Dell ECS ログを収集する

以下でサポートされています。

このパーサーは、DELL ECS syslog メッセージからフィールドを抽出し、UDM にマッピングします。特に UPDATE イベントタイプと DELETE イベントタイプを処理し、ログイン / ログアウト イベントのユーザー情報と IP 情報を抽出します。その他のイベントは GENERIC_EVENT として分類されます。Grok パターンを使用してメッセージを解析し、フィルタを変更して UDM フィールドに入力し、想定される形式と一致しないイベントを破棄します。

始める前に

  • Google Security Operations インスタンスがあることを確認します。
  • Windows 2016 以降、または systemd を使用する Linux ホストを使用していることを確認します。
  • プロキシの背後で実行している場合は、ファイアウォール ポートが開いていることを確認します。
  • Dell ECS への特権アクセス権があることを確認します。

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [コレクション エージェント] に移動します。
  3. Ingestion Authentication File をダウンロードします。Bindplane エージェントがインストールされるシステムに、ファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。
  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

Windows へのインストール

  1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux へのインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

その他のインストール リソース

Syslog を取り込んで Google SecOps に送信するように Bindplane Agent を構成する

  1. 構成ファイルにアクセスします。

    • config.yaml ファイルを見つけます。通常、Linux では /etc/bindplane-agent/ ディレクトリに、Windows ではインストール ディレクトリにあります。
    • テキスト エディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

  2. config.yaml ファイルを次のように編集します。

    receivers:
    tcplog:
        # Replace the below port <54525> and IP <0.0.0.0> with your specific values
        listen_address: "0.0.0.0:54525" 

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the creds location below according the placement of the credentials file you downloaded
        creds: '{ json file for creds }'
        # Replace <customer_id> below with your actual ID that you copied
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # You can apply ingestion labels below as preferred
        ingestion_labels:
        log_type: SYSLOG
        namespace: dell_ecs
        raw_log_field: body
service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - tcplog
            exporters:
                - chronicle/chronicle_w_labels

  3. 自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。

  4. <customer_id> は、実際の顧客 ID に置き換えます。

  5. /path/to/ingestion-authentication-file.json の値を、Google SecOps の取り込み認証ファイルを取得するで認証ファイルを保存したパスに更新します。

Bindplane Agent を再起動して変更を適用する

  • Linux で Bindplane Agent を再起動するには、次のコマンドを実行します。

    sudo systemctl restart bindplane-agent

  • Windows で Bindplane Agent を再起動するには、Services コンソールを使用するか、次のコマンドを入力します。

    net stop BindPlaneAgent && net start BindPlaneAgent

Syslog サーバーにログを転送するように Dell ECS を構成する

  1. 管理者の認証情報を使用して ECS 管理ポータルにログインします。
  2. [Settings] > [Event Notifications] > [Syslog] に移動します。
  3. [新しいサーバー] をクリックします。
  4. 以下の詳細を入力します。
    • プロトコル: [UDP] または [TCP] を選択します（Syslog サーバーで構成されているプロトコルと一致していることを確認してください）。
    • ターゲット: Syslog サーバーの IP アドレスまたは完全修飾ドメイン名（FQDN）を入力します。
    • ポート: ポート番号を入力します。
    • 重大度: 転送するログの最小重大度レベルとして [Informational] を選択します。
  5. [保存] をクリックします。

UDM マッピング テーブル

ログフィールド UDM マッピング 論理
data read_only_udm.metadata.description eventType が UPDATE の場合、説明は正規表現を使用して data フィールドから抽出されます。eventType が DELETE の場合、正規表現を使用して data フィールドから説明が抽出され、ユーザー ID を抽出するためにさらに処理されます。
data read_only_udm.principal.ip eventType が UPDATE の場合、IP アドレスは正規表現を使用して data フィールドから抽出されます。
data read_only_udm.target.resource.product_object_id eventType が DELETE の場合、URN トークンは正規表現を使用して data フィールドから抽出されます。
data read_only_udm.target.user.userid eventType が UPDATE の場合、正規表現を使用して data フィールドからユーザー ID が抽出されます。eventType が DELETE の場合、data フィールドの初期処理後に、ユーザー ID が説明フィールドから抽出されます。
eventType read_only_udm.metadata.event_type eventType が UPDATE で、userid が抽出された場合は、イベントタイプが USER_LOGIN に設定されます。eventType が DELETE で、userid が抽出された場合は、イベントタイプが USER_LOGOUT に設定されます。それ以外の場合、イベントタイプは GENERIC_EVENT に設定されます。
eventType read_only_udm.metadata.product_event_type この値は、未加工ログの serviceType フィールドと eventType フィールドを連結し、角かっこで囲んで「-」で区切ることで導出されます。
hostname read_only_udm.principal.asset.hostname ホスト名は hostname フィールドからコピーされます。
hostname read_only_udm.principal.hostname ホスト名は hostname フィールドからコピーされます。
log_type read_only_udm.metadata.log_type ログタイプは DELL_ECS に設定されます。メカニズムは MECHANISM_UNSPECIFIED にハードコードされています。イベントのタイムスタンプは、未加工ログエントリの timestamp フィールドからコピーされます。プロダクト名は ECS にハードコードされています。ベンダー名は DELL にハードコードされています。eventType が DELETE の場合、リソースタイプは CREDENTIAL にハードコードされます。
timestamp read_only_udm.metadata.event_timestamp イベントのタイムスタンプは、未加工ログエントリの timestamp フィールドから取得されます。
timestamp timestamp タイムスタンプは、未加工ログエントリの timestamp フィールドから解析されます。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。