Comodo AV のログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane を使用して Comodo AV ログを Google Security Operations に取り込む方法について説明します。パーサーコードは、まず Grok パターンと Key-Value 分離を使用して Comodo AV/Endpoint ログからフィールドを抽出します。次に、抽出されたデータを統合データモデル（UDM）スキーマの対応するフィールドにマッピングし、標準化されたセキュリティ イベント情報で未加工ログを拡充します。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows 2016 以降、または systemd を使用する Linux ホスト
  • プロキシの背後で実行されている場合、ファイアウォール ポートが開いている
  • Comodo IT and Security Manager コンソールへの特権アクセス

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [コレクション エージェント] に移動します。
  3. Ingestion Authentication File をダウンロードします。Bindplane をインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。
  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

  1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

その他のインストール リソース

その他のインストール オプションについては、インストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

  1. 構成ファイルにアクセスします。
    • config.yaml ファイルを見つけます。通常、Linux では /etc/bindplane-agent/ ディレクトリに、Windows ではインストール ディレクトリにあります。
    • テキスト エディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

  2. config.yaml ファイルを次のように編集します。

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'COMODO_AV'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • 自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。
    • <customer_id> は、実際の顧客 ID に置き換えます。
    • /path/to/ingestion-authentication-file.json の値を、Google SecOps の取り込み認証ファイルを取得するで認証ファイルを保存したパスに更新します。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart bindplane-agent

  • Windows で Bindplane エージェントを再起動するには、サービス コンソールを使用するか、次のコマンドを入力します。

    net stop BindPlaneAgent && net start BindPlaneAgent

Syslog を送信するように Comodo Antivirus を構成する

  1. Comodo IT and Security Manager コンソールにログインします。
  2. [Advanced Settings] > [General Settings] > [Logging] に移動します。
  3. 次の構成の詳細を指定します。
    • [Write to syslog server (CEF format)] チェックボックスをオンにします。
    • ホスト: Bindplane エージェントの IP アドレスを入力します。
    • ポート: Bindplane エージェントのポート番号を入力します（例: 514（UDP の場合）。
  4. [OK] をクリックして変更を保存します。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
data3 principal.asset.platform_software.platform_version プロダクト バージョンを表す data3 フィールドの値が principal.asset.platform_software.platform_version にマッピングされます。
data4 principal.user.product_object_id data4 フィールドの値（プロダクト内のユーザーの一意の識別子）は principal.user.product_object_id にマッピングされます。
data5 principal.application アプリケーション名またはイベント名を表す data5 フィールドの値が principal.application にマッピングされます。
datetime metadata.event_timestamp.seconds イベントのタイムスタンプを表す datetime フィールドが解析され、そのエポック秒の値が metadata.event_timestamp.seconds にマッピングされます。
dvc principal.ip デバイスの IP アドレスを表す dvc フィールドは、principal.ip にマッピングされます。
dvchost principal.hostname デバイスのホスト名を表す dvchost フィールドは principal.hostname にマッピングされます。
filePath target.file.full_path スキャンされたファイルのフルパスを表す filePath フィールドは、target.file.full_path にマッピングされます。
fname target.process.parent_process.file.full_path 親プロセスのファイル名を表す fname フィールドは、target.process.parent_process.file.full_path にマッピングされます。
suser target.user.userid イベントに関連付けられたユーザーを表す suser フィールドは、target.user.userid にマッピングされます。
metadata.event_type このフィールドは、filePath の有無に基づいて導出されます。filePath が空でない場合は SCAN_FILE に設定され、それ以外の場合は SCAN_HOST に設定されます。
metadata.log_type このフィールドは静的に COMODO_AV に設定されます。
metadata.vendor_name このフィールドは静的に COMODO に設定されます。
metadata.product_name このフィールドは静的に COMODO_AV に設定されます。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。