のログを収集する

概要

このパーサーは、SYSLOG 形式と JSON 形式の Atlassian Jira ログを処理します。まず、メッセージを JSON として解析しようとします。失敗した場合は、grok パターンを使用して SYSLOG 形式のメッセージを解析し、IP アドレス、ユーザー名、HTTP メソッド、レスポンス コードなどのさまざまなフィールドを抽出し、それらを UDM にマッピングします。また、パーサーはログインの成功と失敗などの特定の Jira 監査イベントを処理し、関連するフィールドを UDM 内のセキュリティ結果属性にマッピングします。

始める前に

次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス。
• Atlassian Jira への特権アクセス。

[SIEM 設定] > [フィード] でフィードを設定する

フィードを構成する手順は次のとおりです。

1. [SIEM Settings] > [Feeds] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで [単一のフィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Atlassian Jira Logs）。
5. [Source type] として [Webhook] を選択します。
6. [Log type] で [Atlassian Jira] を選択します。
7. [次へ] をクリックします。
8. 省略可: 次の入力パラメータの値を指定します。
   • 分割区切り文字: ログ行を区切るために使用される区切り文字（\n など）。
   • Asset namespace: アセットの名前空間。
   • Ingestion labels: このフィードのイベントに適用されるラベル。
9. [次へ] をクリックします。
10. [Finalize] 画面でフィードの設定を確認し、[Submit] をクリックします。
11. [秘密鍵を生成する] をクリックして、このフィードを認証するためのシークレット キーを生成します。
12. 秘密鍵をコピーして保存します。この秘密鍵を再び表示することはできません。必要に応じて、新しい秘密鍵を再生成できますが、この操作により以前の秘密鍵は無効になります。
13. [詳細] タブで、[エンドポイント情報] フィールドから、フィードのエンドポイント URL をコピーします。このエンドポイント URL をクライアント アプリケーション内で指定する必要があります。
14. [完了] をクリックします。

Webhook フィード用の API キーを作成する

1. Google Cloud コンソール > [認証情報] に移動します。
2. [認証情報を作成] をクリックして [API キー] を選択します。
3. API キーのアクセスを Google Security Operations API に制限します。

エンドポイント URL を指定する

1. クライアント アプリケーション内で、Webhook フィードで提供される HTTPS エンドポイント URL を指定します。

2. 次の形式でカスタム ヘッダーの一部として API キーと秘密鍵を指定して、認証を有効にします。

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   推奨事項: API キーは URL 内ではなくヘッダーとして指定してください。Webhook クライアントがカスタム ヘッダーをサポートしていない場合は、次の形式のクエリ パラメータを使用して API キーと秘密鍵を指定できます。

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

以下を置き換えます。

• ENDPOINT_URL: フィード エンドポイントの URL。
• API_KEY: Google Security Operations に対する認証に使用する API キー。
• SECRET: フィードの認証用に生成した秘密鍵。

Google SecOps 用に Atlassian Jira で Webhook を作成する

1. 管理者として Jira インスタンスにアクセスします。
2. [Settings] settings > [System] > [WebHooks] に移動します。
3. [Create a WebHook] をクリックします。
4. 次の Webhook の詳細を構成します。
   • Name: Webhook のわかりやすい名前を入力します（例: Google SecOps Integration）。
   • URL: Google SecOps API エンドポイント URL を入力します。
   • Events: Webhook をトリガーする Jira イベントを選択します。セキュリティ モニタリングの必要性に応じてイベントを選択します（問題の発生、問題の更新、コメントの追加など）。必要に応じて [All Events] を選択できます。
   • 省略可: JQL Filter: JQL フィルタを使用して、Webhook をトリガーするイベントをさらに絞り込みます。これは、特定のプロジェクト、問題タイプ、その他の条件に焦点を当てる場合に便利です。
   • Exclude body: このチェックボックスはオフのままにします。Webhook は、イベントデータを JSON 形式で Google SecOps に送信する必要があります。
5. [Create] をクリックして、Webhook の構成を保存します。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。