Deep Instinct EDR のログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane を使用して Deep Instinct EDR ログを Google Security Operations に取り込む方法について説明します。パーサーは、Deep Instinct EDR LEEF 形式のログからフィールドを抽出します。Grok を使用してログ メッセージを解析し、kv を使用して Key-Value ペアを分離してから、これらの値を UDM にマッピングします。この処理中に、さまざまなデータ変換と特定のフィールドの条件ロジックも処理されます。また、イベントのソースとタイプのデフォルトのメタデータ値も設定します。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows 2016 以降、または systemd を使用する Linux ホスト
  • プロキシの背後で実行している場合は、ファイアウォール ポートが開いていることを確認する
  • Deep Instinct Management Console への特権アクセス

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [コレクション エージェント] に移動します。
  3. Ingestion Authentication File をダウンロードします。Bindplane をインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。
  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

  1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

その他のインストール リソース

その他のインストール オプションについては、インストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

  1. 構成ファイルにアクセスします。
    • config.yaml ファイルを見つけます。通常、Linux では /etc/bindplane-agent/ ディレクトリに、Windows ではインストール ディレクトリにあります。
    • テキスト エディタ（nano、vi、メモ帳など）を使用してファイルを開きます。
  2. config.yaml ファイルを次のように編集します。 yaml receivers: udplog: # Replace the port and IP address as required listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the path to the credentials file you downloaded in Step 1 creds_file_path: '/path/to/ingestion-authentication-file.json' # Replace with your actual customer ID from Step 2 customer_id: <customer_id> endpoint: malachiteingestion-pa.googleapis.com # Add optional ingestion labels for better organization log_type: 'DEEP_INSTINCT_EDR' raw_log_field: body ingestion_labels: service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels
  • 自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart bindplane-agent

  • Windows で Bindplane エージェントを再起動するには、Services コンソールを使用するか、次のコマンドを入力します。

    net stop BindPlaneAgent && net start BindPlaneAgent

Deep Instinct EDR の Syslog を構成する

  1. Deep Instinct Management Console にログインします。
  2. [Settings] > [Integrations] に移動します。
  3. [+ 追加] ボタンをクリックします。
  4. 次の構成の詳細を入力します。
    • 名前: わかりやすい名前を入力します（例: Google SecOps Bindplane）。
    • ホスト: Bindplane エージェントの IP アドレスを入力します。
    • ポート: Bindplane エージェントのポート番号を入力します。
    • プロトコル: 実際の Bindplane エージェントの構成に応じて、[UDP] または [TCP] を選択します。
    • 形式: [LEEF] を選択します。
    • タイムゾーン: システム全体で一貫性を保つため、UTC タイムゾーンを選択します。
    • [イベント] セクションに移動して、[すべて] を選択します。
  5. [保存] をクリックします。

UDM マッピング テーブル

ログフィールド UDM マッピング 論理
act security_result.action_details act フィールドから直接マッピングされます。
app principal.application app フィールドから直接マッピングされます。
devTime metadata.event_timestamp devTime フィールドから直接マッピングされます。
deviceGroup principal.group.group_display_name deviceGroup フィールドから直接マッピングされます。
eventExternalId metadata.product_log_id eventExternalId フィールドから直接マッピングされます。
eventType metadata.product_event_type eventType フィールドから直接マッピングされます。
filePath principal.process.file.full_path filePath フィールドから直接マッピングされます。
fileType principal.process.file.file_type fileType フィールドからマッピングされます。fileType が「POWERSHELL_INTERACTIVE」の場合、UDM 値は「FILE_TYPE_POWERSHELL」に設定されます。
host principal.hostname host フィールドから直接マッピングされます。
identHostName target.hostname identHostName フィールドから直接マッピングされます。
identSrc target.ip identSrc フィールドから直接マッピングされます。
LoggedInUsers principal.user.userid 「REGISGROUP」とバックスラッシュを削除した後、LoggedInUsers フィールドからマッピングされます。
log_type metadata.log_type log_type フィールドから直接マッピングされます。
OSName principal.asset.platform_software.platform OSName フィールドからマッピングされ、大文字に変換されます。
OSVersion principal.asset.platform_software.platform_version OSVersion フィールドから直接マッピングされます。
sev security_result.severity_details sev フィールドから直接マッピングされます。パーサーで「STATUS_UPDATE」にハードコードされます。パーサーで「Deep Instinct EDR」にハードコードされます。Grok によって抽出された vendor_name フィールドから直接マッピングされます。srcMAC フィールドから直接マッピングされます。usrName フィールドから直接マッピングされます。パーサーで「MEDIUM」にハードコードされます。
srcMAC principal.mac srcMAC フィールドから直接マッピングされます。
usrName principal.user.user_display_name usrName フィールドから直接マッピングされます。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。